Meervoudige verificatie — vaak afgekort als MFA, een extra controle naast het wachtwoord, bijvoorbeeld een code op de telefoon — staat niet letterlijk als verplichting in de NIS2-richtlijn of de Cyberbeveiligingswet. Wat er wel staat, in de zorgplicht van artikel 21, is dat organisaties passende technische en organisatorische maatregelen nemen voor onder meer toegangsbeveiliging. Voor de meeste kantoorsystemen, cloudtoepassingen en externe toegang in de metaal- en maakindustrie betekent dat in de praktijk vrijwel altijd: ja, meervoudige verificatie hoort daarbij. Voor machines en besturingssystemen op de werkvloer ligt dat genuanceerder, en daar gaat dit artikel verder op in.
Het verschil zit in wat een systeem technisch aankan en wat het risico is als een wachtwoord alleen niet genoeg blijkt. Een inlogportaal voor thuiswerken of een cloudadministratie kan vrijwel altijd een extra verificatiestap aan. Een twintig jaar oude PLC-console op de productievloer vaak niet, en dan verschuift de vraag van "MFA of niet" naar "welke andere maatregel compenseert dit".
Wat de zorgplicht van u verwacht
De zorgplicht somt geen vaste lijst met producten of merken op. Toezichthouders en de richtlijn zelf spreken over maatregelen die passen bij de risico's, de stand van de techniek en de kosten van uitvoering. Toegangsbeveiliging is daarbij een van de terugkerende onderwerpen: wie mag ergens bij, hoe wordt dat gecontroleerd, en wat gebeurt er als een wachtwoord wordt gestolen of geraden. Meervoudige verificatie is op dit moment een van de meest gangbare manieren om die vraag te beantwoorden, en komt daarom terug in vrijwel elke uitwerking van deze maatregel die wij tegenkomen — ook bij toezichthouders in andere lidstaten. Hoe dit precies is omgezet in uw land, en welke nadere uitleg de toezichthouder daarbij geeft, kunt u nalopen via de uitwerking per onderwerp doornemen.
Waar meervoudige verificatie meestal wel wordt verwacht
In een metaalbedrijf of maakbedrijf zijn de plekken waar dit het meest voor de hand ligt vaak dezelfde: toegang tot de cloudomgeving en de administratie, de inbox van medewerkers, externe toegang via VPN voor wie op afstand werkt, en bovenal de accounts met beheerrechten — de IT-beheerder, de systeembeheerder van het ERP-pakket, degene die bij de back-ups kan. Juist die beheeraccounts zijn aantrekkelijk voor een aanvaller, omdat één gestolen wachtwoord daar meteen toegang geeft tot veel meer dan één postvak. Opdrachtgevers die een securityvragenlijst sturen, vragen hier vrijwel altijd expliciet naar, en een leeg antwoord op die vraag is doorgaans lastiger uit te leggen dan een eerlijk "nog niet overal, met dit tijdpad".
Waar productiesystemen een andere aanpak vragen
De werkvloer is een ander verhaal. Een CNC-machine, een SCADA-systeem of een PLC die decennia meegaat, is vaak niet gebouwd met een login-scherm dat een tweede verificatiestap ondersteunt. Hier vervangt de zorgplicht niet het onmogelijke door een verplichting, maar verschuift de aandacht naar andere, aanvullende maatregelen: het systeem afschermen in een apart netwerksegment, fysieke toegang tot de bedieningsruimte beperken, en goed vastleggen wie wanneer bij welke machine kon. Segmentatie — het apart zetten van het productienetwerk ten opzichte van het kantoornetwerk — is in dit soort gevallen vaak de maatregel die het gat opvult dat meervoudige verificatie elders dichtzet. Waar een machine wél aan het bedrijfsnetwerk hangt, bijvoorbeeld voor monitoring op afstand of software-updates, telt die verbinding zelf weer als een risico dat aandacht vraagt, ook al verandert dat niets aan de techniek van de machine.
Hoe u dit onderscheid in de praktijk maakt
Een bruikbare eerste stap is een overzicht van alle systemen die toegang geven tot bedrijfsgegevens of productieprocessen, met per systeem de vraag: kan dit technisch meervoudige verificatie aan, en zo niet, wat doen we er dan voor in de plaats. Dat overzicht is precies waar een levend dossier zijn waarde bewijst, omdat het ene antwoord van vandaag door een software-update van morgen kan veranderen. Of uw organisatie zelf onder de zorgplicht valt, of dat u deze vraag krijgt omdat een opdrachtgever het van u vraagt, kunt u in vijf vragen zien waar u staat. Twijfelt u nog over begrippen als segmentatie of beheeraccount, dan staat daar ook antwoord op veelgestelde vragen voor klaar.
Meervoudige verificatie is dus geen vinkje dat overal hetzelfde oogt, maar een maatregel die per systeem een andere invulling krijgt. Voor de eigen situatie, en voor de vraag of een specifieke uitzondering voor uw machines houdbaar is tegenover een opdrachtgever of toezichthouder, blijft juridisch advies of overleg met de toezichthouder de aangewezen route — secria.eu beschrijft wat van toepassing is en helpt dat vast te leggen, maar oordeelt niet over uw individuele situatie.
Wilt u dit overzicht voor uw eigen bedrijf laten zien, inclusief de systemen die bij u wel en niet in aanmerking komen? Doe de gratis quick-scan of lees eerst de onderwerpen door.