De aansturing van fabrieksrobots, energiecentrales, waterzuivering en transportsystemen gebeurt met operationele technologie (OT). Lange tijd draaiden deze systemen volledig geisoleerd, los van het internet en los van het kantoornetwerk. Die situatie is structureel veranderd. IT en OT groeien in hoog tempo naar elkaar toe om data te delen en processen efficiënter te maken, en industriële besturingssystemen krijgen daardoor te maken met precies dezelfde dreigingen waar de IT-wereld al decennia mee worstelt.
Een voorbeeld uit de praktijk: een storingsmonteur sluit op een doodgewone dinsdagmiddag zijn laptop aan op een PLC om een firmware-update te installeren, en drie weken later blijkt diezelfde laptop de ingang te zijn geweest waarlangs een ransomwaregroep de productielijn stillegde.
Dit artikel legt de belangrijkste risico’s bloot van de versmelting tussen IT en OT, van verouderde apparatuur zonder ingebouwde beveiliging tot het verdwijnen van de air gap, kwetsbare toegang voor externe leveranciers en de sinds augustus 2026 geldende Cyberbeveiligingswet. Aan de hand van cijfers uit het meest recente Fortinet-onderzoek laten we zien waar organisaties nu staan, en hoe het Fortinet OT Security Platform deze problemen ondervangt met segmentatie, virtuele patching, gecontroleerde toegang en samengevoegde security-operaties. Ook de onafhankelijke erkenningen die het platform inmiddels heeft verzameld komen aan bod.
Wat operationele technologie is en waarom klassieke IT-beveiliging hier tekortschiet
Operationele technologie omvat de hardware en software die fysieke processen, apparaten en infrastructuur monitoren en aansturen. Denk aan supervisory control and data acquisition (SCADA), programmable logic controllers (PLC’s), distributed control systems (DCS) en de groeiende verzameling sensoren en actuatoren die samen het Industrial Internet of Things vormen. Deze techniek zit in productie, olie en gas, energieopwekking en distributie, transport en nutsvoorzieningen, eigenlijk overal waar iets fysieks bestuurd moet worden.
Het fundamentele verschil met informatietechnologie zit in de prioriteiten. IT beschermt vooral de vertrouwelijkheid, integriteit en beschikbaarheid van data. OT draait om de continuïteit en veiligheid van fysieke processen, en dat is een heel ander verhaal. Een uur ongeplande stilstand in een fabriek kan leiden tot productieverlies, milieuschade of gevaar voor mensenlevens. Daarom gelden in OT andere spelregels: systemen mogen niet zomaar herstart worden, onderhoudsvensters zijn schaars en apparatuur blijft vaak vijftien tot twintig jaar in gebruik. Beveiliging moet zich naar die realiteit voegen, niet omgekeerd.
De grootste risico’s die ontstaan wanneer IT- en OT-netwerken samenkomen
De samensmelting van IT en OT levert efficiëntie en betere stuurinformatie op. Tegelijk brengt het een reeks risico’s met zich mee die om gerichte beheersing vraagt. Vier problemen wegen daarbij het zwaarst.
Verouderde apparatuur zonder ingebouwde beveiliging
Veel OT-apparatuur is ontworpen in een tijd waarin cyberdreigingen simpelweg geen overweging waren. Deze legacy-systemen kennen vaak geen authenticatie, geen versleuteling en geen mogelijkheid tot patchen zonder de productie stil te leggen. Het resultaat: een grote groep kwetsbare apparaten die niet eenvoudig te vervangen of bij te werken is. Aanvallers weten dat, en richten zich juist op die zwakke schakels.
Het verdwijnen van de air gap en zijdelingse bewegingen door het netwerk
Zolang een OT-netwerk fysiek gescheiden bleef van de buitenwereld, bood die air gap een natuurlijke bescherming. Persoonlijk vind ik het opvallend hoeveel organisaties nog vertrouwen op die scheiding als geruststelling, terwijl de praktijk allang anders is: zodra een voorheen geïsoleerd netwerk via een IT-koppeling met internet wordt verbonden, ligt het volledige OT-domein open voor hetzelfde dreigingsbeeld waar kantoornetwerken al jaren mee kampen. In de praktijk verlopen veel OT-aanvallen via gekoppelde IT-systemen zoals ERP- of facturatiesoftware. Krijgt een aanvaller eenmaal voet aan de grond in het kantoornetwerk, dan kan hij zich zijwaarts verplaatsen richting de productieomgeving, processen verstoren, gegevens manipuleren of installaties uitschakelen. Het beperken van die zijdelingse beweging tussen kantoor- en fabrieksnetwerken is daarmee een kernopgave, geen bijzaak.
Externe toegang van leveranciers als onderschat risico
Onderhoud op afstand door machineleveranciers, integrators en auditors is in veel industriële omgevingen niet weg te denken. Tegelijk vergroot elke externe verbinding het aanvalsoppervlak. Zonder strakke controle op wie wanneer waar bij mag, word remote access een van de meest onderschatte risico’s binnen OT. Het gaat hierbij overigens niet alleen om externe partijen, maar net zo goed om interne gebruikers en contractanten die toegang nodig hebben tot kritieke systemen.
De Cyberbeveiligingswet is nu van kracht, en dat verandert de druk
Waar de regelgeving rond kritieke infrastructuur en industriële besturingssystemen halverwege dit jaar nog in de laatste fase van vaststelling zat, is de situatie inmiddels veranderd. De Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn, is sinds 15 augustus 2026 daadwerkelijk van kracht en geldt voor ruim achtduizend Nederlandse organisaties. Wie onder de wet valt, moet zich registreren bij het Nationaal Cyber Security Centrum, significante incidenten binnen 24 uur melden en een risicoanalyse uitvoeren waarop passende maatregelen worden gebaseerd. Daarnaast vormt de internationale norm IEC 62443 een belangrijk kader voor de beveiliging van industriële automatisering. Wat veel organisaties nog onderschatten, is dat de wet ook doorwerkt in de keten: bedrijven die onder de Cyberbeveiligingswet vallen, kunnen eisen stellen aan de digitale weerbaarheid van hun leveranciers en partners. Hoe die verschuiving van vertrouwen naar aantoonbare controle er in de praktijk uitziet, staat uitgebreid beschreven in ons artikel over ketenbeveiliging onder de Cyberbeveiligingswet. Organisaties die hier niet tijdig op anticiperen, lopen niet alleen operationeel risico maar ook een compliance-risico.
Wat de cijfers uit het nieuwste Fortinet-onderzoek zeggen over de staat van OT-cybersecurity
Fortinet brengt jaarlijks de stand van zaken in kaart. De zevende editie van het State of Operational Technology and Cybersecurity Report, gebaseerd op een wereldwijde enquête onder meer dan 550 OT-professionals en uitgevoerd door een onafhankelijk onderzoeksbureau, schetst een dubbel beeld. De volwassenheid van OT-beveiliging groeit, maar de risico’s blijft aanzienlijk. Bijna de helft van de organisaties rapporteerde in 2025 een of meer cybersecurity-incidenten, en ransomware blijft een van de hardnekkigste dreigingen. Zowel financieel gemotiveerde criminelen als statelijke actoren richten zich daarbij opvallend vaak specifiek op de maakindustrie.
Tegelijk wijzen de cijfers op vooruitgang. De verantwoordelijkheid voor OT-beveiliging schuift op naar het hoogste niveau: 52 procent van de organisaties belegt OT nu bij de CISO of CSO, tegenover 16 procent in 2022, en 80 procent is van plan dit binnen twaalf maanden te doen. De impact van incidenten neemt af, en is inmiddels merkbaar kleiner als een paar jaar geleden: het aandeel organisaties met omzet-rakende operationele uitval zakte van 52 procent in 2024 naar 42 procent in 2025. Ook consolidatie speelt een rol: 78 procent werkt inmiddels met slechts één tot vier OT-leveranciers, en dat is precies waar ik organisaties zelf ook toe zou aanraden. Minder leveranciers betekent minder losse consoles, minder losse updateschema’s en uiteindelijk minder ruimte voor fouten. Het meest sprekende cijfer betreft de waarde van het combineren van netwerk en beveiliging op één plek: organisaties die op afgelegen OT-locaties netwerk en beveiliging samenbrengen, melden 93 procent minder cyberincidenten dan bij een plat, ongesegmenteerd netwerk.
Hoe het Fortinet OT Security Platform deze problemen in de praktijk oplost
Het Fortinet OT Security Platform is gebouwd op één besturingssysteem, FortiOS, en opgenomen in de Fortinet Security Fabric. Daardoor werken de afzonderlijke beveiligingscomponenten over de grens van IT en OT samen in plaats van als losse eilanden. Het platform combineert assetdetectie, segmentatie, veilige connectiviteit en geautomatiseerde security-operaties, ondersteund door realtime dreigingsinformatie van FortiGuard Labs. Hieronder de bouwstenen die de eerder genoemde problemen direct raken.
Segmentatie en microsegmentatie volgens het Purdue-model
De eerste verdedigingslijn tegen zijdelingse verplaatsing is het opdelen van het netwerk in zones. Volgens het Purdue-model worden IT- en OT-omgevingen gescheiden op de kritieke beveiligingsgrenzen, zodat een aanvaller die het kantoornetwerk binnendringt niet ongehinderd kan doorstoten naar de besturingslaag. Met FortiGate next-generation firewalls en FortiSwitch-switches die via FortiLink rechtstreeks worden beheerd, kan beveiliging tot op het niveau van de individuele switchpoort worden afgedwongen. Zo ontstaat granulaire microsegmentatie waarbij elk OT-apparaat alleen die communicatie krijgt die het nodig heeft, niet meer en niet minder.
Virtuele patching en herkenning van industriële protocollen via FortiGuard
Voor de kwetsbare legacy-systemen die niet zonder meer gepatcht kunnen worden, biedt de FortiGuard OT Security Service een compenserende maatregel. Deze dienst voegt aan een FortiGate intrusion prevention- en application control-signatures toe die specifiek op OT zijn toegesneden. Via virtuele patching worden bekende kwetsbaarheden op netwerkniveau afgeschermd, zonder dat het onderliggende apparaat hoeft te worden aangeraakt. De service herkent en inspecteert een breed scala aan industriële protocollen, waaronder Modbus, BACnet, Siemens S7, DNP3, IEC 61850, OPC UA en Profinet. Fortinet claimt zelf meer dan twee keer zoveel OT-protocollen te ondersteunen als concurrerende oplossingen, wat de zichtbaarheid in industriële communicatie flink vergroot.
Veilige toegang op afstand met FortiPAM
Om het risico van remote access te beheersen, zet Fortinet FortiPAM in voor privileged access management. Daarmee krijgen externe leveranciers, contractanten, auditors en interne gebruikers uitsluitend gecontroleerde toegang tot de OT-systemen die ze nodig hebben, inclusief sessiemonitoring en auditing. De toegang wordt geminimaliseerd tot wat strikt noodzakelijk is, wat aansluit bij het zero-trust-principe van continue verificatie. Fortinet breidt het platform daarnaast uit met stevige FortiExtender 5G-modellen voor betrouwbare connectiviteit op afgelegen industriële locaties, iets waar we bij SolidBE regelmatig vragen over krijgen van klanten met verspreide sites. Hoe Fortinet zijn OT-platform op dit vlak heeft versterkt, staat beschreven in ons artikel over de recente uitbreiding van het Fortinet OT-netwerkbeveiligingsplatform.
NOC- en SOC-operaties die IT en OT niet langer los van elkaar laten draaien
Een terugkerend knelpunt is dat IT en OT vaak door gescheiden teams worden beheerd, wat dubbel werk en blinde vlekken oplevert. Het Fortinet-platform brengt die monitoring samen. FortiAnalyzer verzamelt logs en telemetrie, terwijl FortiSIEM en FortiSOAR detectie en respons automatiseren over de volledig samengevoegde omgeving. Aanvullend versterken FortiNDR voor netwerkdetectie op basis van AI en FortiDeceptor voor deceptietechnologie het vermogen om dreigingen vroegtijdig te herkennen. Het resultaat is een gecentraliseerd overzicht waarmee beveiligingsteams sneller kunnen reageren.
Erkenning en certificering van het Fortinet OT-platform door onafhankelijke partijen
De positie van Fortinet in de markt voor OT-beveiliging is door verschillende onafhankelijke partijen beoordeeld, en die beoordelingen vallen behoorlijk consistent uit. In de Gartner Magic Quadrant for CPS Protection Platforms van 2026 is Fortinet geplaatst als Challenger. In de IT/OT Network Protection Platform Navigator 2025 van Westlands Advisory is Fortinet voor de derde keer op rij aangemerkt als Overall Leader, met de hoogste score op zowel strategische richting als platformcapaciteit. Daarnaast heeft Fortinet de IEC 62443-4-1 Maturity Level 2-certificering behaald voor zijn Secure Product Development Lifecycle, wat aantoont dat beveiliging al vanaf het ontwerp van de producten wordt meegenomen. Sinds begin augustus 2026 is daar een vervolgstap bijgekomen: FortiOS 7.6 behaalde de IEC 62443-4-2 Security Level 4-certificering, het hoogste niveau binnen die norm, wat de eerdere ML2-certificering van het ontwikkelproces aanvult met een onafhankelijk geverifieerde technische beoordeling van het product zelf.
Certificeringen zijn prettig op een compliance-overzicht, maar ik zou organisaties toch willen aanraden om ze niet als eindpunt te zien. Een IEC 62443-certificaat zegt iets over hoe een leverancier zijn producten bouwt, niet over hoe goed uw eigen netwerk is gesegmenteerd of hoe snel uw team een incident herkent. Die twee dingen los je niet op met een certificaat aan de muur, maar met configuratie, monitoring en oefening.
Wat dit betekent voor de beveiliging van uw eigen OT-omgeving
De convergentie van IT en OT is onomkeerbaar, en levert reële voordelen op in de vorm van efficiëntie en stuurinformatie. Tegelijk vraagt het om een beveiligingsstrategie die de eigenheid van industriële omgevingen respecteert in plaats van er overheen te walsen. Verouderde systemen, het verdwijnen van de air gap, externe toegang en een wet die nu daadwerkelijk gehandhaafd wordt, vormen samen een risicoprofiel dat niet met een enkele maatregel is op te lossen. Het platform van Fortinet ondervangt die combinatie met segmentatie, virtuele patching, gecontroleerde toegang en samengevoegde security-operaties, ondersteund door actuele dreigingsinformatie en bevestigd door onafhankelijke beoordelingen.
De vraag die voor de meeste organisaties nu op tafel ligt, is niet meer óf ze hun OT-omgeving moeten beveiligen, maar hoe snel ze dat kunnen doen voordat een aanvaller, een auditor of de wetgever hen voor is.
SolidBE is Nederlands specialist in ICT-infrastructuur en cyberbeveiliging voor de zakelijke markt en Fortinet Advanced Partner. Wilt u weten hoe u uw OT-omgeving veiliger en aantoonbaar compliant maakt? Neem contact op met SolidBE en laat u adviseren door een van onze Fortinet-specialisten.
