OT-security in de fabriek, waar IT-regels niet zomaar werken.
Productielijnen, procesautomatisering en gebouwbeheer draaien op systemen die twintig jaar meegaan, niet gepatcht mogen worden en aan het kantoornetwerk hangen omdat dat ooit handig was. De Cyberbeveiligingswet, een verzekeraar, een klant of een incident bij een collega-fabrikant maakt dat ineens urgent, en de IT-afdeling kent de fabriek niet en de fabriek vertrouwt IT niet. Binnen twee dagen heb je een ervaren OT-security-specialist op gesprek die beide talen spreekt en het programma opzet zonder dat de lijn stilvalt. Zoek je iemand voor vast, dan werven we die net zo goed, al gaat dat niet in twee dagen.
Het moment
Vaak is het een vraag van buiten: de Cyberbeveiligingswet die vervaardiging, chemie en levensmiddelen als sector noemt, een grote afnemer die wil weten hoe de productie beveiligd is, een verzekeraar die naar de koppeling tussen kantoor en fabriek vraagt. Soms is het een incident bij een collega-fabrikant dat de directie wakker schudt. En dan blijkt dat niemand precies weet welke systemen er in de fabriek staan, welke daarvan bereikbaar zijn vanaf kantoor, en wie er eigenlijk verantwoordelijk is: de plantmanager, de leverancier van de machines, of IT. De IT-afdeling kent de fabriek niet, de fabriek vertrouwt IT niet, en allebei hebben ze gelijk.
Waarom OT anders is dan IT
In de fabriek gaat beschikbaarheid voor alles. Een update die een server een uur plat legt is op kantoor een ongemak en in de productie een verlies van een dag. Systemen draaien op besturingssystemen die niet meer onderhouden worden, leveranciers eisen toegang op afstand, en patchen kan alleen in de onderhoudsstop die twee keer per jaar valt. De beveiliging zit daarom niet in updates maar in inzicht, scheiding en toezicht: weten wat er staat, de fabriek scheiden van kantoor en van internet, toegang op afstand beheersen, en zien wanneer er iets afwijkt. De norm daarvoor is IEC 62443, en wie die kent, kan met de plantmanager én de IT-manager praten. Dat profiel is schaars, en daarom is interim hier vaak de enige manier om snel te starten.
Wat er nu moet gebeuren
- Inventaris. Welke systemen staan er, van wie zijn ze, hoe oud, hoe verbonden. Niet uit de documentatie maar uit de werkelijkheid. De OT-specialist, met de technische dienst, in de eerste weken.
- Scheiding van kantoor en internet. Een zone-indeling naar IEC 62443, met beheerste overgangen in plaats van een platte koppeling. De OT-architect met de netwerkbeheerders.
- Toegang op afstand. Leveranciers die op afstand onderhoud doen, via één beheerde ingang met logging, in plaats van tien eigen modems en VPN's. De OT-engineer met inkoop en de leveranciers.
- Toezicht. Passieve monitoring die ziet wat er in het OT-netwerk gebeurt zonder het te verstoren, en een afspraak wie er kijkt. OT-engineer met het SOC of de externe partij.
- Beleid en bewijs. Wie waarvoor verantwoordelijk is, wat de regels zijn bij onderhoud en nieuwe machines, en het bewijs voor toezichthouder, klant en verzekeraar. De security officer industrie, met de plantmanager.
Wie dit trekt
Fabrikanten zoeken hier een OT-security-specialist of -engineer die de inventaris en de maatregelen uitvoert, een OT-security-architect voor de zone-indeling en de scheiding, en soms een security officer met industriële ervaring voor beleid en bewijs. Het profiel is schaars; we zeggen daarom eerlijk wanneer we niemand hebben die bij jullie proces past. Zoek je iemand voor vast, dan is dat gewoon werving & selectie; voor het programma is het interim. Allebei doen we al jaren.
Interim: binnen twee dagen, en wat het kost
Snel betekent bij ons niet slordig. We beginnen met een echte intake: welke omgeving, welke aanleiding, welke leveranciers, wie moet deze persoon meekrijgen aan de kant van de fabriek. Daarna zoeken we in een netwerk van interimmers die we meestal al jaren kennen, en zo heb je bij een interim-opdracht binnen twee dagen je eerste kandidaat op gesprek. Zoek je iemand voor vast, dan werkt het anders en duurt het langer. De beste vaste kandidaten zijn zelden actief op zoek: ze zitten ergens goed en komen alleen in beweging voor de juiste argumenten, van iemand die hen kent en weet wat hen drijft. Dat is precies ons werk, en het levert de beste match op, maar niet in twee dagen. Interimmers zijn ondernemers: commerciëler, flexibeler naar beide kanten, en daardoor sneller voor te stellen vanuit het netwerk dat we actief onderhouden. Hebben we niemand die écht past, dan zeggen we dat. Het tarief van de professional en onze marge zie je altijd apart, en die marge is nooit meer dan € 15 per uur bij een fulltime opdracht. Contracteren kan rechtstreeks met de zzp'er of via je eigen broker, waarbij wij alleen onze marge factureren, of volledig via Gruzzy met één factuur. Wie er nu beschikbaar is, en in welke tariefband, staat anoniem bij de beschikbare interimmers.
Zzp, en de Wet DBA
Een OT-securityprogramma opzetten is een opdracht met een kop en een staart: er is een resultaat, de professional bepaalt zelf hoe het werk gebeurt, en er is geen gezagsverhouding zoals bij een werknemer. Dat is wat de Belastingdienst wil zien sinds de handhaving op schijnzelfstandigheid in 2025 weer is begonnen, en dus past zzp hier goed, met een modelovereenkomst. Blijkt na het programma dat de fabriek structureel een OT-security-engineer nodig heeft, dan zeggen we dat. Meestal is dat een vaste rol via werving; wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern. We adviseren hier graag over, vóór je tekent.
Vandaag bellen?.
Bel, of plan zelf een moment. Dan weet je binnen een kwartier of we kunnen helpen en wie daarvoor de juiste persoon is.
Bellen: 020 399 1●●●
Nu beschikbaar voor interim.
Een greep uit de interimmers die op dit moment kunnen starten. Anoniem tot je contact opneemt; tarief en beschikbaarheid staan erbij.
NIS2 / Cyberbeveiligingswet · DORA · SOX (ITGC)
- interim · €95k–100k bruto per jaar
ISO 27001 · ISO 27002 · NIS2 / Cyberbeveiligingswet
- Interim / ZZP · €120–130 per uur
ISO 27001 · NIS2 / Cyberbeveiligingswet · AVG/GDPR
- Arnhem-Nijmegen
- interim / zzp · €120–130 per uur
Veelgestelde vragen.
Hoe snel kunnen jullie een OT-security-specialist leveren?
Voor interim geldt: binnen twee dagen heb je je eerste kandidaat op gesprek; voor een vaste rol duurt het langer, omdat de beste kandidaten zelden actief zoeken en met de juiste argumenten in beweging moeten komen; wat realistisch is, bespreken we bij de intake. We beginnen met een intake over de omgeving, de aanleiding en de leveranciers, en zoeken daarna in een netwerk van interimmers die we meestal al jaren kennen. OT-security is een schaars profiel; hebben we niemand die bij jullie proces past, dan zeggen we dat eerlijk.
Valt onze fabriek onder de Cyberbeveiligingswet?
Vervaardiging, chemie en levensmiddelen staan in bijlage 2 van de wet, dus vanaf vijftig medewerkers of bij een omzet én balanstotaal boven de tien miljoen euro is de kans groot. Of jullie eronder vallen is een juridische vraag; de zelfevaluatie van de RDI geeft het antwoord. Valt de fabriek eronder, dan is OT-security een directe invulling van de zorgplicht; kijk dan ook bij onze pagina over NIS2 en de Cbw.
Kan de beveiliging op orde zonder dat de productie stilvalt?
Ja, als het goed wordt gedaan. OT-security zit niet in updates maar in inzicht, scheiding en toezicht: weten wat er staat, de fabriek scheiden van kantoor en internet, toegang op afstand beheersen en passief meekijken. Dat kan vrijwel allemaal zonder de lijn te raken; wat wel een onderhoudsstop vraagt, wordt daarin gepland.
Zzp'er, detachering of vast: wat past bij OT-security?
Het programma opzetten is een opdracht met een kop en een staart, en dan past een zzp'er met een modelovereenkomst goed. Blijkt daarna dat de fabriek structureel een OT-security-engineer nodig heeft, dan zeggen we dat en werven we die voor vast. Wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern.
Wat kost een interim OT-security-specialist?
Dat hangt af van de persoon en de opdracht, en je ziet het tarief van de professional altijd los van onze marge. Die marge is nooit meer dan € 15 per uur bij een fulltime opdracht. De tariefbanden van wie nu beschikbaar is staan anoniem bij de interimmers op deze site.
Onze machineleveranciers willen toegang op afstand. Hoe regel je dat veilig?
Via één beheerde ingang met logging en goedkeuring per sessie, in plaats van tien eigen modems en VPN's die niemand overziet. Dat is meestal een van de eerste maatregelen, omdat het het grootste risico wegneemt zonder de productie te raken. Een OT-engineer regelt het met inkoop en de leveranciers, en legt het vast in de contracten.
Wat is IEC 62443 en moeten we daaraan voldoen?
IEC 62443 is de internationale norm voor beveiliging van industriële automatisering, met een zone-indeling en beveiligingsniveaus per zone. Het is geen wettelijke verplichting, maar wel het kader dat klanten, verzekeraars en toezichthouders herkennen, en het sluit goed aan op de zorgplicht van de Cbw. Een OT-specialist die de norm kent, gebruikt haar als praktisch stappenplan, niet als papieren tijger.
Onze IT-afdeling en de fabriek praten langs elkaar heen. Helpt een externe daarbij?
Dat is vaak de belangrijkste reden om iemand van buiten te halen. Een goede OT-specialist spreekt beide talen: hij begrijpt waarom de plantmanager geen update wil en waarom IT geen platte koppeling wil, en vindt de maatregelen waar beide ja tegen zeggen. Zonder die brug blijft het programma steken op wie er eigenlijk over gaat.
Fabriek op orde brengen zonder stilstand?
Vertel welke omgeving het is en wat de aanleiding is. Zoek je een interimmer, dan zit je eerste kandidaat binnen twee dagen op gesprek — en hebben we niemand die past, dan zeggen we dat ook.