Cybersecurity in de maakindustrie anno 2026

De fabriek is verbonden en dus kwetsbaar

Actuele ontwikkelingen in de maakindustrie zijn AI, robotisering, ketensamenwerking en kennisborging. Al die ontwikkelingen hebben één ding gemeen: ze maken je bedrijf afhankelijker van digitale systemen en van verbindingen met de buitenwereld. Daarmee is cybersecurity geen klusje voor de IT-leverancier meer, maar een kwestie van bedrijfscontinuïteit.

“Digitalisering gaat vaak sneller dan het besef van de risico’s die daarbij horen,” zegt Cees van Rekum van TCPM, dat industriële bedrijven onder meer helpt met engineering, industriële veiligheid en cybersecurity, in een interview op fme.nl. Volgens hem onderschatten bedrijven vaak hoe een cyberincident de productie kan stilleggen, tot kennisverlies kan leiden of de keten kan verstoren.

Het Nationaal Cyber Security Centrum (NCSC) wijst erop dat steeds meer bedrijven hun industriële besturingssystemen en operationele techniek (OT) met internet hebben verbonden, soms zonder te beseffen dat die systemen daardoor ook voor kwaadwillenden bereikbaar kunnen zijn. Volgens het NCSC zijn zulke systemen juist door hun kritieke rol in productie een aantrekkelijk doelwit.

Ook de sterke ketenafhankelijkheid speelt mee. In onderzoek van Cegeka onder 245 Nederlandse maakbedrijven wordt die afhankelijkheid van de toeleveringsketen genoemd als reden waarom de sector aantrekkelijk is voor cybercriminelen: een incident bij één bedrijf kan schade veroorzaken in de hele keten.

Waarom juist nu?

Twee nieuwe regelgevingen maken het thema extra urgent.

• De Cyberbeveiligingswet (Cbw). Deze Nederlandse invulling van de Europese NIS2-richtlijn is op 15 augustus 2026 in werking getreden. Ruim 8.000 organisaties krijgen daarmee onder meer een registratieplicht, een zorgplicht en een meldplicht. Ook bepaalde delen van de maakindustrie vallen eronder.
• De Cyber Resilience Act (CRA). Deze Europese verordening stelt eisen aan producten met digitale elementen, waaronder machines en industriële systemen. Sinds 11 september 2026 geldt voor fabrikanten een meldplicht voor actief misbruikte kwetsbaarheden en ernstige incidenten; de belangrijkste overige verplichtingen gaan op 11 december 2027 in.

En ook als je bedrijf zelf buiten beide regels valt, kun je ermee te maken krijgen. Onder de Cbw zijn organisaties ook verantwoordelijk voor de veiligheid van hun toeleveringsketen. Wie levert aan een bedrijf dat onder de wet valt, kan dus vragen verwachten over hoe hij zijn eigen zaken op orde heeft.

Vier vragen voor elke directie

Cybersecurity kan overweldigend voelen. Deze vier vragen helpen om het behapbaar te maken:

1. Valt mijn bedrijf onder de Cyberbeveiligingswet, of mijn klant? Dat hangt af van sector en omvang.
2. Maak ik producten met digitale elementen? Dan heb je te maken met de Cyber Resilience Act.
3. Hoe veilig is mijn fabrieksvloer? Machines en besturingen vragen een andere aanpak dan kantoor-IT.
4. Wie is bij ons verantwoordelijk? Onder de Cbw is cyberveiligheid uitdrukkelijk een bestuurstaak.

Verdiepende informatie

Deze vragen werken we verder uit in onderstaande artikelen. Een kort overzicht van beide wetten lees je ook in Cyberbeveiligingswet en Cyber Resilience Act: dit verandert er voor de maakindustrie.

• Geldt de Cyberbeveiligingswet ook voor jouw bedrijf? Wie eronder valt, wat de wet vraagt en wat het betekent als je klant eronder valt.
• Wat machinebouwers nu al moeten regelen vanwege de Cyber Resilience Act. De meldplicht die sinds september geldt en de eisen die in december 2027 volgen.
• Pak je OT-security aan om de fabrieksvloer te beveiligen Waarom machines en besturingen een eigen aanpak vragen.
• Cybersecurity is een bestuurstaak. Wat de wet van bestuurders vraagt en welke vragen je als directeur stelt.
• Start met cybersecurity in vijf stappen: vijf eerste stappen. Gratis checks, basismaatregelen en de subsidie die tot en met 30 november openstaat.

Direct aan de slag

Je hoeft niet te wachten tot je alles weet. Drie gratis hulpmiddelen van de overheid geven binnen korte tijd inzicht:

• De CyberVeilig Check voor zzp en mkb levert een persoonlijke actielijst met basismaatregelen.
• De NIS2-zelfevaluatie laat zien of je organisatie onder de Cyberbeveiligingswet valt.
• De Security Check Procesautomatisering brengt de risico's rond je OT- en besturingssystemen in kaart.

Voor kleine bedrijven is er bovendien de subsidieregeling Mijn Cyberweerbare Zaak, die tot en met 30 november 2026 openstaat. Daarover meer in het artikel ‘Start met cybersecurity in vijf stappen’.

Hoe Smart Industry helpt

Op de cybersecuritypagina van Smart Industry vind je een aanbod voor verschillende startpunten. Wie zelf aan de slag wil, vindt daar onder meer informatie over een sterke basis, NIS2 en OT-beveiliging. Wie hulp wil, kan kiezen uit:

• De Dienst Cyberweerbaarheid: een expert voert een nulmeting van je IT- en OT-omgeving uit, beoordeelt de risico's en adviseert over vervolgstappen. De dienst wordt uitgevoerd door de European Digital Innovation Hubs (EDIH's) en de kosten worden voor een groot deel gedekt door subsidie.
• De Dienst Secure by Design: voor producenten van hard- en software. Een expert brengt de beveiliging van je product in kaart en adviseert, met de Cyber Resilience Act als uitgangspunt.
• Thematisch aan de slag: een specifiek onderwerp oppakken met de MIT-Innovatiemakelaarsregeling.
• Een adviesgesprek met een expert.

Smart Industry werkt hierin samen binnen het project Cyber Security for Smart Industry, een samenwerking van Smart Industry, FME, Koninklijke Metaalunie, regionale hubs en cyberweerbaarheidsorganisaties zoals het Cyber Weerbaarheidscentrum Brainport, het Centrum voor Veiligheid en Digitalisering en Security Delta (HSD). FME-leden vinden daarnaast artikelen en veelgestelde vragen over de Cyberbeveiligingswet en de CRA op fme.nl.

Liever hulp dichtbij? De regionale partners zijn:

• Noord: EDIH Noord-Nederland
• Noordwest: EDIH Digital Hub Noordwest
• Oost: BOOST
• Zuid: Klikopmorgen
• Zuidwest: Digitalzh

In Zuid-Holland helpt het Cyberweerbaarheidscentrum Maakindustrie deelnemende maakbedrijven met onder meer advies, toegang tot experts, dreigingsinformatie en kennisbijeenkomsten.