Production lines, climate systems, door locks and cameras were built to run for twenty years, not to be attacked. In plain language: how they get reached, why they cannot simply be patched, and what keeps the plant running. Productielijnen, klimaatsystemen, deursloten en camera's zijn gebouwd om twintig jaar te draaien, niet om aangevallen te worden. In gewone taal: hoe ze bereikt worden, waarom ze niet zomaar te patchen zijn, en wat de fabriek draaiend houdt.
Most plants, warehouses and buildings grew their networks over decades. The controllers on the line, the climate system, the badge readers and the cameras were plugged into whatever cable was nearest. Today that cable usually leads to the same network as the office laptops. An infection that starts with a spreadsheet in finance can, an hour later, be talking to the machine that fills the bottles. Nobody designed it that way. Nobody designed it at all.
Business impact: an office incident becomes a production incident. Instead of “some laptops need rebuilding” the conversation is “the line is down, the shift is sent home, and we do not know when it restarts”. Downtime is measured in lost output per hour, and in penalties to customers who were promised delivery.
De meeste fabrieken, magazijnen en gebouwen hebben hun netwerk in tientallen jaren laten groeien. De besturingen op de lijn, het klimaatsysteem, de paslezers en de camera's werden aangesloten op de kabel die het dichtst bij lag. Vandaag leidt die kabel meestal naar hetzelfde netwerk als de kantoorlaptops. Een besmetting die begint met een spreadsheet bij finance kan een uur later praten met de machine die de flessen vult. Niemand heeft het zo ontworpen. Niemand heeft het überhaupt ontworpen.
Bedrijfsimpact: een kantoorincident wordt een productie-incident. In plaats van “een paar laptops moeten opnieuw geïnstalleerd worden” gaat het gesprek over “de lijn staat stil, de ploeg is naar huis gestuurd en we weten niet wanneer hij weer start”. Stilstand wordt gemeten in gemiste productie per uur, en in boetes aan klanten aan wie levering was beloofd.
Once inside the office network, AI-driven tools automatically map which devices on the shared network are reachable and vulnerable, letting an attacker pivot from a finance laptop to the production line without the slow, manual poking around that used to give it away.Eenmaal binnen het kantoornetwerk brengen AI-tools automatisch in kaart welke apparaten bereikbaar en kwetsbaar zijn, waardoor een aanvaller van een financelaptop naar de productielijn springt zonder het trage, handmatige rondkijken dat vroeger opviel.
An AI-powered helpdesk or monitoring agent with reach into both networks can be tricked by a crafted message into running commands that cross from the office side to the plant, misusing a legitimate tool nobody meant to touch production.Een AI-helpdesk- of monitoringtool die bij beide netwerken kan, is met een geprepareerd bericht te verleiden tot opdrachten die van kantoor naar de fabriek overspringen, misbruik van een legitiem hulpmiddel dat productie nooit had mogen raken.
AI-based anomaly detection can flag unusual traffic crossing from office to plant in real time, catching what a person would miss, but the wall itself is still the control that counts: segmentation with one monitored crossing point.AI-gebaseerde detectie kan ongebruikelijk verkeer van kantoor naar fabriek in realtime signaleren, iets wat een mens mist, maar de muur zelf blijft de maatregel die telt: segmentatie met één bewaakte overgang.
A laptop gets a security update every month. A controller on the line gets one never: the vendor no longer exists, or the update requires stopping production, or the machine is certified as a whole and touching its software voids that certification. Cameras, door controllers and meeting-room screens ship with a factory password that nobody changes because nobody owns them. These devices will run for another decade exactly as they are, holes included.
Business impact: “patch it” is not an option, so the usual answer to a published vulnerability does not exist. The choice is between isolating the device so nothing can reach it, replacing it early at capital cost, or accepting that it is open. That is a business decision with a price tag, not an IT ticket.
Een laptop krijgt elke maand een beveiligingsupdate. Een besturing op de lijn krijgt er nooit een: de leverancier bestaat niet meer, of de update vereist dat de productie stopt, of de machine is als geheel gecertificeerd en aan de software komen maakt die certificering ongeldig. Camera's, deurbesturingen en vergaderschermen worden geleverd met een fabriekswachtwoord dat niemand verandert, omdat niemand er eigenaar van is. Deze apparaten draaien nog tien jaar precies zoals ze zijn, inclusief de gaten.
Bedrijfsimpact: “patch het” is geen optie, dus het gebruikelijke antwoord op een gepubliceerde kwetsbaarheid bestaat niet. De keuze is: het apparaat isoleren zodat niets het kan bereiken, het vervroegd vervangen tegen investeringskosten, of accepteren dat het open staat. Dat is een bedrijfsbeslissing met een prijskaartje, geen IT-ticket.
Finding a camera or controller with a default password never needed AI, botnets have done that for years already. What AI adds is fast triage: reading device manuals and firmware at scale to uncover undocumented debug logins nobody had time to check by hand.Een camera of besturing met een standaardwachtwoord vinden kostte al jaren geen AI, botnets deden dat al lang. Wat AI toevoegt is snelle triage: handleidingen en firmware op schaal doorlezen om verborgen debug-inlogs te vinden die niemand met de hand had gecontroleerd.
A boardroom screen or camera with its own AI assistant and microphone can be steered by voice-command injection or a manipulated app update, turning a device meant for convenience into one that listens or unlocks a door on command.Een vergaderscherm of camera met eigen AI-assistent en microfoon is te sturen via een stemcommando of een gemanipuleerde app-update, waardoor een apparaat dat gemak moest bieden nu meeluistert of op afstand een deur opent.
AI-assisted asset discovery can spot unowned devices and default credentials across the network far faster than a manual audit, but closing the gap still means changing the password, naming an owner, and isolating what cannot be patched.AI-ondersteunde inventarisatie vindt apparaten zonder eigenaar en met standaardwachtwoorden veel sneller dan een handmatige audit, maar het gat dichten betekent nog altijd: wachtwoord wijzigen, eigenaar aanwijzen, en isoleren wat niet gepatcht kan worden.
When the line was installed, the vendor's engineer set up a remote connection so they could fix faults from their office. It was convenient, so it stayed. Years later it is still there: one password shared by the vendor's whole service team, past and present, valid around the clock, terminating directly on the controllers. If that vendor is breached, or an ex-engineer keeps the password, the attacker walks straight past every wall we did build.
Business impact: this is the entry route in a large share of real plant incidents, because it is the one path that was deliberately built to bypass the network boundary. The maintenance contract usually says nothing about it. Whoever signs that contract is, in practice, granting standing access to the production floor.
Toen de lijn werd geïnstalleerd, richtte de monteur van de leverancier een verbinding op afstand in om storingen vanuit kantoor op te lossen. Het was handig, dus het bleef. Jaren later is het er nog: één wachtwoord, gedeeld door het hele serviceteam van de leverancier, huidig en voormalig, dag en nacht geldig, rechtstreeks op de besturingen. Wordt die leverancier gehackt, of houdt een ex-monteur het wachtwoord, dan loopt de aanvaller dwars door elke muur die we wél hebben gebouwd.
Bedrijfsimpact: dit is de ingang bij een groot deel van de echte fabrieksincidenten, omdat het de ene route is die bewust is aangelegd om de netwerkgrens te omzeilen. Het onderhoudscontract zegt er meestal niets over. Wie dat contract tekent, geeft in de praktijk permanente toegang tot de productievloer.
When a vendor's own systems are breached, AI can search huge dumps of stolen vendor emails and credentials in minutes, quickly identifying which shared maintenance password still works, turning one vendor breach into access at every customer plant.Wordt een leverancier zelf gehackt, dan doorzoekt AI binnen minuten enorme hoeveelheden gestolen e-mails en wachtwoorden om te zien welk gedeeld onderhoudswachtwoord nog werkt, en maakt zo van één hack toegang tot elke klantfabriek.
A departing vendor engineer, or an AI-driven diagnostics agent with standing access, can use natural-language commands to quietly pull configuration files or open extra access through the maintenance link before anyone notices it happened.Een vertrekkende monteur, of een AI-diagnosetool met permanente toegang, kan via natuurlijke taal ongemerkt configuratiebestanden ophalen of extra toegang openzetten via de onderhoudsverbinding, zonder dat iemand het merkt.
AI can review every recorded vendor session for unusual commands or odd timing and alert instantly, but the control that actually closes the gap is access on request, through a jump host, for a named person, for a set time.AI kan elke opgenomen leverancierssessie controleren op vreemde opdrachten of tijdstippen en direct alarmeren, maar wat de opening echt dicht zet is toegang op aanvraag, via een jump host, voor een persoon bij naam, voor een vaste tijd.
In the office, the worst case is data: stolen, leaked, encrypted. On the plant floor the worst case is physical. A changed setpoint overheats a vessel. A disabled interlock lets two things happen at once that must never happen at once. A frozen cooling system in a data centre or a cold store ruins what is inside. And the operator screen can be made to show normal values while the process is anything but. The damage is to equipment, product, people and the environment, and it is not restored from a backup.
Business impact: a safety incident brings the labour inspectorate, the environmental regulator and the insurer, on top of the production loss. The board is accountable for safety in a way it is not for a data breach. From 20 January 2027 the Machinery Regulation (EU) 2023/1230 requires that a connected or remote device cannot make new machinery unsafe. This is why OT security belongs with the operations director and the safety officer, not only with IT.
Op kantoor is het ergste geval data: gestolen, gelekt, versleuteld. Op de productievloer is het ergste geval fysiek. Een gewijzigde instelwaarde laat een vat oververhitten. Een uitgeschakelde vergrendeling laat twee dingen tegelijk gebeuren die nooit tegelijk mogen gebeuren. Een stilgevallen koeling in een datacenter of een koelhuis verpest wat erin ligt. En het bedienscherm kan normale waarden tonen terwijl het proces alles behalve normaal is. De schade is aan apparatuur, product, mensen en milieu, en die komt niet terug uit een back-up.
Bedrijfsimpact: een veiligheidsincident brengt de arbeidsinspectie, de milieutoezichthouder en de verzekeraar aan tafel, bovenop het productieverlies. De directie is aansprakelijk voor veiligheid op een manier die bij een datalek niet geldt. Vanaf 20 januari 2027 eist de Machineverordening (EU) 2023/1230 dat een aangesloten of extern apparaat nieuwe machines niet onveilig kan maken. Daarom hoort OT-beveiliging bij de operationeel directeur en de veiligheidskundige, niet alleen bij IT.
Faking a setpoint convincingly, like showing eighty degrees while the reactor runs at one hundred forty, still needs real knowledge of that specific process and its control logic, something generic AI cannot supply without an insider or stolen engineering files.Een instelwaarde overtuigend vervalsen, zoals tachtig graden tonen terwijl de reactor op honderdveertig graden draait, vraagt echte kennis van dat specifieke proces en de besturingslogica, iets wat generieke AI niet levert zonder een insider of gestolen technische tekeningen.
Plants increasingly use AI-based optimisers to auto-tune setpoints; if one is compromised or simply miscalibrated, it can drift a value toward an unsafe range on its own, with only a physical safety interlock left to catch it.Fabrieken gebruiken steeds vaker AI-optimalisatoren om instelwaarden automatisch bij te sturen; wordt zo'n systeem gehackt of verkeerd gekalibreerd, dan kan het zelf naar een onveilige waarde afdrijven, met alleen een fysieke vergrendeling die dat nog opvangt.
AI-based OT monitoring can flag a process value drifting outside its normal pattern faster than an operator would notice, but the actual safeguard is the hardware interlock that shuts things down on its own, with no login or algorithm able to override it.AI-gebaseerde OT-monitoring kan een afwijkende proceswaarde sneller signaleren dan een operator zou merken, maar de echte beveiliging is de vergrendeling in de hardware die zelf ingrijpt, zonder dat enige inlog of algoritme dat kan overschrijven.
Where to start is your call. Often the most effective first step is the vendor path: route it through the jump host and close the old direct line. Then split the plant into zones that meet only through a monitored conduit.
Waar u begint, bepaalt u zelf. Vaak is de leveranciersroute de meest effectieve eerste stap: leid die via de jump host en sluit de oude directe lijn. Deel daarna de fabriek op in zones die elkaar alleen via een bewaakte conduit raken.
| Control | Stops | In one line |
|---|---|---|
| Device inventory | Unpatchable (02) | Every connected controller, camera, sensor and screen on a list, with a named owner and a support end date. You cannot protect what you have not counted. |
| IT/OT segmentation | Reachable (01) | A wall between the office network and the plant, with one crossing point that is monitored. An office infection stays an office infection. IEC 62443 zones and conduits are the common yardstick. |
| Vendor access on request | Vendor door (03) | Remote maintenance only when we open it, for a named person, for a set time, through a jump host that records the session. Closed by default. |
| Isolate the unpatchable | Unpatchable (02) | Default passwords changed. Devices that cannot be patched put in their own corner where only what needs them can reach them. |
| OT monitoring | Safety (04) | Listening to plant traffic for things that never happen normally: a new device, a controller being reprogrammed, a setpoint changed from an unusual place. |
| Configuration backups | Safety (04) | The programs and settings of every controller saved offline, so a tampered or bricked machine can be restored in hours rather than re-engineered in weeks. |
| Incident plan with operations | All four | The plant manager and the safety officer in the plan, with the authority to stop the line. Rehearsed with a scenario that involves a machine, not a laptop. |
| Procurement rules | Unpatchable (02) | Before buying anything that connects: ask for the security support period and CRA conformity, whether the password can be changed, and whether it needs the internet. No clear answer is a good reason not to buy. |
| Maatregel | Stopt | In één zin |
|---|---|---|
| Apparaatinventaris | Niet te patchen (02) | Elke aangesloten besturing, camera, sensor en scherm op een lijst, met een eigenaar bij naam en een einddatum van ondersteuning. Wat u niet hebt geteld, kunt u niet beschermen. |
| IT/OT-segmentatie | Bereikbaar (01) | Een muur tussen het kantoornetwerk en de fabriek, met één bewaakte overgang. Een kantoorbesmetting blijft een kantoorbesmetting. De zones en conduits van IEC 62443 zijn de gangbare maatstaf. |
| Leverancierstoegang op aanvraag | Leveranciersdeur (03) | Onderhoud op afstand alleen als wij het openzetten, voor een persoon bij naam, voor een vaste tijd, via een jump host die de sessie opneemt. Standaard dicht. |
| Isoleer wat niet te patchen is | Niet te patchen (02) | Standaardwachtwoorden gewijzigd. Apparaten die niet gepatcht kunnen worden in een eigen hoek, waar alleen bij kan wat ze nodig heeft. |
| OT-monitoring | Veiligheid (04) | Meeluisteren op het fabrieksverkeer naar dingen die normaal nooit gebeuren: een nieuw apparaat, een besturing die wordt geherprogrammeerd, een instelwaarde die vanaf een ongebruikelijke plek verandert. |
| Configuratieback-ups | Veiligheid (04) | De programma's en instellingen van elke besturing offline bewaard, zodat een gesaboteerde of onbruikbare machine in uren wordt teruggezet in plaats van in weken opnieuw ontworpen. |
| Incidentplan met operations | Alle vier | De fabrieksmanager en de veiligheidskundige in het plan, met de bevoegdheid om de lijn te stoppen. Geoefend met een scenario rond een machine, niet rond een laptop. |
| Inkoopregels | Niet te patchen (02) | Voordat u iets koopt dat verbinding maakt: vraag naar de ondersteuningsperiode voor beveiliging en CRA-conformiteit, of het wachtwoord te wijzigen is en of het internet nodig heeft. Geen duidelijk antwoord is een goede reden om niet te kopen. |
Anyone with a plant, a building system or cameras has devices that were never meant to be on a network. Almost everyone does.Iedereen met een fabriek, een gebouwbeheersysteem of camera's heeft apparaten die nooit voor een netwerk bedoeld waren. Dat is bijna iedereen.
Production stopped for days, physical damage to equipment or product, a possible safety or environmental incident, and lost output per hour.Productie dagen stil, fysieke schade aan apparatuur of product, een mogelijk veiligheids- of milieu-incident, en gemiste productie per uur.
The old devices stay. Segmentation, controlled vendor access and monitoring mean an incident is contained to one cell and restored from configuration backups.De oude apparaten blijven. Segmentatie, gecontroleerde leverancierstoegang en monitoring zorgen dat een incident beperkt blijft tot één cel en wordt hersteld uit configuratieback-ups.
With the CIO for the network boundary and the safety officer for consequences. Not an IT-only risk.Samen met de CIO voor de netwerkgrens en de veiligheidskundige voor de gevolgen. Geen risico van IT alleen.
connected devices without a named owner · network paths allowed from office to plant · vendor remote-access connections open right now · devices past vendor support still on the network.aangesloten apparaten zonder eigenaar bij naam · toegestane netwerkpaden van kantoor naar fabriek · leveranciersverbindingen op afstand die nu open staan · apparaten zonder leveranciersondersteuning die nog op het netwerk zitten.
“Compromise or manipulation of production and building systems through the office network or vendor remote access causes production loss, physical damage and a safety risk.”“Compromittering of manipulatie van productie- en gebouwsystemen via het kantoornetwerk of leverancierstoegang op afstand veroorzaakt productieverlies, fysieke schade en een veiligheidsrisico.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | Many OT operators are essential or important entities: energy, water, manufacturing, food, transport, health. The required measures apply to the plant as much as to the office, including access control, supply chain security and continuity. Management is accountable. In the Netherlands: the Cbw, in force since 15 August 2026. | Machine builders and maintenance firms are suppliers under NIS2. Their remote access and update process is your risk: it is worth putting security lifetime, access rules (IEC 62443-2-4 for service suppliers) and incident notification in the contract. Confirm scope with legal. | A production disruption or safety event can count as a significant incident if it meets the thresholds: early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. Safety and environmental regulators may need to hear separately. |
| DORA | For financial entities the OT is mostly buildings and data centres: cooling, power, physical access. These belong in the ICT risk framework as part of the critical functions they support. | Data-centre and facility providers are ICT third parties: they go in the register, and their report should show controls over physical access, environmental systems and remote maintenance. A report is input, not a substitute. | An outage of a critical function caused by a facility system can be classified as a major ICT incident: initial notification within 4 hours of classifying it as major (and at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month. |
| SOC 2 | Physical and environmental controls and network segmentation are tested. Plant-floor devices are rarely in scope unless the service delivered depends on them. | For a manufacturing or hosting partner: check whether the plant and building systems appear in the system description. Often only the corporate IT does, and the line is out of scope. | An OT incident that hits a customer service becomes an availability deviation in the report. Expect auditors to ask for segmentation evidence and the incident timeline. |
| ISAE 3402 | Relevant where production or logistics is outsourced: continuity of processing and physical safeguards are common control objectives, but the service organisation chooses them. | Read whether the continuity objectives cover the machines and warehouse systems, not just the ERP. A report about the office systems says nothing about the line. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. |
| CRA · RED | EU product law for what you buy. The RED delegated act (EU) 2022/30 has applied to new connected radio equipment since 1 August 2025 (EN 18031). The CRA's main obligations apply from 11 December 2027. | Ask for the security support period and CRA conformity. | From 11 September 2026 makers report actively exploited vulnerabilities: early warning 24h, notification 72h, via ENISA's Single Reporting Platform. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | Veel OT-exploitanten zijn essentiële of belangrijke entiteiten: energie, water, industrie, voeding, transport, zorg. De verplichte maatregelen gelden voor de fabriek net zo goed als voor het kantoor, inclusief toegangsbeheer, ketenbeveiliging en continuïteit. Het bestuur is aansprakelijk. In Nederland: de Cbw, van kracht sinds 15 augustus 2026. | Machinebouwers en onderhoudsbedrijven zijn leveranciers onder NIS2. Hun toegang op afstand en updateproces zijn uw risico: het is de moeite waard beveiligingslevensduur, toegangsregels (IEC 62443-2-4 voor dienstverleners) en incidentmelding in het contract vast te leggen. Bevestig de reikwijdte met legal. | Een productieverstoring of veiligheidsincident kan gelden als significant incident als het de drempels haalt: vroegtijdige waarschuwing binnen 24 uur na kennisname, incidentmelding binnen 72 uur, eindrapport binnen een maand. Veiligheids- en milieutoezichthouders moeten mogelijk apart worden geïnformeerd. |
| DORA | Voor financiële instellingen bestaat de OT vooral uit gebouwen en datacenters: koeling, stroom, fysieke toegang. Die horen in het ICT-risicokader als onderdeel van de kritieke functies die ze ondersteunen. | Datacenter- en facilitaire leveranciers zijn ICT-derden: ze staan in het register, en hun rapport hoort maatregelen te tonen voor fysieke toegang, klimaatsystemen en onderhoud op afstand. Een rapport is input, geen vervanging. | Een uitval van een kritieke functie door een gebouwsysteem kan als ernstig ICT-incident worden geclassificeerd: eerste melding binnen 4 uur na classificatie als ernstig (en uiterlijk 24 uur na kennisname), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand. |
| SOC 2 | Fysieke en omgevingsmaatregelen en netwerksegmentatie worden getest. Apparaten op de productievloer vallen zelden binnen scope, tenzij de geleverde dienst ervan afhangt. | Bij een productie- of hostingpartner: controleer of de fabriek en de gebouwsystemen in de systeembeschrijving staan. Vaak staat alleen de kantoor-IT erin en valt de lijn erbuiten. | Een OT-incident dat een klantdienst raakt, wordt een afwijking op beschikbaarheid in het rapport. Verwacht dat auditors bewijs van segmentatie en de incidenttijdlijn opvragen. |
| ISAE 3402 | Relevant waar productie of logistiek is uitbesteed: continuïteit van verwerking en fysieke beveiliging zijn gangbare beheersdoelstellingen, maar de serviceorganisatie kiest ze zelf. | Lees of de continuïteitsdoelstellingen de machines en magazijnsystemen dekken, en niet alleen het ERP. Een rapport over de kantoorsystemen zegt niets over de lijn. | ISAE 3402 schept geen meldplicht richting de auditors van klanten. Verwacht een afwijking in het volgende rapport, en vraag in het contract om tussentijdse melding. |
| CRA · RED | EU-productwetgeving voor wat u koopt. De gedelegeerde verordening (EU) 2022/30 onder de RED geldt sinds 1 augustus 2025 voor nieuwe verbonden radioapparatuur (EN 18031). De hoofdverplichtingen van de CRA gelden vanaf 11 december 2027. | Vraag naar de ondersteuningsperiode voor beveiliging en CRA-conformiteit. | Vanaf 11 september 2026 melden makers actief misbruikte kwetsbaarheden: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, via het Single Reporting Platform van ENISA. |
Checked against: CRA (EU) 2024/2847, European Commission on the RED delegated act 2022/30 and Decision (EU) 2025/138 on EN 18031 (Jan 2025), Machinery Regulation (EU) 2023/1230, IEC 62443-2-4 and 62443-3-2, NIS2 Art. 23, DORA and the Cbw (Aug 2026) · September 2026.
Gecontroleerd tegen: CRA (EU) 2024/2847, Europese Commissie over de gedelegeerde RED-verordening 2022/30 en Besluit (EU) 2025/138 over EN 18031 (jan 2025), Machineverordening (EU) 2023/1230, IEC 62443-2-4 en 62443-3-2, NIS2 art. 23, DORA en de Cbw (aug 2026) · september 2026.