Cybersecurity voor energie & kritieke infrastructuur
OT security voor organisaties die niet stil mogen vallen.
Energiebedrijven, netbeheerders, waterbedrijven, datacenters en andere kritieke aanbieders staan al jaren hoog op de radar van zowel cybercriminelen als statelijke actoren. Uitval raakt direct levering, veiligheid en vertrouwen.
De realiteit: aanvallen op kritieke infrastructuur zijn geen theorie meer
In OT- en ICS-omgevingen zijn veiligheid en beschikbaarheid minstens zo belangrijk als beveiliging. Tegelijk hebben veel omgevingen te maken met legacy-systemen, complexe OT/IT-koppelingen en leveranciers met directe toegang. In recente Nederlandse en Europese dreigingsbeelden zie je hetzelfde patroon terug.
- Aanvallen die eerst vooral kantoor-IT raakten, verschuiven steeds vaker richting OT/ICS-omgevingen. [bron: ENISA, CSBN]
- Aanvallers proberen expliciet een positie in kritieke infrastructuur te bemachtigen om later te kunnen saboteren. [bron: ENISA, NCSC]
- De impact gaat verder dan downtime: uitval van elektriciteit, water, warmte of datacenters raakt de hele samenleving. [bron: CSBN]
Concreet: waar gaat het mis in de praktijk?
- OT-netwerken die organisch zijn gegroeid, zonder actuele segmentatie of asset-inventarisatie.
- Remote toegang voor leveranciers via oude VPN’s, modems of gedeelde accounts, vaak zonder goed overzicht of logging.
- SCADA-, DCS- en PLC-landschappen die nooit zijn ontworpen met internetkoppeling in gedachten.
- IT/OT-convergentie (“we hangen het even aan de centrale monitoring”) zonder duidelijke scheiding en security-controls.
- Onvoldoende zicht op welke PLC’s, HMI’s en engineering stations überhaupt in het netwerk hangen.
- Ongeteste incident-response playbooks voor scenario’s waarin OT daadwerkelijk uitvalt.
Wet- en regelgeving voor energie & kritieke infrastructuur
Energie- en infra-partijen vallen vaak onder strengere kaders dan reguliere organisaties. Naast sectorregels spelen Europese richtlijnen een grote rol.
NIS2 / kritieke sectoren
NIS2 (en nationale invulling zoals de Cyberbeveiligingswet) brengt zwaardere eisen voor aanbieders van essentiële en belangrijke diensten, waaronder energie, digitale infrastructuur en bepaalde water- en transportbedrijven:
- Verplichte risicobeoordeling en passende technische en organisatorische maatregelen.
- Incidentmeldingen binnen vaste termijnen aan toezichthouders.
- Toegenomen persoonlijke verantwoordelijkheid voor bestuurders.
Sectornormen en frameworks
Veel energie- en infra-organisaties gebruiken een mix van frameworks en normen, zoals:
- ISO 27001/27002 voor informatiebeveiligingsmanagement.
- CIS Controls voor praktische technische maatregelen.
- OT/ICS-specifieke standaarden zoals IEC 62443.
Hoe Neo Security energie & kritieke infrastructuur helpt
Wij kijken naar jullie omgeving zoals een aanvaller dat doet: van buiten naar binnen, van IT naar OT, van leveranciers naar kernprocessen. Tegelijkertijd werken we met de realiteit van 24/7 operatie en veiligheidsrestricties.
1. OT/IT-inventarisatie & risicoanalyse
We starten met een feitelijke basis:
- In kaart brengen van assets in OT (SCADA, PLC’s, HMI, engineering stations).
- Verbindingen tussen IT en OT.
- Externe koppelingen (leveranciers, remote beheer, datacenters).
- Afhankelijkheden van kritieke processen.
Resultaat: een duidelijke risicoanalyse met prioriteiten: welke onderdelen zijn echt bedrijfskritiek en waar is de kans én impact het grootst?
Meer over OT/SCADA security: OT security assessment.
2. OT security tests en aanvalssimulaties
We testen de omgeving stap voor stap zonder onnodige verstoring van productie:
- Technische penetratietesten op OT-gerelateerde systemen, managementlagen en gateways. Meer over pentests: pentest-aanpak en offensive services
- Scenario’s waarin we kijken hoe ver we van IT naar OT kunnen bewegen (pivoting, misconfiguratie, identity-misbruik).
- Validatie of segmentatie, firewalls en jump-hosts echt doen wat ze op papier beloven.
- Eventueel een red team operatie met OT-focus: realistische aanvalscampagne met duidelijke rules-of-engagement. Meer over red teaming: red team operations
Doel: laten zien wat een echte aanvaller zou kunnen bereiken – en welke detecties je nu mist.
3. NIS2 & kritieke-sector compliance & governance
Energie- en infra-organisaties moeten niet alleen technisch weerbaar zijn, maar dit ook aantoonbaar kunnen maken richting toezichthouders en stakeholders.
- NIS2 gap-analyse en compliance-roadmap voor kritieke sectoren. Meer over governance: compliance & governance
- Inrichten van een risk management framework (bijv. op basis van CIS Controls of ISO 27001, aangevuld met OT-specifieke controls). Zie ook CIS framework en ISO 27001.
- Keten- en leveranciersbeoordelingen: welke third parties vormen het grootste risico, contractueel én technisch?
- Voorbereiding op audits en rapportage: zorgen dat jullie verhaal klopt – technisch én bestuurlijk.
4. 24/7 monitoring & incident response
Als er wél iets gebeurt, wil je het snel weten en gecontroleerd afhandelen. We koppelen energie- en OT-omgevingen aan:
- Blue Team-as-a-Service / Managed SOC voor 24/7 monitoring van verdachte activiteit in IT én (waar mogelijk) OT. Meer over SOC: managed SOC en Blue Team-as-a-Service.
- Incident Response met duidelijke SLA’s en ervaring in vitale omgevingen. Meer over response: incident response
Samen maken we playbooks voor scenario’s zoals uitval van een deel van de OT-omgeving, ransomware in IT met risico op OT, of compromise via een leverancier.
Waarom energie- en infra-partijen voor Neo Security kiezen
- We kennen kritieke processen.
We werken vooral voor sectoren waar uitval geen optie is: energie, industrie, zorg, overheid. We weten hoe je security doet zonder de operatie plat te leggen. - Offense + compliance in één verhaal.
We combineren aanvallersdenken (pentest, red teaming, OT-assessments) met NIS2- en kritieke-sector governance. Geen losstaand rapport, maar input voor ISMS, risk register en bestuursrapportage. - Feiten, geen angst.
Geen FUD-slides, maar concrete bevindingen, duidelijke prioriteiten en heldere stappen: wat moet vandaag, wat kan later? - Engineers-first.
We komen uit de techniek, niet uit de PowerPoint. We praten net zo makkelijk met OT-operators en netwerkbeheerders als met CISO, directie en raad van bestuur.
Klaar voor een eerlijke test van uw kritieke infrastructuur?
We beginnen meestal met een korte intake: welke processen zijn bedrijfskritiek, welke OT/IT-koppelingen zijn er, en welke verplichtingen gelden al (NIS2, sectorregulering)? Van daaruit bepalen we of een OT/IT-risicoanalyse, NIS2 gap-analyse of een gerichte OT-pentest / red team operatie de meest logische eerste stap is.
Onze aanvalskracht, uw sterkste verdediging – ook als de lichten aan moeten blijven.