Meer dan 70% van de fabrikanten sluit zijn fabrieksvloer aan op IT-netwerken van het bedrijf. Dat aantal zal blijven stijgen naarmate voorspellend onderhoud, bewaking op afstand en MES/ERP-integratie basisverwachtingen worden in plaats van concurrentievoordelen. Het probleem is dat de meeste OT-apparaten nooit zijn ontworpen voor een verbonden netwerk en dat de beveiligingsmethoden die zijn ontwikkeld voor IT gewoon niet werken op een PLC of HMI.
Deze gids legt uit waarom IT-OT convergentie steeds sneller gaat, welke risico’s dit met zich meebrengt en hoe je met inline isolatie Zero Trust kunt uitbreiden naar de fabrieksvloer zonder agenten, downtime of productierisico.
Wat is IT-OT convergentie?
IT-OT convergentie is het proces van het verbinden van informatietechnologienetwerken (e-mail, ERP, cloud-toepassingen) met operationele technologienetwerken (PLC’s, HMI’s, SCADA-systemen, sensoren) in een gedeelde of overbrugde infrastructuur. Het doel is om real-time operationele gegevens te ontsluiten voor zakelijke beslissingen, toegang op afstand en automatisering. De uitdaging is dat OT-apparaten niet beschikken over de authenticatie-, encryptie- en patchingmogelijkheden waar IT-beveiliging van afhankelijk is.
Waarom IT- en OT-netwerken naar elkaar toegroeien
Fabrieksnetwerken bleven tientallen jaren geïsoleerd. De luchtspleet tussen IT en OT was zowel een ontwerpkeuze als een veiligheidsdeken. Vier zakelijke drijfveren hebben die isolatie onhoudbaar gemaakt.
Controle en onderhoud op afstand. Geschoolde technici zijn schaars. Organisaties hebben technici nodig die op afstand een diagnose kunnen stellen in plaats van naar elke locatie te reizen. Daarvoor moeten OT-gegevens via de IT-infrastructuur naar dashboards en waarschuwingssystemen stromen.
Voorspellend onderhoud. Sensorgegevens die worden ingevoerd in analyseplatforms kunnen lagerdefecten, motordegradatie en procesdrift voorspellen voordat ze ongeplande stops veroorzaken. Uit gegevens uit de industrie blijkt dat de kosten van stilstand in sommige productieomgevingen kunnen oplopen tot $22.000 per minuut. De business case voor connectiviteit schrijft zichzelf.
MES- en ERP-integratie. Manufacturing Execution Systems hebben real-time productiegegevens nodig. ERP-platforms hebben MES-gegevens nodig voor voorraad, kwaliteit en planning. Het gegevenspad tussen de werkvloer en de directiekamer loopt dwars door de IT-OT grens.
Digital twins en AI-analyse. Het simuleren van productieprocessen, het optimaliseren van energieverbruik en het uitvoeren van kwaliteitsvoorspellingen vereisen allemaal grote datastromen van OT-sensoren naar cloud- of edge computingomgevingen.
De IT-OT convergentiemarkt weerspiegelt dit momentum. Analisten schatten deze markt op ongeveer 88 miljard dollar in 2026, met een groei van meer dan 17% per jaar. Toch heeft slechts ongeveer 30% van de organisaties hun IT- en OT-beveiligingsactiviteiten volledig geïntegreerd, wat wijst op een grote kloof tussen connectiviteitsambities en beveiligingsgereedheid.
Wat gebeurt er als de luchtspleet verdwijnt?
Het verbinden van OT met IT zorgt niet alleen voor meer netwerkverkeer. Het creëert aanvalspaden die voorheen niet bestonden. Drie scenario’s illustreren het risico.
Scenario 1: gecompromitteerde laptop bereikt de productielijn. Een werknemer klikt op een phishing-link. Malware belandt op hun IT-laptop. In een plat of slecht gesegmenteerd netwerk kan die laptop communiceren met apparaten in het OT-segment. De aanvaller ontdekt een PLC met verouderde firmware, stuurt gewijzigde commando’s en de productieoutput verandert urenlang zonder dat iemand het merkt.
Scenario 2: VPN-verkoper opent de fabrieksdeur. Een externe integrator maakt verbinding via VPN om een specifieke HMI te onderhouden. Traditionele VPN’s geven brede netwerktoegang zodra de tunnel tot stand is gebracht. Als het eigen apparaat van de leverancier gecompromitteerd is, of als hun referenties gestolen zijn, erft een aanvaller diezelfde brede toegang tot OT-systemen.
Scenario 3: ransomware overschrijdt de IT-OT grens. Ransomware verspreidt zich door laterale beweging over oost-westverkeer. Als IT en OT netwerksegmenten of vertrouwensrelaties delen, kunnen versleutelingsroutines die begonnen op de financiële afdeling SCADA-servers en historische databases bereiken. De aanval van 2024 op de Duitse elektronicafabrikant Medion AG liet precies dit patroon zien, waarbij BlackBasta ransomware langdurige operationele ontwrichting veroorzaakte.
Uit ENISA-gegevens van 2025 blijkt dat OT-gerelateerde bedreigingen nu 18,2% uitmaken van alle geïdentificeerde categorieën cyberbedreigingen in de EU. Ransomware blijft de dominante methode, verantwoordelijk voor meer dan 81% van de incidenten die gericht zijn tegen organisaties in de EU. De gemiddelde tijd tussen de eerste compromittering en de inzet van ransomware is slechts 16 uur, wat veel te kort is voor handmatige detectie en respons in de meeste teams in het middensegment van de markt.
Waarom firewalls en VLAN’s niet genoeg zijn
De meeste organisaties proberen de IT-OT grenzen te beheren met bekende tools. Elk van deze tools heeft beperkingen die van belang zijn in productieomgevingen.
Firewall DMZ’s tussen IT en OT voegen een controlelaag toe, maar het configureren van firewallregels voor duizenden industriële protocolstromen is complex en foutgevoelig. Firewalls kunnen ook geen bedreigingen tegenhouden die zich al binnen het OT-segment bevinden. Het traditionele Purdue model plaatste firewalls tussen hiërarchische niveaus, maar convergentie heeft die niveaus afgevlakt. Gegevens stromen nu rechtstreeks van sensoren van niveau 0 naar cloudplatforms van niveau 5, waarbij de gelaagde verdediging waarvan het Purdue-model uitging, wordt omzeild.
VLAN-segmentatie biedt een logische scheiding, maar is afhankelijk van de juiste configuratie. VLAN’s authenticeren geen apparaten of gebruikers. Een verkeerd geconfigureerde switchpoort of een malafide apparaat op het juiste VLAN omzeilt de hele controle. Zoals beschreven in onze gids voor netwerksegmentatie in 2026, worstelen VLAN-gebaseerde benaderingen met de dynamische, identiteitsgedreven toegangspatronen die moderne omgevingen vereisen.
Jumpservers zijn een veelgebruikte workaround voor OT-toegang op afstand. In de praktijk worden ze knelpunten en doelwitten. Personeel omzeilt ze wanneer ze dringende onderhoudstaken vertragen. Aanvallers richten zich erop omdat één gecompromitteerde jumpserver toegang biedt tot alles wat erachter zit.
| Benadering | Sterkte | Beperking in OT |
|---|---|---|
| Firewall DMZ | Vertrouwd, goed begrepen | Complex regelbeheer, geen in-segment bescherming |
| VLAN-segmentatie | Lage kosten, gebruikt bestaande switches | Geen risico op authenticatie, configuratiedrift |
| Jump-servers | Gecentraliseerd toegangspunt | Enkelvoudig storingspunt, vaak omzeild |
| Traditioneel VPN | Versleutelde tunnel | Brede toegang zodra verbonden, geen controle per app |
In normen zoals IEC 62443 wordt aanbevolen om OT-omgevingen op te delen in zones en conduits, waarbij elke zone bedrijfsmiddelen met vergelijkbare beveiligingseisen groepeert en conduits de communicatie tussen zones regelen. Voor middelgrote organisaties zonder speciale OT-beveiligingsteams is het implementeren van deze architectuur met traditionele firewalls en VLAN’s alleen vaak te duur en te complex om te onderhouden.
Hoe inline isolatie de IT-OT kloof overbrugt
Het kernprobleem is eenvoudig. OT-apparaten kunnen geen beveiligingsagenten uitvoeren. Ze kunnen zich niet authenticeren met moderne protocollen. Ze kunnen niet regelmatig worden gepatcht. Toch moeten ze communiceren met specifieke IT-systemen om bedrijfswaarde te leveren.
Inline isolatie lost dit op door de handhaving op netwerkniveau te plaatsen, fysiek tussen het apparaat en de rest van het netwerk. De Network Isolation Access Controller (NIAC)-hardware van Jimber zit inline met agentloze apparaten en dwingt het communicatiebeleid per apparaat af zonder het apparaat zelf aan te raken.
Hoe NIAC in de praktijk werkt. De hardware-appliance wordt ingezet tussen een OT-apparaat (een PLC, HMI, sensor of industriële controller) en de netwerkswitch. Het inspecteert en regelt al het verkeer dat er doorheen gaat op basis van expliciete toestemmingsregels. Een PLC die moet communiceren met een specifieke MES-server krijgt een beleid dat precies dat pad toestaat. Alle andere communicatie wordt standaard geblokkeerd.
Deze aanpak levert drie dingen op die traditionele tools niet kunnen.
Afdwingen van beleid per apparaat. Elk agentloos apparaat krijgt zijn eigen communicatieregels. Een gecompromitteerde sensor kan niets bereiken buiten zijn gedefinieerde pad. Zijwaartse beweging loopt dood bij elke apparaatgrens.
Protocolondersteuning die verder gaat dan HTTP. Veel ZTNA-oplossingen verwerken alleen TCP/HTTP-verkeer. OT-omgevingen vertrouwen op protocollen als Modbus, BACnet, EtherNet/IP en PROFINET, die vaak gebruikmaken van UDP of niet-standaard TCP-stromen. NIAC van Jimber verwerkt zowel TCP- als UDP-verkeer en is daardoor compatibel met de protocolrealiteit van fabrieksnetwerken.
Geen onderbreking van de productie. Er wordt geen software geïnstalleerd op het OT-apparaat. Geen firmwarewijzigingen. Geen herstarts. De NIAC werkt transparant en dwingt het beleid af zonder het gedrag of de beschikbaarheid van het apparaat te veranderen. Voor omgevingen waar zelfs een korte herstart productieverlies betekent, is dit geen gemak maar een vereiste.
Omdat NIAC wordt beheerd via dezelfde Jimber-console die het ZTNA-, SWG- en SD-WAN-beleid afhandelt, krijgen IT-teams één overzicht van zowel IT- als OT-beveiliging. Er is geen aparte OT-beveiligingstool om te leren, geen extra console om te controleren.
Stap voor stap fabrieksnetwerken aansluiten
De overgang van een onbeveiligde IT-OT-grens naar Zero Trust-handhaving vereist geen meerjarenproject. Het platform van Jimber ondersteunt een gefaseerde aanpak die al in de eerste week waarde begint op te leveren.
Stap 1: alle OT-activa inventariseren
Je kunt niet beschermen wat je niet weet. Breng elk apparaat in het OT-netwerk in kaart: PLC’s, HMI’s, sensoren, historians, technische werkstations. Leg firmwareversies, communicatiepatronen en bedrijfskritische aspecten vast. Deze inventarisatie vormt de basis voor beleidsbeslissingen en voldoet ook aan de vereisten voor NIS2 asset management.
Stap 2: communicatiepaden definiëren
Documenteer voor elk OT-apparaat precies welke systemen het moet bereiken. Een PLC moet misschien praten met één MES-server en één engineeringwerkstation. Een historicus moet misschien gegevens van 50 sensoren ontvangen en rapporten naar één BI-platform sturen. Verwijder elk communicatiepad dat niet strikt noodzakelijk is. Dit is het least-privilege principe toegepast op netwerkniveau, in lijn met de vijf Zero Trust principes die elke toegangsbeslissing zouden moeten leiden.
Stap 3: inline isolatie implementeren voor kritieke apparaten
Begin met de apparaten met het hoogste risico: de apparaten die fysieke processen besturen, gevoelige gegevens verwerken of de meeste blootstelling ondervinden. Implementeer NIAC-hardware inline en configureer de in stap 2 gedefinieerde toestemmingsregels. Draai eerst in de monitormodus om te valideren dat legitiem verkeer correct stroomt voordat je overschakelt naar de handhavingsmodus.
Stap 4: integreren met ZTNA-beleid voor menselijke toegang
Toegang van leveranciers en onderhoud tot OT-systemen moet via ZTNA van Jimber lopen in plaats van via traditionele VPN’s. Elke technicus krijgt op identiteit gebaseerde, in de tijd beperkte toegang tot specifieke apparaten. Apparaatposture-controles voor NIS2 zorgen ervoor dat alleen eindpunten die aan de eisen voldoen verbindingen kunnen starten. Geen brede VPN-tunnels meer die het hele OT-segment blootstellen.
Stap 5: controleren, rapporteren en verfijnen
Als zowel NIAC als ZTNA actief zijn, verloopt alle toegang tot OT-apparaten via door beleid gecontroleerde kanalen. De Jimber-console biedt gecentraliseerde logging van wie wat wanneer en vanaf welk apparaat heeft benaderd. Dit controlespoor ondersteunt direct de NIS2-rapportageverplichtingen voor incidenten en de documentatievereisten van CyberFundamentals (CyFun). Herzie het beleid elk kwartaal, voeg nieuwe apparaten toe zodra ze online komen en verscherp de regels naarmate je meer vertrouwen krijgt.
Voor een diepere kijk op hoe deze principes van toepassing zijn op specifieke productieomgevingen, zie onze gids voor SASE voor productie.
Veelgestelde vragen over IT-OT convergentie
Wat is het verschil tussen IT- en OT-beveiliging?
IT-beveiliging beschermt de vertrouwelijkheid, integriteit en beschikbaarheid van gegevens in bedrijfssystemen zoals e-mail, ERP en cloudapplicaties. OT-beveiliging beschermt de fysieke processen die worden aangestuurd door PLC’s, HMI’s en SCADA-systemen, waarbij beschikbaarheid en veiligheid voorrang hebben op vertrouwelijkheid. De convergentie-uitdaging is dat IT-tools ervan uitgaan dat je regelmatig agents kunt installeren en patchen, wat OT-omgevingen vaak niet kunnen ondersteunen.
Kun je Zero Trust toepassen op apparaten die geen moderne authenticatie ondersteunen?
Ja. Hardwarematige inline isolatie dwingt Zero Trust af op netwerkniveau zonder dat het apparaat zelf authenticatie, encryptie of agentsoftware hoeft te ondersteunen. De NIAC-appliance fungeert als beleidshandhavingspunt tussen het apparaat en het netwerk en controleert alle communicatie op basis van expliciete toestemmingsregels.
Is NIS2 van toepassing op productieorganisaties?
NIS2 heeft betrekking op een breed scala aan sectoren, waaronder de productie van chemicaliën, voedingsmiddelen, medische apparatuur, elektrische apparatuur en andere kritieke producten. Organisaties die zijn geclassificeerd als “belangrijke” of “essentiële” entiteiten moeten op risico gebaseerde beveiligingsmaatregelen implementeren, waaronder netwerksegmentatie, toegangscontrole en incidentrapportage. In België biedt het CyberFundamentals-kader een gestructureerd pad naar NIS2-compliance.
Waarin verschilt inline isolatie van een traditionele firewall?
Een firewall bevindt zich typisch op de grens tussen netwerkzones en past regels toe op verkeer dat die grens overschrijdt. Inline isolatie werkt op het niveau van individuele apparaten en controleert precies welke communicatiepaden elk apparaat kan gebruiken. Dit biedt microsegmentatie granulariteit zonder de complexiteit van het beheren van duizenden firewall regels over meerdere zones.
Wat is het Purdue-model en is het nog steeds relevant?
Het Purdue-model is een referentiearchitectuur die industriële automatisering organiseert in hiërarchische niveaus, van fysieke processen (niveau 0) via besturingssystemen (niveau 1-2), operations (niveau 3) en bedrijfsnetwerken (niveau 4-5). Het model blijft een nuttig conceptueel kader, maar de convergentie van IT en OT heeft de strikte scheiding tussen lagen uitgehold. Moderne benaderingen vullen de Purdue-structuur aan met Zero Trust-architectuurprincipes die elke verbinding verifiëren, ongeacht het netwerkniveau.
Kan IT-OT convergentie zonder productiestilstand?
Ja, als de beveiligingslaag op netwerkniveau wordt toegepast in plaats van op apparaten zelf. Inline isolatiehardware zoals NIAC wordt ingezet tussen het apparaat en de switch zonder de configuratie van het apparaat te wijzigen. Beleidsregels kunnen in monitormodus worden getest voordat ze worden afgedwongen. Deze aanpak beschermt de productiecontinuïteit terwijl de beveiliging stapsgewijs wordt opgebouwd.
Klaar om de kloof tussen je IT- en OT-netwerken te overbruggen zonder de productie in gevaar te brengen? Boek een demo om te zien hoe de NIAC-hardware en het uniforme SASE-platform van Jimber je Zero Trust-handhaving bieden voor elk apparaat op de fabrieksvloer, beheerd vanaf één console.
