Vraag een productiebedrijf hoeveel apparaten er aan het netwerk hangen en je krijgt een getal. Meet het en dat getal klopt zelden. Uit onderzoek van Fortinet onder ruim zevenhonderd OT-professionals blijkt dat veel organisaties zicht hebben op ongeveer de helft van hun OT-omgeving.

OT security begint precies daar: bij weten wat er draait. De laptops en servers staan meestal wel ergens geregistreerd. De pompen, de klimaatinstallaties, de toegangssystemen en de PLC’s in de hal staan nergens. Dat is ook de apparatuur waar je niets op kunt installeren, want je wilt het proces niet raken.

Een agent uitrollen of een scan starten werkt hier dus niet. Allebei kunnen ze in een OT-omgeving meer stukmaken dan ze opleveren.

In deze blog lees je hoe je operationele techniek in beeld brengt zonder de productie stil te leggen, wat je daarbij meestal aantreft en wat de logische volgende stap is.

Wat is OT security?

OT security is het beveiligen van operationele techniek: de apparatuur die fysieke processen aanstuurt en bewaakt.

Denk aan de pompen en gemalen bij een waterschap, de klimaatinstallaties en medische apparatuur in een ziekenhuis, de PLC’s die een productielijn aansturen en de camera’s, slagbomen en toegangssystemen op een haventerrein. Ook IoT-apparatuur valt hieronder, zoals sensoren en slimme meters.

Wat deze apparaten gemeen hebben: ze doen iets in de fysieke wereld. Gaat er iets mis, dan staat er een lijn stil, gaat een sluis niet open of stopt de koeling in een operatiekamer.

Daarmee ligt het verschil met IT-beveiliging meteen op tafel. Bij IT gaat het over data. Bij OT gaat het over een proces dat door moet blijven draaien.

Wat is het verschil tussen IT security en OT security?

Bij IT draait alles om je data. Je wilt dat informatie vertrouwelijk blijft, klopt en beschikbaar is, in die volgorde. Gaat er iets mis, dan haal je een systeem offline, patch je het en zet je het terug.

Bij OT staat die volgorde op zijn kop. Beschikbaarheid gaat voor. Een productielijn die stilvalt kost per uur geld, een gemaal dat niet schakelt geeft wateroverlast en een operatiekamer zonder klimaatregeling gaat dicht. Daar is vertrouwelijkheid ondergeschikt aan.

Dat verschil werkt door in drie dingen.

Levensduur. Een laptop vervang je om de vier jaar. Een PLC of een klimaatinstallatie staat er twintig jaar en het besturingssysteem erop is precies zo oud.

Onderhoud. Patchen betekent herstarten en herstarten betekent stilstand. Bij veel installaties mag dat alleen tijdens een geplande onderhoudsstop, soms één keer per jaar.

Eigenaarschap. OT valt vaak onder techniek of facilitair. Daardoor staat het ook niet in de systemen waarmee de IT-afdeling zijn apparatuur bijhoudt. Vaak weet niemand precies wie waarvoor tekent.

Die drie punten samen verklaren waarom de standaardaanpak uit de IT-wereld in een OT-omgeving vastloopt.

Kun je een agent op OT-apparatuur installeren?

Nee. Daar zit meteen de kern van het probleem.

Op een laptop of server zet je een agent: een klein programma dat meekijkt en rapporteert. Zo houdt een IT-afdeling haar apparatuur bij. Op OT-apparatuur loopt dat op drie dingen stuk.

Er is geen ruimte. Een PLC of een sensor heeft precies genoeg geheugen en rekenkracht voor zijn eigen taak. Voor software die daar niet hoort is niets over.

Het besturingssysteem wordt niet ondersteund. Veel installaties draaien op versies waar allang geen agent meer voor bestaat.

De leverancier staat het niet toe. Zodra je iets installeert op gecertificeerde apparatuur vervalt vaak de garantie of de certificering. Bij medische apparatuur en in de procesindustrie is dat een reëel bezwaar.

Dan maar actief scannen? Ook dat is riskant. Een netwerkscan stuurt verkeer dat een PLC niet verwacht en oude netwerkstacks kunnen daarop vastlopen. Je gaat op zoek naar kwetsbaarheden en legt ondertussen de lijn stil.

Daarom begint OT security bij meekijken op het netwerk, zonder de apparatuur zelf aan te raken.

Hoe breng je OT-apparatuur in kaart?

Als je niets op de apparatuur mag zetten en er niets naartoe mag sturen, blijft er één weg over: luisteren naar wat er al langskomt. Waarom dat overzicht de basis is onder elke test, lees je in Asset Discovery en Pentesten.

Sensoren die meeluisteren op het netwerk

Je plaatst sensoren in het netwerk die het verkeer meelezen dat er toch al is. Ze sturen zelf niets, vragen niets op en raken de apparatuur niet aan. Er hoeft dus ook niets uit voor de installatie.

Dat werkt omdat OT-apparatuur voortdurend praat. Een PLC wisselt commando’s uit met zijn besturingssysteem, een camera stuurt beeld door en een sensor meldt zijn metingen. Uit dat verkeer valt af te leiden wat een apparaat is, welke software erop draait en met wie het contact heeft.

Toch is dit nog altijd uitzondering. Volgens Bitsight beschikt minder dan tien procent van de OT-netwerken wereldwijd over netwerkmonitoring.

Wat je dan ziet

Uit dat verkeer bouwt zich een overzicht op. Per apparaat komt daarin te staan:

• wat het is en van welke fabrikant
• welke firmware of softwareversie erop draait
• of daar bekende kwetsbaarheden voor bestaan
• met welke andere apparaten het communiceert
• of het ook verbinding heeft met het kantoornetwerk of met internet

Hoe lang het duurt voordat er een overzicht ligt

Meten begint meteen. Het beeld wordt completer naarmate de sensoren langer meeluisteren, want apparatuur die maar één keer per week iets doet, wordt pas zichtbaar op het moment dat ze iets doet.

Daarom is dit geen momentopname. Zodra de sensoren er hangen, blijft het overzicht meelopen met je omgeving. Nieuwe apparatuur verschijnt vanzelf en apparatuur die stilvalt, valt op.

Welke risico’s zitten er in OT-netwerken?

De risico’s in een OT-netwerk zijn zelden exotisch. Het zijn bijna altijd dezelfde vier.

Apparatuur die niemand meer kende. Een oude switch in een technische ruimte, een testopstelling die nooit is opgeruimd of een installatie van een leverancier die allang vertrokken is. Alles wat aan het netwerk hangt zonder eigenaar, hangt er zonder onderhoud. Datzelfde geldt voor de shadow IT en shadow AI die binnen je organisatie ontstaat.

Standaardwachtwoorden die nooit zijn vervangen. Routers, switches en camera’s worden geplaatst door een installateur met een strakke planning. De inloggegevens uit de handleiding blijven staan en die handleiding staat online. Hoe je zulke accounts opspoort, staat in Verbeter je wachtwoordbeleid met NodeZero’s AD Password Audit.

Firmware van jaren geleden. Op OT is dat vaak onvermijdelijk, want updaten betekent stilstand. Bovendien helpt een melding je niet altijd verder: bij ruim een kwart van de openbare kwetsbaarheidsmeldingen zat volgens Bitsight geen patch of tijdelijke oplossing. Wat wel kan is weten welke kwetsbaarheden erin zitten, zodat je er rekening mee houdt in je segmentatie en je monitoring. Over die volgorde gaat onze blog over patch management.

Een verbinding met het kantoornetwerk. Op de tekening staan OT en IT netjes gescheiden. In de praktijk loopt er een kabel, een VPN voor een leverancier of een werkstation dat in allebei de netwerken hangt.

Die laatste is de gevaarlijkste. Daar komt iemand binnen die het helemaal niet op jouw OT had gemunt. Die belandt er vanaf een besmette laptop op kantoor.

Hoe vaak dit onopgemerkt blijft, laat één cijfer goed zien: bij drie op de tien incidentonderzoeken in 2025 kwam het onderzoek op gang doordat een operator merkte dat er iets niet klopte.

Hoe segmenteer je een OT-netwerk?

Segmenteren betekent je netwerk opdelen, zodat een besmetting op één plek niet het hele netwerk bereikt. In een OT-omgeving is die indeling meestal grofmazig: kantoorautomatisering in de ene zone, productie in de andere.

Wat OT bijzonder maakt is dat de gebruikelijke route niet werkt. Je kunt geen software op een pomp of een PLC zetten en je kunt de productie niet stilleggen om het netwerk opnieuw in te delen. Daarom moet het agentless gebeuren, waarbij de regels worden afgedwongen via controls die er al zijn en bij OT en IoT via ACL’s op het netwerk.

Die aanpak begint met hetzelfde meelezen waarmee je je OT in kaart bracht. Hoe je het daarna aanbrengt en waar je begint, lees je in onze blog over netwerksegmentatie en microsegmentatie.

Wat vragen NIS2 en BIO2 op het gebied van OT security?

De Cyberbeveiligingswet, de Nederlandse invulling van NIS2, is sinds 15 augustus 2026 van kracht. Ongeveer 8.000 organisaties in 18 sectoren vallen eronder. In de zorgplicht staat nergens dat het alleen over IT gaat: hoort een gemaal of een productielijn tot je kritieke processen, dan hoort de apparatuur die dat aanstuurt daar ook bij.

Bij BIO2, het normenkader voor de overheid, is het expliciet gemaakt. Daarin staat dat organisaties operationele technologie integraal meenemen in hun informatiebeveiligingsbeleid. Voor gemeenten, waterschappen en provincies betekent dat concreet dat bruggen, sluizen, gemalen en klimaatinstallaties in hetzelfde beleid horen als de laptops.

Wat de wet verder van je vraagt en of jouw organisatie eronder valt, lees je in onze blog over NIS2 in Nederland.

Waar begin je met OT security?

De eerste stap kost je geen stilstand. Sensoren in het netwerk, een tijdje meelezen en dan ligt er een overzicht van wat er draait, wat erop staat en waar de verbindingen lopen die er niet horen.

Vanaf daar wordt het een gesprek over keuzes. Wat pak je als eerste aan, wat kan wachten tot de volgende onderhoudsstop en waar is segmenteren voldoende.

Zien wat er in jouw omgeving draait

Wil je weten wat er in jouw netwerk zichtbaar wordt zonder dat er iets stil komt te liggen? Wij hangen sensoren aan het netwerk en laten zien wat eruit komt. Ga naar netboss.nl

“We Got Your Back”

Veelgestelde vragen over OT security