Een incidentregistratie in de metaal- en maakindustrie beschrijft minimaal vier dingen: wat er is gebeurd, welke systemen zijn geraakt, wie heeft ingegrepen en wanneer de situatie weer onder controle was. Dat klinkt eenvoudig, maar in een productieomgeving komt daar een extra laag bij: naast kantoorautomatisering draaien hier ook besturingssystemen van machines, CNC-apparatuur en productielijnen die vaak op dezelfde netwerken zitten als de kantoor-ICT.
Wie onder de NIS2-zorgplicht valt of via een opdrachtgever wordt gevraagd aantoonbaar te maken hoe incidenten worden afgehandeld, kan niet volstaan met een los Excel-bestand dat alleen IT-storingen bijhoudt. Een productiestilstand door een versleutelde server, een besturingskast die niet meer reageert, of een leverancier die op afstand inlogt op een machine en daarbij ongewild toegang opent: dat zijn allemaal gebeurtenissen die in dezelfde registratie thuishoren, ook als de oorzaak niet meteen duidelijk is.
Waarom dit meer is dan een ticket in de helpdesk
Incidentregistratie is een van de maatregelen die uit de zorgplicht van de NIS2-richtlijn voortvloeien, voor organisaties die zelf essentieel of belangrijk zijn. Voor bedrijven die via een opdrachtgever worden geraakt, is het inmiddels ook gewoon een vraag in de vragenlijst: hoe legt u vast wat er is gebeurd, en kunt u dat laten zien. Een overzicht van hoe deze maatregel zich verhoudt tot de andere verplichtingen uit de zorgplicht vindt u in het overzicht van alle onderwerpen, met per thema een kort antwoord en de vindplaats in de officiële tekst.
Het verschil tussen een bedrijf dat dit op orde heeft en een bedrijf dat dat niet heeft, zit zelden in de techniek. Het zit in de gewoonte om iets op te schrijven zodra het gebeurt, in plaats van achteraf te reconstrueren wat er precies is voorgevallen.
Productiesystemen vragen een andere blik
Een kantoorincident is relatief overzichtelijk: een laptop, een mailbox, een gedeelde schijf. In de metaal- en maakindustrie lopen productiesystemen vaak jarenlang zonder dat iemand er nog naar omkijkt, met toegang voor de leverancier van de machine, een onderhoudspartij of een technisch dienstverlener die op afstand meekijkt. Dat maakt het onderscheid tussen een storing en een beveiligingsincident soms lastig te maken op het moment zelf: staat een lijn stil door slijtage, door een foutieve update, of doordat iemand onbevoegd is binnengekomen.
Juist daarom is het nuttig om in de registratie een apart veld te hebben voor het soort systeem: kantoorautomatisering, een productiesysteem dat op het bedrijfsnetwerk is aangesloten, of een systeem dat via afstandstoegang door een derde partij wordt beheerd. Die indeling helpt niet alleen bij de analyse achteraf, maar ook bij het beantwoorden van de vraag die een opdrachtgever vaak stelt: hoe is uw productieomgeving afgeschermd van uw kantoor-ICT.
Wat hoort minimaal in de registratie
Een bruikbare registratie beschrijft het moment waarop het incident werd opgemerkt en door wie, een korte omschrijving van wat er is waargenomen, welke systemen of productielijnen daadwerkelijk zijn geraakt, welke stappen zijn gezet om de schade te beperken, en het moment waarop de normale situatie weer was hersteld. Daarbij hoort ook een korte conclusie: was dit een beveiligingsincident, een technische storing, of bleef onduidelijk wat de oorzaak was. Die laatste categorie mag gewoon bestaan; niet elk incident laat zich binnen een dag verklaren, en een eerlijke registratie zegt dat ook zo.
Het verschil tussen vastleggen en melden
Vastleggen is iets anders dan melden. Organisaties die zelf essentieel of belangrijk zijn onder de NIS2-richtlijn, krijgen te maken met een meldplicht aan hun toezichthouder, met termijnen die in de wet zelf zijn vastgelegd. Voor de precieze termijnen en de wijze van melden verwijzen wij naar de officiële tekst en naar de toezichthouder in uw land; dat is bewust geen inschatting die wij hier maken. Wie via de keten wordt geraakt, krijgt doorgaans geen wettelijke meldplicht, maar vaak wel een contractuele afspraak met de opdrachtgever om incidenten binnen een afgesproken termijn te melden. Een goede registratie is in beide gevallen het startpunt: zonder vastlegging is er niets om op terug te vallen zodra iemand om een toelichting vraagt.
Wie dit in uw bedrijf bijhoudt
In veel installatie- en maakbedrijven ligt de verantwoordelijkheid voor productiesystemen bij de productieleiding, terwijl de IT-verantwoordelijke zich vooral met kantoorautomatisering bezighoudt. Dat maakt het belangrijk om vooraf te bepalen wie eigenaar is van de incidentregistratie als geheel, en wie bij een concreet incident als eerste wordt gebeld. Een registratie die in twee aparte systemen wordt bijgehouden, een voor IT en een voor productie, levert op het moment dat het ertoe doet vooral vertraging op.
Wat secria wel en niet voor u doet
Secria helpt bij het inrichten van het dossier waarin deze registratie een vaste plek krijgt, met een status, een bewijsstuk en een eigenaar per maatregel, en met voorbereide teksten voor het moment dat een melding nodig is. Wat wij niet doen, is het incident zelf oplossen: geen incidentrespons, geen SOC, geen forensisch onderzoek. Dat blijft mensenwerk van gespecialiseerde partijen, en wij bereiden voor zodat u, als het zover is, niet bij nul begint. Meer over hoe wij aan onze informatie komen en welke bronnen wij gebruiken, leest u op de pagina over hoe het werkt. Wat het dossier en de sjablonen kosten staat op de pagina met prijzen.
Wilt u eerst weten of en hoe uw bedrijf hier precies in past, als essentiële of belangrijke entiteit of als keten-geraakte leverancier? Doe de gratis NIS2-check en zie in een paar vragen waar u staat, of lees verder in de kennisbank voor meer achtergrond bij dit onderwerp.