Voor het eerst in drie jaar zakt het wereldwijde percentage aangevallen industriële besturingssystemen naar het laagste niveau ooit gemeten, en toch is dit precies het verkeerde moment om achterover te leunen als uw organisatie in de productiesector actief is. Het kwartaalrapport van Kaspersky ICS CERT over het eerste kwartaal van 2026 laat zien dat de maakindustrie de enige sector is waarin de aanvalscijfers juist stijgen, terwijl vrijwel elke andere sector profiteert van een dalende lijn. Wie het rapport alleen op de voorpagina leest, zou kunnen denken dat de dreiging afneemt. Die lezing is te makkelijk, en precies daarom verdient het cijfer achter het cijfer wat meer aandacht.
Wereldwijd daalde het percentage aangevallen ICS-computers in Q1 2026 naar 19,6 procent, het laagste niveau in drie jaar. Voor de productiesector geldt het tegenovergestelde: als enige sector stijgt het aandeel aangevallen systemen, met de grootste toenames in West-Europa, Noord-Europa en Rusland. Dit artikel zet de cijfers van Kaspersky ICS CERT af tegen wat ze praktisch betekenen voor Nederlandse fabrieken, van de verschuivende malwaretypes tot de financiële inzet en de maatregelen die een OT-omgeving daadwerkelijk weerbaarder maken.
De productiesector wijkt af van de dalende trend in Q1 2026
Het kale cijfer is op zichzelf goed nieuws. Wereldwijd blokkeerden beveiligingsoplossingen op 19,6 procent van de industriële besturingssystemen (ICS) kwaadaardige objecten, tegen 19,7 procent in het vierde kwartaal van 2025. Dat is niet alleen de laagste waarde in drie jaar, Kaspersky noemt het percentage zelfs 1,4 keer lager dan in het tweede kwartaal van 2023. In vrijwel alle onderzochte sectoren volgt het gemiddelde diezelfde neerwaartse lijn.
De productiesector vormt daarop de uitzondering. Het is de enige sector waarin het aandeel aangevallen ICS-computers steeg, met 1,0 procentpunt. Dat lijkt bescheiden, maar de richting is het signaal dat telt. Terwijl bijna elke andere industrie profiteert van afnemende dreiging, bewegen fabrieken en productieomgevingen de andere kant op, en dat gebeurde niet in een enkele uithoek van de wereld: de cijfers voor de sector stegen in tien van de gemeten regio’s.
West-Europa en Noord-Europa klimmen in de verkeerde ranglijst
Zuidoost-Azië voert de ranglijst aan voor aangevallen ICS-computers in de productie, met 23,21 procent, gevolgd door Afrika (21,36 procent) en Zuid-Azië (20,13 procent). Voor Nederlandse organisaties is de geografische spreiding daaronder relevanter. In Oost-Azië, West-Europa, Noord-Europa en de regio Centraal-Azië en de Zuid-Kaukasus lagen de percentages in de productiesector boven het regionale gemiddelde. De grootste stijgingen werden daarbij geregistreerd in West-Europa, Noord-Europa en Rusland.
Noord-Europa is van oudsher de regio met de laagste dreiging in het hele rapport, en juist die regio klom mee. Op het niveau van alle industrieën samen gold voor Noord-Europa een stijging van 0,6 procentpunt, wat gelijkstaat aan zeven procent meer aangevallen ICS-computers in de regio als geheel. Dat is een signaal dat de bredere blootstelling van de regio toeneemt, niet alleen op de fabrieksvloer. Specifiek voor de productiesector was Noord-Europa daarnaast een van slechts twee regio’s waar het percentage voor ransomware steeg, naast Canada.
Wie alleen het wereldwijde gemiddelde leest, mist dus precies het patroon dat er in Nederland en de rest van West- en Noord-Europa toe doet. Dat is naar mijn overtuiging de belangrijkste les uit dit rapport: een dalend totaalcijfer zegt weinig over de vraag of uw eigen sector en uw eigen regio veiliger worden.
Spyware, ransomware en miners stijgen gelijktijdig binnen de fabriek
Onder de regionale stijgingen zitten concrete verschuivingen in het type malware. In West-Europa nam spyware in de productiesector toe met een factor 1,36, in Rusland met een factor 1,50. In Rusland steeg ransomware in de productie eveneens fors, en in West-Europa namen miners in de vorm van uitvoerbare Windows-bestanden toe met een factor 2,35.
Dat patroon is geen toeval. Het wijst op een keten waarin spyware eerst informatie verzamelt, bijvoorbeeld inloggegevens of netwerkstructuur, om vervolgens zwaardere lading zoals ransomware af te leveren. Spyware wordt daarom niet voor niets het tweede type dreiging genoemd in de ranglijst van blokkades: het is zelden het einddoel, maar wel de opmaat naar het echte doelwit.
Internet is de enige toegangsweg die nog groeit
Wie de productieomgeving wil beveiligen, moet weten langs welke wegen de dreiging binnenkomt. Het rapport laat zien dat internet de enige bron is waarvan het aandeel toeneemt: op 7,88 procent van de ICS-computers werden internetdreigingen geblokkeerd, een stijging van 0,21 procentpunt. Alle andere bronnen namen af. E-mailclients zakten naar 2,59 procent, de laagste waarde in drie jaar, terwijl verwijderbare media (0,26 procent) en netwerkmappen (0,029 procent) verder daalden.
Kwaadaardige scripts en phishing blijven de grootste ingang
De categorieën die het vaakst worden geblokkeerd, zeggen iets over de fase waarin organisaties worden geraakt. Kwaadaardige scripts en phishingpagina’s voeren met 6,56 procent de lijst aan, gevolgd door spyware met 3,73 procent en geblokkeerde internetbronnen met 3,54 procent. Ransomware komt met 0,14 procent als laagste uit de bus.
Dat lage ransomwarecijfer mag geen reden zijn om gerust adem te halen, eerder het tegenovergestelde. Het cijfer meet detecties op het eindpunt, niet de financiële schade van de gevallen die wél slagen. Een enkele geslaagde ransomware-aanval op een fabriek weegt in de praktijk zwaarder dan duizend geblokkeerde phishingmails. In totaal blokkeerde Kaspersky dit kwartaal malware uit 10.052 verschillende malwarefamilies op systemen voor industriële automatisering.
De eerste infectie komt meestal binnen via initiële infectiemiddelen zoals scripts, phishing en kwaadaardige documenten, waarna spyware als tweede trap fungeert. Aanvallers buiten daarbij steeds vaker legitieme internetdiensten uit, zoals content delivery networks, repositories en cloudopslag, om kwaadaardige code via unieke links te verspreiden. Dat ondermijnt reputatiegebaseerde blokkades en is precies de reden waarom bescherming niet op de netwerkperimeter alleen mag steunen.
Legacy-systemen en de versmelting van IT en OT vergroten het aanvalsoppervlak
De structurele kwetsbaarheid van OT-omgevingen zit in hun ontwerp. Veel SCADA-, PLC- en DCS-componenten zijn decennia geleden geïnstalleerd, soms nog draaiend op verouderde besturingssystemen, en gebouwd in een tijd waarin de huidige cyberdreigingen niet bestonden. Patchen vereist downtime, en downtime in een productieomgeving kost geld en kan veiligheidsrisico’s met zich meebrengen. Die spanning tussen beveiliging en continuïteit maakt elke beslissing tot een afweging, en leidt er in de praktijk vaak toe dat updates worden uitgesteld.
Daar komt de convergentie van IT en OT bovenop. De integratie levert inzicht en efficiëntie op, maar verbindt productiebesturing met bedrijfsnetwerken die als eerste worden aangevallen. Een gecompromitteerde laptop of een kwetsbaar VPN-account kan zo een toegangspoort worden tot de fabrieksvloer. De geschiedenis kent illustratieve voorbeelden: de ransomware-aanval op Colonial Pipeline in 2021 legde de IT-systemen plat en dwong tot het stilleggen van de pijplijn, terwijl de aanval op Norsk Hydro in 2019 de aluminiumproductie op meerdere locaties verstoorde, met een uiteindelijke schatting van ruim zeventig miljoen dollar. In beide gevallen werden de OT-processen niet rechtstreeks geraakt, maar volstond de verstoring in het gekoppelde IT-netwerk om de operatie te raken.
Evgeny Goncharov, hoofd van Kaspersky ICS CERT, wees bij de publicatie van het rapport op precies dat mechanisme. Verouderde OT-systemen blijven diep verweven in productieomgevingen, wat ze kwetsbaar maakt. De complexiteit van de toeleveringsketen en het netwerk van vertrouwde partners breidt het aanvalsoppervlak ver buiten de eigen perimeter uit, en aanvallers realiseren zich dat fabrieksstilstand tot grote financiële verliezen leidt. Dat besef vertaalt zich naar de wijze waarop de productiesector wordt benaderd: niet als technisch hoogstandje, maar als een doelwit met een duidelijke verdienlogica.
De financiële inzet achter een productiestilstand loopt in de miljarden
De omvang van die verdienlogica is in te schatten. Kaspersky en VDC Research becijferden dat ransomware-aanvallen op productieorganisaties in de eerste drie kwartalen van 2025 wereldwijd potentieel meer dan achttien miljard dollar aan verliezen konden veroorzaken. Dit is een vendorcijfer en verdient die kanttekening: het weerspiegelt uitsluitend de directe kosten van een stilstaand personeelsbestand tijdens downtime, op basis van een gemiddelde aanvalsduur van dertien dagen. De werkelijke bedrijfsschade ligt naar verwachting hoger zodra verstoringen in de toeleveringsketen, reputatieschade en herstelkosten worden meegerekend. Het is dus een ondergrens, geen vastgestelde schadepost, maar als ordegrootte maakt het de inzet pijnlijk concreet.
Die financiële inzet verklaart waarom de productiesector aantrekkelijk blijft, ook nu de globale cijfers dalen. Een fabriek die stilligt, betaalt door, terwijl de orders en de toeleveringsverplichtingen doorlopen. Aanvallers weten dat de drempel om losgeld te betalen daardoor lager ligt dan in sectoren waar een verstoring minder direct doorwerkt in de productie.
Zichtbaarheid, segmentatie en veilige toegang vormen de praktische basis
De vertaalslag naar de praktijk begint bij zichtbaarheid. Zonder een actueel overzicht van welke PLC’s, HMI’s, SCADA-servers en veldapparaten verbonden zijn en hoe ze communiceren, blijven beveiligingsmaatregelen gokwerk. Passieve detectiemethoden die het netwerkverkeer observeren zonder de operatie te verstoren, vormen daarvoor het uitgangspunt. Op die basis rusten netwerksegmentatie volgens een model als IEC 62443, het scheiden van IT- en OT-zones, en het isoleren van de meest kritieke besturingssystemen.
Voor systemen die niet zonder downtime te patchen zijn, bieden compenserende maatregelen uitkomst: industriële firewalls en intrusion prevention die de kwetsbare legacy-laag afschermen, gecombineerd met virtuele patching. Veilige externe toegang verdient bijzondere aandacht, omdat onderhoudscontracten met leveranciers vaak permanente toegang vereisen die aanvallers als ingang gebruiken. Versleutelde verbindingen, multifactor-authenticatie en het zero-trust-principe van continue verificatie beperken dat risico. Hoe een gespecialiseerd platform deze lagen samenbrengt, van assetzichtbaarheid tot agentloze externe toegang via FortiPAM, beschreven we eerder in onze analyse van hoe Fortinet zijn OT-netwerkbeveiligingsplatform heeft uitgebreid met nieuwe segmentatie- en connectiviteitsfuncties.
De afweging om wel of niet te patchen wordt in de praktijk te vaak bij de IT- of OT-manager gelegd, terwijl het eigenlijk een bestuursbeslissing hoort te zijn. Downtime kost geld, maar een geslaagde ransomware-aanval kost meer, en alleen op bestuursniveau kan die afweging met het volledige risicobeeld worden gemaakt. Dat is misschien de meest ongemakkelijke conclusie uit dit rapport: technische maatregelen zijn beschikbaar, de vertraging zit vaker in de besluitvorming erboven.
De menselijke factor blijft de zwakste schakel in OT-beveiliging
Het rapport benadrukt dat de menselijke factor en de beveiligingscultuur zwaar wegen. Hoge cijfers voor geblokkeerde internetbronnen en phishing wijzen op zwakke controle op het beveiligingsbeleid, gebrekkige phishingbescherming en een onderschat bewustzijn bij medewerkers. Beleidsmatige blokkering van diensten die in OT-netwerken zelden nodig zijn, samen met continue monitoring en anomaliedetectie, vult de technische maatregelen aan.
Hoe die praktische risico’s er in een Nederlandse fabriek concreet uitzien, van het wegvallen van de air gap tot externe toegang door leveranciers, en welke cijfers uit het meest recente Fortinet-onderzoek daarbij horen, zetten we uiteen in ons overzicht van de grootste OT-beveiligingsuitdagingen en de bijbehorende aanpak.
Wat de fabrieksvloer met deze cijfers moet doen
De kerncijfers van Q1 2026 dwingen tot een precieze lezing. Het wereldwijde percentage aangevallen ICS-computers daalt licht, maar voor de maakindustrie is dat geen reden tot ontspanning. De productiesector is de enige sector die tegen de trend in groeit, West- en Noord-Europa bewegen mee omhoog, en de combinatie van toenemende spyware, ransomware en miners wijst op gerichte, financieel gemotiveerde campagnes. De potentiële verliezen lopen in de miljarden, terwijl legacy-systemen en IT/OT-convergentie het aanvalsoppervlak blijven vergroten.
Een verdediging die stand houdt, steunt niet op de perimeter alleen, maar op zichtbaarheid, segmentatie, veilige toegang en continue monitoring over de gehele levenscyclus van een asset. De specialisten van SolidBE helpen organisaties in de maakindustrie om hun OT-omgeving in kaart te brengen, kwetsbare legacy-assets af te schermen en een beveiligingsarchitectuur op te zetten die past bij de operationele realiteit van een productieomgeving. Neem contact op om te bespreken hoe uw industriële netwerk weerbaar blijft tegen een dreiging die zich zichtbaar richting uw sector verplaatst.
