Nederland digitaliseert zijn kritieke infrastructuur in hoog tempo. Bruggen, tunnels, sluizen en energienetten sturen steeds meer processen aan via sensoren en slimme besturing. Dat maakt objecten efficiënter, maar vergroot ook de afhankelijkheid van techniek die kan uitvallen, gehackt kan worden of zonder stroom kan komen te zitten.
De vraag is daarom niet alleen hoe een systeem wordt beveiligd. Minstens zo belangrijk is wat er gebeurt als die beveiliging tekortschiet. Kan de maatschappelijke functie dan beschikbaar blijven en hoe snel kan het systeem worden hersteld?
Voor Jacco Saaman, directeur business development, sales & innovatie bij SPIE Nederland, gaat dit vraagstuk verder dan cybersecurity alleen. “Nederland wordt steeds afhankelijker van digitaal aangestuurde infrastructuur. De continuïteit daarvan raakt direct aan de werking van onze samenleving. We moeten dus niet alleen kijken hoe we systemen beveiligen, maar ook wat er gebeurt als een systeem toch uitvalt.” Volgens Saaman vraagt dat om een bredere strategische blik. “Weerbaarheid begint bij de manier waarop we naar infrastructuur kijken. Niet als een verzameling afzonderlijke objecten, maar als samenhangende systemen die gedurende hun hele levensduur beschikbaar, veilig en beheersbaar moeten blijven.”
Van strategie naar systeemintegratie
Hoe die visie er in de praktijk uitziet, blijkt bij tunnelprojecten. Een tunnel is geen verzameling afzonderlijke installaties, maar een integraal technisch systeem. Systemen van verschillende leveranciers moeten samen één veilige, beschikbare en beheersbare verkeersfunctie realiseren.
Jurgen van den Bos, operationeel manager bij SPIE, benadrukt dat cybersecurity al in het voorontwerp onderdeel moet zijn van dat systeemdenken. “Voor ons begint dit met scherp inzicht in de samenhang tussen systemen”, zegt hij. “Je moet vooraf weten waar afhankelijkheden zitten, welke functies altijd beschikbaar moeten blijven en wat de gevolgen zijn als één onderdeel niet beschikbaar is.”
Volgens Van den Bos vraagt dat om het vroeg bij elkaar brengen van ontwerp, uitvoering, testen en beheer. “In tunnelprojecten moet je aan de voorkant met de opdrachtgever, leveranciers en beheerders scherp krijgen wat echt kritisch is en welke scenario’s je moet kunnen opvangen. Alleen dan kun je aantonen dat het systeem als geheel betrouwbaar blijft functioneren.” Daarom worden afhankelijkheden niet alleen ontworpen, maar ook geanalyseerd, getest en beheerst. Cybersecurity krijgt binnen tunnelprojecten inmiddels een vaste plek in ontwerp, uitvoering en beheer.
Fysieke en digitale dreigingen komen samen
Een crimineel hoeft geen wachtwoord te kraken om schade aan te richten. Een doorgezaagde hoogspanningslijn kan een systeem net zo goed platleggen. Ook drones, sabotage, beschadigde kabels of verlies van stroom kunnen gevolgen hebben voor de continuïteit van een installatie. “Cybersecurity gaat niet alleen over computers en netwerken”, zegt Saaman. “De digitale en fysieke werkelijkheid zijn met elkaar verbonden. Een aanval op het ene domein kan direct gevolgen hebben in het andere.” Organisaties moeten risico’s daarom niet alleen digitaal, maar ook fysiek en operationeel beoordelen.
Verantwoordelijkheid in de keten blijft bestaan
Leon van der Valk, CISO bij SPIE Nederland, benadrukt dat taken en bevoegdheden kunnen worden verdeeld, maar dat verantwoordelijkheid niet zomaar uit de keten verdwijnt. “Taken en bevoegdheden kun je delegeren, maar accountability en responsibility niet”, zegt Van der Valk. “De opdrachtgever blijft verantwoordelijk voor de continuïteit van zijn organisatie, ook wanneer de uitvoering bij een leverancier of opdrachtnemer ligt.” Nieuwe wet- en regelgeving, waaronder de Cyberbeveiligingswet en de Cyber Resilience Act, maakt de eisen aan digitale veiligheid en weerbaarheid concreter. SPIE werkt daarom met rubricering van informatie. Per project wordt bepaald welke gegevens vertrouwelijk zijn en wat de gevolgen zijn als deze op straat komen te liggen. Die analyse gebeurt aan het begin, samen met de opdrachtgever.
Ontwerp bepaalt de weerbaarheid
Volgens Saaman wordt de weerbaarheid van infrastructuur in belangrijke mate bepaald door ontwerpkeuzes. “Als je weerbaarheid pas laat in een project expliciet maakt, beperk je de ruimte om nog fundamentele keuzes te maken. Juist in de ontwerpfase worden de belangrijkste beslissingen genomen over beschikbaarheid, beheersbaarheid en verantwoordelijkheden.” Dat is ook belangrijk bij bestaande infrastructuur. Installaties gaan vaak korter mee dan de constructie. Terwijl een tunnel tientallen jaren kan meegaan, moeten installaties in die periode meerdere keren worden vernieuwd of gemoderniseerd om te blijven voldoen aan de eisen voor veiligheid, beschikbaarheid, onderhoudbaarheid en cybersecurity.
Datagedreven onderhoud helpt de staat van installaties te volgen, onderhoud slimmer te plannen en hinder te beperken.
Voor Saaman is dat de bredere strategische opgave voor SPIE Nederland. “Het gaat om de verbinding tussen techniek, mensen, processen en verantwoordelijkheid. We moeten niet alleen technische systemen realiseren, maar samen met opdrachtgevers zorgen dat essentiële functies ook onder moeilijke omstandigheden beschikbaar blijven.” Wie dat vanaf de ontwerptafel meeneemt, bouwt niet alleen veiliger, maar ook infrastructuur die overeind blijft wanneer het erop aankomt.
