Een vragenlijst van een opdrachtgever in de metaal- en maakindustrie draait vrijwel altijd om hetzelfde thema: hoe is uw productieomgeving beveiligd, en wat gebeurt er als die omgeving wordt geraakt door een storing of een aanval. Dat is geen toeval. Machines, besturingssystemen en meetapparatuur hangen steeds vaker aan hetzelfde netwerk als de kantoorautomatisering, en juist die verbinding tussen productie en IT is waar een opdrachtgever naar vraagt.
De vragen zelf verschillen per klant, maar de categorieën zijn opvallend constant: welke systemen heeft u in kaart gebracht, is uw productienetwerk gescheiden van kantoor, hoe gaat u om met verouderde machines, wie heeft op afstand toegang voor onderhoud, en wat doet u als een productielijn stilvalt door een storing. Wie deze categorieën herkent, hoeft een vragenlijst niet als verrassing te ervaren.
Waarom de productieomgeving centraal staat
Een metaalbewerkingsbedrijf of machinefabriek draait op apparatuur die vaak jaren of decennia meegaat: CNC-machines, PLC's, SCADA-systemen. Die apparatuur is zelden ontworpen met het oog op een internetverbinding, maar wordt in de praktijk wel aangesloten, bijvoorbeeld voor monitoring op afstand of voor het doorsturen van productiegegevens. Een opdrachtgever die zelf onder de zorgplicht van de NIS2-richtlijn valt, moet beoordelen welke risico's zijn leveranciers met zich meebrengen. Een productieomgeving die aan het netwerk hangt zonder duidelijke scheiding van de rest van de infrastructuur, is daarin een voor de hand liggend aandachtspunt.
Dat verklaart waarom vragenlijsten in deze sector vaker dan elders doorvragen op het onderscheid tussen IT (de kantooromgeving) en OT (operationele technologie, de productiesystemen). Een algemene vraag als "heeft u een informatiebeveiligingsbeleid" wordt in de metaal- en maakindustrie bijna altijd aangevuld met een specifiekere: "is uw productienetwerk logisch of fysiek gescheiden van uw kantoornetwerk".
De vragen die vrijwel altijd terugkomen
In vragenlijsten aan toeleveranciers in deze sector komen een paar onderwerpen opvallend vaak terug. Allereerst het overzicht: heeft u een actuele inventarisatie van alle systemen die met uw productieomgeving verbonden zijn, inclusief machines die niet meer worden ondersteund door de fabrikant. Daarna de scheiding tussen netwerken, en de vraag of er een apart segment bestaat voor systemen die niet meer te patchen zijn.
Een derde terugkerend blok gaat over toegang op afstand: welke leveranciers of servicemonteurs kunnen op afstand inloggen op uw machines, en hoe is die toegang beveiligd en gelogd. Een vierde blok gaat over continuïteit: wat gebeurt er als een productielijn stilvalt door een technisch probleem of een aanval, en hoe snel kunt u weer verder. Tot slot vraagt een opdrachtgever vaak naar incidentregistratie: legt u vast wanneer iets misgaat in uw productieomgeving, en wie binnen uw organisatie daarvan op de hoogte wordt gesteld.
Wie wil nagaan of de eigen organisatie via de keten met dit soort vragen te maken krijgt, en in welke categorie zij valt, vindt in een paar vragen die in een paar minuten een eerste indicatie geven een startpunt voor die uitleg.
Oudere machines zijn niet altijd eenvoudig te beantwoorden
Voor veel bedrijven in deze sector is de lastigste vraag niet de vraag zelf, maar het antwoord erop. Een machine van vijftien jaar oud draait vaak op software die niet meer wordt bijgewerkt, en vervanging is kostbaar. Een vragenlijst vraagt dan niet per se om die machine te vervangen, maar om te laten zien dat u weet waar het risico zit en welke maatregelen u eromheen heeft genomen, bijvoorbeeld door het apparaat in een apart netwerksegment te plaatsen zonder directe verbinding met internet.
Dat onderscheid — tussen "het risico wegnemen" en "het risico kennen en beheersen" — is precies waar een opdrachtgever meestal naar op zoek is. De richtlijn zelf en de nationale wetten die eruit voortkomen, zoals de Cyberbeveiligingswet, beschrijven dit soort zorgplichtmaatregelen in algemene termen; de toezichthouder publiceert daarnaast praktische toelichtingen. Een overzicht van wat deze begrippen precies betekenen, staat in de onderwerpen die per situatie zijn uitgewerkt.
Toegang op afstand als apart aandachtspunt
Onderhoud op afstand is in de metaal- en maakindustrie vaak onvermijdelijk: een leverancier van een machine moet soms op afstand kunnen meekijken bij een storing. Vragenlijsten besteden hier bewust aandacht aan, omdat dit een van de meest voorkomende manieren is waarop een probleem bij één partij kan doorwerken naar een andere. Een duidelijk antwoord beschrijft wie toegang heeft, hoe die toegang wordt verleend en weer ingetrokken, en of er een logboek bijgehouden wordt van wie wanneer heeft ingelogd.
Wat u met een binnengekomen vragenlijst doet
Een vragenlijst van een opdrachtgever is in de eerste plaats een verzoek om inzicht, niet een examen met een vast puntenaantal. Een helder antwoord, ook als dat betekent dat een maatregel nog in ontwikkeling is, wordt doorgaans beter ontvangen dan een lijst met vinkjes zonder onderbouwing. Voor vragen over wat een opdrachtgever precies mag vragen en hoe ver die vraag mag gaan, is het raadzaam de publicaties van de toezichthouder te raadplegen of een jurist te betrekken; secria.eu bereidt antwoorden en documenten voor, maar meldt en registreert nooit namens de klant.
Meer achtergrond over hoe deze informatie is opgebouwd en welke bronnen daarbij zijn gebruikt, staat op de pagina die laat zien waar de informatie vandaan komt. Antwoorden op veelgestelde vragen over vragenlijsten en de rol van toeleveranciers zijn te vinden via de verzameling veelgestelde vragen.
Wilt u weten of uw bedrijf via de keten met dit soort vragenlijsten te maken krijgt, of zoekt u uitleg bij een specifiek begrip uit een vragenlijst die u al heeft ontvangen? De gratis quick-scan en de kennisbank geven in een halfuur een eerste beeld, zonder dat daar een account voor nodig is.