Juni 2026
‘Cyberweerbaarheid onlosmakelijk onderdeel van vakmanschap’
Interview met Dr. Rick van der Kleij, senior onderzoeker TNO en lector Cyberweerbare organisaties Avans Hogeschool
De installatiebranche digitaliseert in hoog tempo. Gebouwbeheersystemen, warmtepompen en slimme meters communiceren via de cloud, en bedrijfsprocessen draaien op platforms als Microsoft 365 en Autodesk. Die verbondenheid biedt kansen, maar vergroot ook het aanvalsoppervlak. ‘Installateurs kunnen fungeren als zwakke schakel voor partijen die op hen vertrouwen. Het ketenbesef ontbreekt nog te vaak,’ zegt dr. Rick van der Kleij, senior onderzoeker bij TNO en lector Cyberweerbare organisaties aan Avans Hogeschool.
Hoe serieus neemt de installatiebranche cyber-security op dit moment?
‘Net als veel andere sectoren ontwaakt de branche langzaamaan. Digitalisering wordt een groter onderdeel van het werk. Toch zien veel mensen cybersecurity – of zoals ik liever zeg cyberweerbaarheid – nog te vaak als een IT-probleem en niet als onderdeel van vakmanschap of bedrijfsvoering. Bedrijven pakken het op als het moet, gedreven door externe druk, terwijl intrinsieke motivatie ontbreekt. Er zijn koplopers die het goed aanpakken, maar ook een grote groep bedrijven waarbij het onderwerp nog niet eens op de radar staat. Daartussenin zit het middenveld van bedrijven die wel willen, maar vastlopen op tijd en middelen. Die achterblijvers brengen risico’s voor de hele keten met zich mee.’
U geeft de voorkeur aan de term ‘cyberweerbaarheid’ in plaats van ‘cybersecurity’. Waarom volstaat cybersecurity niet meer als begrip?
‘Cybersecurity staat voor bescherming en preventie, ofwel de dikke muur en de diepe slotgracht. Aangezien de incidenten toenemen, volstaat die aanpak niet meer. Cyberweerbaarheid daarentegen erkent dat incidenten gaan plaatsvinden, of het nu een gerichte aanval is of een technische storing. Het omvat meer dan bescherming en preventie. Bij cyberweerbaarheid gaat het ook over het vermogen om bij een incident adequaat te reageren, schade te beperken en te herstellen, en daarna te leren voor de volgende keer. Zelfs de Nederlandse overheid hanteert inmiddels de redenering: ga ervan uit dat de aanvaller al in het netwerk zit. Cyberweerbaarheid omvat cybersecurity, maar is dus meer dan dat.’
Welke cyberrisico’s lopen installatiebedrijven en hun opdrachtgevers concreet?
‘Installateurs beheren vaak meer klantdata dan ze zelf beseffen. Daarnaast hebben ze toegang tot systemen die ze bij klanten installeerden. Hun systemen vormen voor kwaadwillenden daardoor een mogelijke toegangspoort tot andere bedrijven in de keten. Een incident bij één partij heeft al snel gevolgen voor meerdere anderen. De verbondenheid in het ecosysteem vergroot dat risico. Installateurs kunnen fungeren als zwakke schakel voor partijen die op hen vertrouwen, met mogelijke gevolgen voor de bedrijfscontinuïteit en de veiligheid van klanten. Dat ketenbesef ontbreekt nog te vaak.’
‘Het is de kunst om balans te vinden tussen mogelijkheden en risico’s van digitalisering’
Gebouwbeheersystemen en andere technische installaties draaien steeds vaker op de cloud. Vergroot die digitalisering het aanvalsoppervlak of biedt het kansen voor beveiliging?
‘Die digitalisering vergroot het aanvalsoppervlak én biedt tegelijk nieuwe kansen. Elke digitale verbinding is een potentiële ingang. Generatieve AI vergroot die kwetsbaarheid verder. Via de juiste prompt kunnen aanvallers informatie uit bedrijfssystemen halen die ze anders niet zouden bereiken. Maar diezelfde digitalisering biedt ook mogelijkheden. Denk bijvoorbeeld aan het beter organiseren van de toegangscontrole, het sneller detecteren van incidenten en eerder ingrijpen wanneer nodig. Ik noem dit het grote digitale dilemma: de mogelijkheden zijn aantrekkelijk, de risico’s zijn reëel. Het is de kunst om de balans te vinden. Het staat overigens als een paal boven water dat geen enkel bedrijf ontkomt aan deze afweging.’
De branche draait grotendeels op Amerikaanse platforms als Microsoft en Autodesk. Is die afhankelijkheid in het huidige geopolitieke klimaat nog verstandig?
‘Het is in elk geval verstandig om onszelf die vraag te stellen. Digitale soevereiniteit staat op de Europese agenda. De geopolitieke onrust maakt de discussie urgenter. Overstappen brengt kosten en risico’s mee. Hoewel er zeker Europese alternatieven zijn, is het de vraag of zij even productief zijn. Ondanks dat we vaak niet willen overstappen, kunnen we wel op ander vlak actie ondernemen. Weet bijvoorbeeld waar belangrijke data staan, maak goede afspraken over wat er met die data gebeurt en heb een back-up plan klaarliggen voor het geval een overstap wel nodig is. Er zijn bedrijven die experimenteren met Europese alternatieven. Als branche kun je van die koplopers leren.’
Naast technische en geopolitieke risico’s wordt de menselijke factor in cyberincidenten vaak als zwakste schakel aangewezen. Deelt u dat beeld?
‘Nee, ik verzet me er actief tegen. Als mensen op een phishingmail klikken of hun wachtwoord opschrijven, is dat zelden de kern van het probleem. We vragen mensen nog steeds om ingewikkelde wachtwoordcombinaties, terwijl we allang weten dat mensen die niet goed onthouden of onveilig noteren. Met alle voorspelbare gevolgen van dien. Het probleem zit in systemen die worden ontworpen zonder rekening te houden met hoe mensen werken. Bij omslachtige beveiliging, werken mensen er omheen. Dan wordt het pas echt onveilig. Kijk maar naar de bekende gevallen van politici die hun eigen systemen omzeilden omdat die te omslachtig waren, waardoor geheime informatie eenvoudig toegankelijk werd. Intrinsiek gemotiveerde medewerkers in combinatie met gedegen, maar goed toegankelijke beveiliging zijn juist een kracht in een beveiligingsstrategie.’
Hoe ziet een cyberweerbaarheidsstrategie voor een installatiebedrijf er volgens u uit?
‘Het begint met accepteren dat het mis kan gaan. Veel ondernemers hebben nagedacht over beveiliging, maar als ze de vraag krijgen wat ze doen als het dan toch misgaat, valt er een stilte. Aan hen wil ik meegeven: zorg dat je weet wie je in zo’n geval belt. Schrijf dat ergens op buiten de systemen die bij een aanval onbereikbaar kunnen zijn. Maak goede afspraken met de IT-leverancier over wat die doet als het misgaat. Veel bedrijven denken dat ze de beveiliging op een goede manier hebben uitbesteed, maar de afspraken kloppen niet met wat ze dachten in te kopen. En oefen het scenario een keer. Die aanpak sluit nauw aan bij wat Techniek Nederland in haar weerbaarheidsrapport aanbeveelt voor fysieke crisissituaties, zoals stroomuitval of uitval van internet: informatie buiten de getroffen systemen bewaren, goede afspraken in de keten, en oefenen. Of het nu gaat om een cyberaanval of een stroomstoring, de principes zijn in de kern hetzelfde.’
‘De branche moet meer samenwerken op het thema cyberweerbaarheid’
De Cyber Resilience Act en Cyberbeveiligingswet komen eraan. Wat verandert er daardoor in de dagelijkse praktijk van een installatiebedrijf?
‘Veel bedrijven weten dat er iets aankomt, maar hebben geen idee wat het voor hen concreet betekent. Dat concreet maken is nu de uitdaging. Het is al wel duidelijk dat installatiebedrijven in de keten zitten van grotere partijen die direct onder de Cyberbeveiligingswet vallen. Die partijen eisen steeds vaker dat ook hun toeleveranciers aantoonbaar op orde zijn. Als een bedrijf dat niet kan laten zien, kan het straks misschien geen zaken meer met hen doen. Dat is een heel concrete prikkel en staat los van de vraag of het installatiebedrijf zelf direct onder de wet valt.’
Die nieuwe wetten en regels roepen vaak vragen op bij installateurs. Wie moet voor hen de vertaalslag maken van beleidstaal naar concrete stappen?
‘Brancheverenigingen als Techniek Nederland kunnen daarin, als doorgeefluik van begrijpelijke informatie in plaats van beleidstaal, een cruciale rol spelen. Koplopers in de sector kunnen helpen het middenveld mee te trekken. Zij weten hoe het moet en kunnen hun kennis delen. Daarbij vormt de financiële sector een mooi voorbeeld. Bedrijven die normaal concurrenten zijn, werken op het gebied van cybersecurity gewoon samen. Ze delen informatie over dreigingen en aanpakken, want samen staan ze sterker. Dat model verdient navolging in de installatiebranche.’
Wat is uw advies aan Techniek Nederland en de installatiebranche als geheel?
‘Ten eerste moet de branche meer samenwerken op het thema cyberweerbaarheid in plaats van ieder voor zich. Daar kan Techniek Nederland een belangrijke rol in spelen. Ten tweede: zet niet in op nog meer bewustwording, maar op praktische handelingsperspectieven voor de branche, zoals het vertalen van wetgeving naar concrete acties die de ondernemer nu al kan nemen. En zorg er ten derde voor dat cyberweerbaarheid wordt gezien als onlosmakelijk onderdeel van het vakmanschap, net als veilig werken of vakkundig installeren. Als we de cyberweerbaarheid niet op orde hebben en we worden slachtoffer, dan heeft dat ook gevolgen voor onze klanten en de rest van de keten. Cyberweerbaarheid staat niet los van businessvoering: het ís businessvoering.’
Tekst: Laura Timmermans
Fotografie: Joeri Molendijk