Embargo 22/9, 5:00 uur – Cybersecurity & industrie - nieuwe studie Agoria: slechts 40% van bedrijven beschikt over volledige cybersecurity-aanpak

De Belgische technologische industrie neemt cybersecurity ernstiger dan 5 jaar geleden. Dat blijkt uit een nieuwe studie van technologiefederatie Agoria. Toch blijft hun fysieke apparatuur te kwetsbaar voor cyberaanvallen. Die apparatuur, die in de cyberwereld ‘operationele technologieën’ (OT, als tegenhanger van IT) wordt genoemd, is namelijk veel vaker dan vroeger verbonden met andere systemen. De IT-systemen van industriebedrijven genieten doorgaans wél een betere bescherming. "Aanvallen op fysieke systemen komen steeds vaker voor. Criminelen viseren bijvoorbeeld het elektriciteitsnet en het spoorwegnet, maar ook ziekenhuizen en industriële installaties. Het gaat dus niet gewoon over cybersecurity, maar vaak ook over mensenlevens", zegt Eric Van Cangh, cybersecurity-expert bij Agoria en co-auteur van de nieuwe studie van de technologiefederatie.

Agoria wilde nagaan hoe matuur de cybersecurity van de Belgische industrie is, vijf jaar na een eerste bevraging hierover. De federatie ondervroeg een groep van 82 Belgische bedrijven uit de technologische industrie. Daaruit blijkt dat de meest bepalende factor om die cybermaturiteit te beoordelen, de kennis is die bedrijven hebben van hun eigen OT-omgeving. Een volledige inventaris opmaken van alle geconnecteerde industriële apparatuur is de basis om een doeltreffende bescherming te garanderen, ongeacht de grootte of het budget van het bedrijf. Die noodzakelijke stap geeft technologiebedrijven namelijk een globaal zicht op de cybersecuritybehoeften in hun productielijnen. Toch blijkt maar 40% van de bevraagde bedrijven te beschikken over zo’n volledige en actuele inventaris van hun eigen OT-systemen.

"Cybersecurity van OT-omgevingen kan niet steunen op veronderstellingen. Ze moet vanaf het ontwerp mee ingebouwd worden en berusten op een duidelijke governance. Dezelfde veiligheidseisen die voor IT gelden, moeten voortaan ook gelden voor OT-systemen", stelt Jasper Hooft, Head of Organisational Security bij Toreon, een consultancybedrijf gespecialiseerd in cybersecurity, daarover.

Een ander cruciaal aandachtspunt is de invoering van een cybersecuritybeleid dat zowel IT- als OT-omgevingen dekt. Tussen 2021 en 2026 steeg het aandeel bedrijven met zo'n beleid echter amper, van 34 naar 40%.

"Vandaag raken operationele systemen en informaticasystemen steeds meer met elkaar verweven. Om ze doeltreffend te beschermen is dan ook een globale aanpak nodig, die uitdagingen aankan die niet langer afzonderlijk kunnen worden behandeld", stelt Grégorio Matias, CEO & Cybersecurity Consultant bij MCG.

Nog een derde verontrustende vaststelling: uit de studie blijkt dat 38% van de bevraagde bedrijven vertrouwen heeft in hun vermogen om een aanval op hun OT-omgeving binnen enkele uren te detecteren. Maar paradoxaal genoeg lijkt maar 48% van hen over geen enkel technisch monitoring- of alarmeringsmechanisme te beschikken om zo’n incident effectief te signaleren.

Opmerkelijke vooruitgang, maar de weg is nog lang

Gelukkig is er op andere vlakken aanzienlijke vooruitgang geboekt. Zo tonen de resultaten dat in 2026 maar liefst 91% van de bedrijven rekening houdt met cybersecurity bij de keuze van industriële uitrusting, tegenover 60% in 2021. Ook voeren in 2026 49% van de bevraagde bedrijven kwetsbaarheidsanalyses uit, tegenover 34% in 2021.

Tot slot lijken de nieuwe Europese regels rond cybersecurity voor heel wat verwarring te zorgen bij bedrijven. Veel van hen weten niet zeker of ze onder de nieuwe NIS2-richtlijn (Network Information Security Directive 2) vallen. Die legt o.a. samen met maatregelen voor risicobeheer ook meldingsplichten voor incidenten op en in kaart brengen van de hele waardeketen, om het cybersecurityniveau te verhogen. Uit de studie van Agoria blijkt dat 4 op de 10 bevraagde bedrijven (43%) denken eronder te vallen, terwijl ze vermoedelijk niet rechtstreeks onder het toepassingsgebied van NIS2 vallen. Omgekeerd geeft, van de bedrijven die er wellicht wél onder vallen, 3 op de 10 (28%) dan weer aan dat ze niet onder de richtlijn vallen of niet weten of dat het geval is.

"De resultaten van deze studie tonen duidelijk aan dat de cybermaturiteit van operationele omgevingen vooruitgaat. Dat is een bemoedigende evolutie, want deze infrastructuur speelt een essentiële rol in onze industrie en in ons dagelijks leven. Vandaag is een minimaal niveau van 'cyberhygiëne' geen optie meer, maar een absolute noodzaak. Nog te veel bedrijven blijven onvoldoende beschermd tegen aanvallen op hun productie-uitrusting. Nochtans kunnen die de productie vertragen of zelfs volledig stilleggen, en dat voor weken of zelfs maanden. Het is dus essentieel om hier een geïntegreerde aanpak in te voeren, zeker nu het aantal cyberaanvallen elk jaar blijft toenemen", besluit Eric Van Cangh, senior Business Group Leader Cybersecurity bij Agoria en co-auteur van de studie.

Ontdek nog veel meer bevindingen in de volledige studie

Jan Gatz

 

• jan.gatz@agoria.be
• +32 479 407 568