Je productielijn beveilig je niet zoals je kantoor-IT, en de meeste fabrikanten doen dat toch

Een beveiligingsupdate die je laptop veiliger maakt, kan je productielijn stilleggen. In die ene zin zit het misverstand waar ik het over wil hebben.

De meeste mkb-fabrikanten die ik spreek, beveiligen hun mailbox en hun machines met dezelfde reflex: patch alles zodra er een update is, zet er een virusscanner op, en verder regelt de IT'er het wel. Voor de kantoorkant is dat precies goed. Voor de fabriekshal is het precies verkeerd. Operationele techniek, de systemen die je machines, je koelcellen en je lijn aansturen, is een fundamenteel ander beveiligingsvraagstuk dan je kantoor-IT. Wie het hetzelfde behandelt, beveiligt het niet te weinig, maar verkeerd.

Dat werd de afgelopen weken twee keer zichtbaar. Toen ransomware bij Coca-Cola's zuiveldochter Fairlife de productie-gerelateerde systemen raakte en de Amerikaanse melkproductie stillegde, was het opvallende niet dat er data gegijzeld werd, maar dat de fysieke productie stopte. Een paar dagen eerder legde een aanval op de koel- en vrieslogistiek van Nichirei de aanvoer bij KFC en ijsmaker Glico stil, zonder dat een van die merken zelf gehackt was. Geen gestolen bestanden, geen losgeldbrief in je inbox. Gewoon: de lijn staat, de koeling valt uit, de vrachtwagen blijft leeg.

En dit zijn geen uitschieters. Volgens IBM's X-Force is de maakindustrie voor het vijfde jaar op rij de meest aangevallen sector, goed voor 27,7 procent van alle cyberaanvallen in 2025. Het aantal industriële organisaties dat door ransomware werd geraakt verdubbelde bijna, van 1.693 in 2024 naar zo'n 3.300 in 2025, telde beveiligingsbedrijf Dragos. En steeds vaker is verstoring en afpersing het doel, niet diefstal: aanvallers hebben allang door dat een stilstaande lijn sneller betaalt dan een gestolen klantenbestand.

Dat de maakindustrie zo bovenaan staat, is geen toeval. De marges zijn dun, de stilstand is duur, en een fabrikant die per uur omzet verliest is eerder geneigd te betalen dan een bedrijf dat een dag zonder een systeem kan. Tel daarbij op dat veel productieomgevingen jarenlang op dezelfde apparatuur draaien, en je hebt een sector die tegelijk aantrekkelijk en slecht verdedigbaar is.

Waarom de fabriek andere regels heeft

Operationele techniek (OT) is het geheel van hardware en software dat fysieke processen aanstuurt: de besturing van een machine, een verpakkingslijn, een koelinstallatie, een pomp. Waar kantoor-IT draait om informatie, draait OT om een proces dat blijft lopen. Dat verschil klinkt klein, maar het draait de hele beveiligingslogica om. In IT komt vertrouwelijkheid eerst; in OT komt beschikbaarheid eerst, en een systeem dat nooit uit mag, beveilig je anders dan een laptop.

Neem het patchen. In de kantooromgeving is een update installeren een routineklus: even 's avonds uitrollen, machine herstart, klaar. Op een productielijn is diezelfde handeling een ingreep in een draaiend proces. Je kunt een besturing die een oven of een vulmachine aanstuurt niet zomaar herstarten zonder de productie te onderbreken, en soms zonder dat de leverancier zijn garantie intrekt. Daarom draait veel OT-apparatuur software die niet frequent bijgewerkt kan worden zonder het continue proces te verstoren, en gaan er niet weken maar vaak jaren tussen twee updates. Een programmeerbare besturing die vijftien jaar geleden is geplaatst, doet vandaag nog gewoon zijn werk, en draait waarschijnlijk een besturingssysteem waarvoor allang geen patches meer verschijnen.

De IT-reflex, patch alles meteen, loopt hier dus vast op de fysica van de fabriek. Niet omdat de fabrikant lui is, maar omdat de kosten van stilstand groter lijken dan het risico van een bekend lek, tot het moment dat iemand dat lek misbruikt. Dan blijkt de rekening andersom.

Het platte netwerk is de echte deur

Het tweede verschil is de tekening van het netwerk. Vroeger stond de fabriekshal los: eigen kabels, geen internet, fysiek gescheiden van de kantoorautomatisering. Dat is bijna overal veranderd. De lijn stuurt nu productiecijfers naar een dashboard, de leverancier logt op afstand in voor onderhoud, en de sensoren praten met de cloud. Handig, en meestal onvermijdelijk. Maar in veel mkb-bedrijven is bij die koppeling nooit een scheiding aangebracht: het kantoornetwerk en de productiesystemen hangen aan hetzelfde platte netwerk.

Dat maakt één gephishte inlog gevaarlijker dan hij lijkt. IBM ziet dat aanvallers steeds vaker binnenkomen met geldige inloggegevens in plaats van malware, juist omdat ze daarmee opgaan in het normale verkeer. Staat er tussen de mailbox van de administratie en de besturing van de lijn geen enkele muur, dan is de weg van een misleide medewerker naar de productie-aansturing kort. Bij Fairlife raakte de aanval precies die productie-gerelateerde systemen, niet alleen de kantoor-IT. Dat is het scenario dat een fabrikant wakker zou moeten houden: niet je inbox eruit, maar je lijn.

Beschikbaarheid gaat voor geheimhouding, en het is breder dan een fabriek

Het derde verschil zit in wat je eigenlijk beschermt. Bij kantoor-IT is de ergste uitkomst meestal een datalek: gegevens op straat, een boete, reputatieschade. Bij OT is de ergste uitkomst dat het proces stopt of onveilig wordt: bederf in de koelcel, een lijn die vastloopt, in het uiterste geval een machine die schade veroorzaakt. Beschikbaarheid en veiligheid gaan voor geheimhouding. Een maatregel die in de kantooromgeving juist verstandig is, zoals een systeem automatisch afsluiten bij verdacht gedrag, kan op de werkvloer het gevaar zelf worden.

En dit speelt breder dan bij de grote industrie alleen. Je hebt geen raffinaderij nodig om OT te hebben. Een bakkerij met een geprogrammeerde oven, een verwerker met een koelcel, een metaalbedrijf met een CNC-machine, een webshop met een geautomatiseerd magazijn: allemaal draaien ze fysieke processen op besturingen die niemand als IT ziet en die daarom buiten de risicoanalyse vallen. Dezelfde werkvloer waar de winst van AI in de maakindustrie ligt en niet in de boekhouding, is ook waar het beveiligingsrisico zich stilletjes ophoopt. De Nichirei-aanval liet zien hoe ver dat reikt: de koeling zelf werd het doelwit, en een halve voedselketen stond stil.

Om eerlijk te zijn: je hebt geen SCADA en geen OT-ploeg

De meeste ondernemers die dit lezen, denken nu: ik heb geen SCADA en geen fabriek, dit gaat over de grote jongens. Dat is een redelijk bezwaar. Je hebt geen ploeg procesengineers, geen apart OT-netwerk, geen budget voor een industrieel securityplatform. En, zul je terecht zeggen, je kunt die systemen toch niet meer volledig loskoppelen nu alles verbonden moet zijn om überhaupt te kunnen concurreren.

Allebei waar. Maar geen van beide is een reden om OT als gewone IT te blijven behandelen, integendeel. Juist omdat je geen OT-specialist hebt, is het gevaarlijk om ervan uit te gaan dat je vertrouwde IT-aanpak de lijn wel dekt, want dat doet hij niet. En het punt is niet dat je alles weer los moet koppelen. Het punt is dat verbinding een keuze vraagt die nu vaak niemand maakt: wélke systemen mogen met elkaar praten, welke niet, en waar zet je een muur tussen je kantoor en je proces. Segmentatie is geen alles-of-niets. Eén doordachte scheiding tussen het netwerk waarop mensen mailen en het netwerk waarop je lijn draait, is vaak de goedkoopste en grootste winst die een fabrikant kan boeken. Niet meer beveiliging, andere beveiliging.

De verkeerde bril

Terug naar die update die je laptop beschermt en je lijn stillegt. Het echte probleem is niet dat mkb-fabrikanten te weinig aan beveiliging doen. Het is dat ze de fabriekshal met de bril van het kantoor bekijken, en zo de verkeerde dingen op de verkeerde manier beschermen. De vraag is niet of je een virusscanner hebt, maar of je weet welke systemen je proces aansturen, of die los staan van je kantoor-IT, en wat er met je productie gebeurt als er één omvalt.

Dat laatste, of je een stilstand overleeft, is een aparte vraag die je maar beter vooraf kunt beantwoorden, want continuïteit na een aanval koop je niet, die ontwerp je. Maar daarvoor komt de erkenning die de meeste risicoanalyses nog missen: je lijn is geen groot kantoorapparaat. Het is een eigen domein, met eigen regels, en het verdient een eigen plek in je beveiliging. Zolang je die twee door elkaar haalt, patch je ijverig je mailbox terwijl de deur naar je fabriek openstaat.