Wanneer uitval geen optie is: beveiliging voor kritieke infrastructuur

De NIS2-richtlijn, geïmplementeerd in Nederland via de Wet beveiliging netwerk- en informatiesystemen, verplicht organisaties in essentiële en belangrijke sectoren tot het nemen van passende en evenredige maatregelen op het gebied van risicobeheer. Concreet betekent dit: het opstellen en onderhouden van een risicoanalyse en beveiligingsbeleid, het treffen van maatregelen voor incidentbehandeling, bedrijfscontinuïteit en crisisbeheersing, beveiliging van de toeleveringsketen, en beleid voor encryptie en toegangsbeveiliging. Bij incidenten geldt een meldplicht: binnen 24 uur een vroege waarschuwing en binnen 72 uur een gedetailleerde melding bij het NCSC of de sectorale autoriteit. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld bij niet-naleving.

De fundamentele verschillen liggen in de gevolgen van een incident, de complexiteit van de omgeving en de regelgevingsdruk. Bij reguliere bedrijfsbeveiliging zijn de gevolgen van een inbreuk doorgaans beperkt tot de organisatie zelf. Bij kritieke infrastructuur kan een incident leiden tot maatschappelijke verstoring, geïmpliceerde persoonsschade of nationale veiligheidsrisico's. Technisch zijn de omgevingen complexer: beveiligingssystemen moeten integreren met industriële proces besturingssystemen, moeten werken in explosieveilige of andere bijzondere omgevingen, en mogen de operationele processen nooit verstoren. Daarnaast vereist de regelgevingsdruk — NIS2, sectorspecifieke normen, toezicht door autoriteiten — een aantoonbaar hoger volwassenheidsniveau.

Ja, en dit is precies de expertise die Evolution onderscheidt in kritieke infrastructuuromgevingen. Onze implementatiemethodologie is ontwikkeld voor omgevingen waar stilstand niet mogelijk is. Wij werken met gedetailleerde uitrolplannen afgestemd op uw onderhoudsvensters, gefaseerde activering die continue bewaking garandeert, en parallelle systeemactivering waarbij het nieuwe systeem volledig operationeel is vóór het oude buiten gebruik wordt gesteld. Wij hebben dit bewezen bij energie-installaties, waterbeheerfaciliteiten en datacenters die geen seconde zonder bewaking konden.

De convergentie van fysieke beveiliging en operationele technologie (OT) is een van de meest kritieke ontwikkelingen in de sector. Evolution ontwerpt beveiligingsarchitecturen met expliciete aandacht voor OT/IT-scheiding en de specifieke beveiligingsvereisten van industriële netwerken conform IEC 62443. Praktisch betekent dit: beveiligingssystemen die informatie kunnen uitwisselen met SCADA en BMS zonder de integriteit van het OT-netwerk te compromitteren, netwerksegmentatie die aanvalsvectoren beperkt, en gedeeld situational awareness voor operatoren en beveiligingsteams via gescheiden interfaces. Wij betrekken bij elk project zowel uw OT-team als uw IT-beveiligingsteam.

NIS2 (Netwerk- en Informatiesystemen) richt zich primair op de cyberbeveiliging en de digitale weerbaarheid van essentiële en belangrijke organisaties. De CER-richtlijn (Critical Entities Resilience) richt zich op de fysieke weerbaarheid van kritieke entiteiten — dus op fysieke dreigingen zoals terrorisme, sabotage, natuurrampen en infrastructuurfalen. Beide richtlijnen zijn complementair en kunnen van toepassing zijn op dezelfde organisatie. Voor beheerders van kritieke infrastructuur betekent dit dat zowel de fysieke beveiligingsmaatregelen als de cyberbeveiliging aan aantoonbare normen moeten voldoen. Evolution werkt bij risicoanalyses en beveiligingsontwerp altijd vanuit een geïntegreerde benadering van beide domeinen.

Aantoonbaarheid is een kernvereiste onder NIS2 en andere kritieke infrastructuurregelgeving. Evolution ontwerpt systemen die compliance-documentatie automatisch genereren: volledige toegangslogboeken met tijdstempel, incidentrapportages conform meldformaten van toezichthouders, onderhoudsregistraties en systeemgezondheidsrapporten. Onze platforms bieden realtime compliance dashboards waarmee uw beveiligingsteam en uw bestuur op elk moment inzicht hebben in de beveiligingspostuur. Bij audits — intern of door toezichthouders als RDI of NCSC — is de documentatie direct beschikbaar, zonder handmatig verzamelwerk.

De handhavingsbevoegdheden onder NIS2 zijn aanzienlijk uitgebreider dan onder de voorgaande NIS1-richtlijn. Toezichthouders kunnen audits en inspecties uitvoeren, corrigerende maatregelen opleggen en bij ernstige of herhaalde overtredingen boetes opleggen tot €10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten. Bestuurders van essentiële entiteiten kunnen bovendien persoonlijk aansprakelijk worden gesteld als kan worden aangetoond dat de overtreding het gevolg is van nalatigheid. Naast boetes kan reputatieschade en het verlies van vergunningen of concessies ernstige operationele gevolgen hebben. Evolution helpt organisaties een verdedigbaar beveiligingsprogramma op te bouwen dat bij toetsing standhoudt.

Ja. In kritieke infrastructuuromgevingen werkt Evolution regelmatig als hoofdaannemer voor fysieke beveiliging, naast gespecialiseerde OT-beveiliging- en procesautomatiseringsbedrijven. Wij zijn gewend te opereren binnen multi-leverancier-omgevingen en begrijpen het belang van duidelijke verantwoordelijkheidsgrenzen, gedeelde architectuurprincipes en gezamenlijke testprotocollen. Onze integratie-API's zijn open en gedocumenteerd, zodat koppeling met uw bestaande systemen en toekomstige uitbreidingen haalbaar blijft. Wij zijn geen leverancier die u wil opsluiten in een gesloten ecosysteem — onze medewerker-eigendom structuur betekent dat langdurige klant relatie  altijd boven korte termijnmarge gaat.