Nieuwe studie legt belangrijke tekortkomingen in OT-cybersecurity bij Belgische bedrijven bloot

De Belgische industrie kampt nog steeds met belangrijke tekortkomingen op het vlak van cybersecurity voor Operational Technology (OT). Uit een nieuwe studie van Agoria bij 82 Belgische organisaties blijkt dat slechts 40% beschikt over een volledige en actuele inventaris van de OT-assets. Slechts 17% heeft vier essentiële beveiligingsmaatregelen volledig op orde: IT/OT-netwerksegmentatie, beveiligde toegang op afstand, een formeel OT-toegangsbeleid en een volledige inventaris van de OT-assets.

De resultaten wijzen op een duidelijke prioriteit voor industriële organisaties: verder gaan dan afzonderlijke beveiligingsmaatregelen en aantoonbare weerbaarheid opbouwen. Dat begint bij weten welke assets verbonden zijn, duidelijke verantwoordelijkheden vastleggen, toegang voor leveranciers controleren, incidenten detecteren en testen of de productie daadwerkelijk kan worden hersteld.

De studie kwam tot stand met bijdragen van Easi en andere leden van Agoria's CMiB4ICS/OT-community. Ze onderzoekt de maturiteit van OT-cybersecurity in de Belgische industrie, met aandacht voor governance, regelgevingsvereisten, detectie en herstel.

De studie van Agoria toont aan dat afzonderlijke beveiligingsmaatregelen niet automatisch leiden tot een volwassen OT-cybersecuritystrategie.

Een van de opvallendste vaststellingen uit de studie is dat:

• slechts 40% van de respondenten beschikt over een volledige en actuele inventaris van de OT-assets;
• slechts 19% een specifieke OT-CISO of een gelijkwaardige functie heeft;
• slechts 20% een organisatorisch cybersecurityframework, zoals CyberFundamentals of ISO 27001, combineert met IEC 62443 voor de productieomgeving.

Wanneer afzonderlijke beveiligingsmaatregelen apart worden bekeken, lijken sommige ervan al relatief goed ingeburgerd. Zo geeft 56% van de respondenten aan dat de IT/OT-netwerksegmentatie volledig is geïmplementeerd. Hetzelfde percentage rapporteert beveiligde toegang op afstand.

Wanneer de verschillende fundamenten samen worden bekeken, verandert het beeld aanzienlijk. Slechts 25% heeft zowel netwerksegmentatie, beveiligde toegang op afstand als een formeel OT-toegangsbeleid volledig geïmplementeerd. Wanneer daar ook een volledige inventaris van de OT-assets bij komt, daalt dat percentage tot slechts 17%.

Dat onderscheid is belangrijk.

Cybersecurity wordt zelden bepaald door één afzonderlijke maatregel. Een bedrijf kan zijn netwerken gesegmenteerd hebben, maar onvoldoende zicht hebben op de aanwezige assets. Het kan technologie voor toegang op afstand gebruiken, maar niet weten welke leveranciers nog toegang hebben. Of het beschikt over back-ups zonder ooit te hebben getest of de productie daadwerkelijk kan worden hersteld.

Een actuele inventaris van OT-assets helpt organisaties begrijpen welke systemen verbonden zijn, potentiële risico's identificeren en beveiligingsmaatregelen consequent toepassen. Uit de studie van Agoria blijkt dat organisaties met een volledige inventaris doorgaans sterkere beveiligingsmaatregelen hebben.

Bij organisaties met een volledige en actuele inventaris:

• beschikt 83% over volledige IT/OT-netwerksegmentatie;
• past 69% een OT-toegangsbeleid volledig toe;
• beheert 92% de toegang op afstand voor leveranciers via de eigen IT- of OT-teams.

Bij organisaties zonder een volledige inventaris rapporteert slechts 31% volledige netwerksegmentatie. Bovendien geeft meer dan de helft aan dat de toegang van leveranciers door de leverancier zelf wordt beheerd, niet onder controle staat of onbekend is.

Verouderde technologie maakt de uitdaging nog groter. Bijna de helft van de respondenten gebruikt nog minstens één niet-ondersteunde Windows-versie. Bij twee derde is het oudste OT-toestel minstens tien jaar oud.

Industriële apparatuur vervangen is niet altijd eenvoudig. Productievereisten en compatibiliteitsbeperkingen kunnen upgrades bemoeilijken. Daardoor worden zichtbaarheid, netwerksegmentatie, beveiligde toegang en passende compenserende maatregelen nog belangrijker.

Detectie en herstel blijven belangrijke zwakke punten. Een plan of back-up hebben, betekent niet automatisch dat die ook werkt wanneer de productie onder druk staat.

Hoewel 73% van de respondenten over een incidentresponsplan beschikt en 58% een bedrijfscontinuïteits- of disasterrecoveryplan heeft, heeft slechts 24% beide plannen uitgebreid naar OT.

Ook detectie vormt een uitdaging. Terwijl 38% denkt een OT-aanval binnen enkele uren te kunnen detecteren, beschikt 34% helemaal niet over technische detectiemogelijkheden voor OT. Zelfs bij de organisaties die een snelle detectie verwachten, kan bijna de helft geen technische oplossing identificeren die de waarschuwing zou genereren.

Ook het testen van herstel blijft een zwak punt. Slechts 31% valideert OT-back-ups regelmatig of gedeeltelijk door daadwerkelijk herstel te testen. Daartegenover staat dat 57% de back-ups zelden of nooit test. Ook table-topoefeningen zijn niet wijdverspreid: 26% organiseert ze, terwijl 45% dat nooit doet.

Voor industriële organisaties betekent weerbaarheid dat incidentrespons, continuïteitsplanning, detectie en herstelprocedures verder moeten gaan dan IT alleen en rekening moeten houden met de realiteit van de productieomgeving.

De studie suggereert dat een hogere maturiteit op het vlak van OT-cybersecurity niet in de eerste plaats wordt bepaald door de omvang van een bedrijf of het beschikbare budget. De uitvoering, verantwoordelijkheidsverdeling en opvolging maken een aanzienlijk verschil.

Bij de organisaties met de hoogste maturiteit heeft 63% de volgende vier maatregelen volledig geïmplementeerd: IT/OT-netwerksegmentatie, beveiligde toegang op afstand, een formeel OT-toegangsbeleid en een volledige inventaris. Bij de overige organisaties bedraagt dat percentage slechts 20%.

Het verschil is nog duidelijker bij hersteltests: 88% van de koplopers test het herstel van OT-back-ups, tegenover slechts 23% van de andere organisaties.

De les is concreet. Organisaties met een hogere maturiteit investeren niet alleen in beveiligingsmaatregelen, maar voeren ze ook consequent uit en testen of ze werken. Tekortkomingen identificeren, duidelijke verantwoordelijkheden toewijzen en verbeteringen valideren zijn essentiële stappen naar een sterkere OT-weerbaarheid.

Regelgeving verhoogt de urgentie om OT-cybersecurity aan te pakken. NIS2 richt zich op risicobeheer en governance op het vlak van cybersecurity voor organisaties die binnen het toepassingsgebied vallen. De Cyber Resilience Act introduceert vereisten voor producten met digitale elementen. De Machinery Regulation legt vereisten op voor machines en wordt van toepassing op 20 januari 2027.

Voor fabrikanten, integratoren en leveranciers hangen de toepasselijke verplichtingen af van hun activiteiten, producten en rol in de toeleveringsketen. Ook organisaties die niet rechtstreeks onder een bepaalde regelgeving vallen, kunnen via hun klanten met cybersecurityvereisten worden geconfronteerd.

Uit de studie van Agoria blijkt dat de voorbereiding op regelgeving een uitdaging blijft. Veel respondenten weten nog niet zeker welke regels op hen van toepassing zijn. Bij de respondenten die vermoedelijk binnen het toepassingsgebied van NIS2 vallen, rapporteert slechts 14% conformiteit met CyFun® of ISO 27001.

De uitdaging bestaat er niet alleen in om elke regelgeving afzonderlijk te begrijpen. Organisaties hebben een gecoördineerde aanpak nodig voor governance, risicobeheer en technische beveiliging, waarbij ze nagaan welke specifieke verplichtingen op hen van toepassing zijn.

De studie werd ontwikkeld binnen Agoria's Cyber Made in Belgium-ecosysteem, met bijdragen van leden van de CMiB4ICS/OT-board.

Gerrit Neyrinck, Cybersecurity Architect IT/OT bij Easi en secretaris van Agoria's CMiB4ICS/OT-focusgroep, leverde een bijdrage aan de studie. Ook de OT-cybersecurityspecialisten van Easi ondersteunden het bredere onderzoekswerk met praktijkgerichte inzichten uit het werkveld.

Gerrit benadrukt in het rapport:

"De opeenvolgende golven van NIS2, de CRA en de Machinery Regulation zetten de industriële toeleveringsketens onder enorme druk. Bedrijven die deze regelgeving elk afzonderlijk proberen aan te pakken, zullen daar een hoge prijs voor betalen."

OT-security is niet simpelweg traditionele IT-cybersecurity die wordt uitgebreid naar een fabriek. De beschikbaarheid van de productie, veiligheid, verouderde apparatuur, industriële protocollen en toegang door derden brengen specifieke uitdagingen met zich mee. Die vragen om een geïntegreerde aanpak.

Op basis van de bevindingen uit de studie zouden industriële organisaties de volgende prioriteiten moeten stellen: