Wat als een hacker niet je data steelt, maar de stroom uitzet?

In de zomer van dit jaar werden we verrast door een aanval op een energiecentrale in het VK. Deze centrale heeft vier dagen stilgelegen. Uiteindelijk zonder grote gevolgen voor de stroomvoorziening. Maar toch. Volgens berichtgeving gaat het om hackers met banden met het Iraanse regime; de Britse overheid heeft dat nog niet officieel bevestigd.

Eind december 2025 was de Poolse energievoorziening het doelwit van Russische hackers. Ook Zweden was in 2025 al aan de beurt. Waar de hackers in Polen wel binnenkwamen, werd de aanval op een Zweedse warmtecentrale afgeslagen. Maar de trend is duidelijk.

De watervoorziening is daarnaast ook een aantrekkelijk doelwit voor hackers. Zo werd in 2021 gemeld dat iemand op afstand de chemische waarden van een waterzuiveringsinstallatie in de Amerikaanse staat Florida had aangepast. Eind juli 2026 werden waterzuiveringsinstallaties in meer dan dertig gemeenten in de Amerikaanse staat Minnesota aangevallen, en meldden waterbedrijven in meerdere andere staten incidenten.

De tendens is dat het doel van de aanvallen verandert: van spionage en informatievergaring naar ontwrichting van kritieke infrastructuur. Wij zijn nog maar een klein stukje weg van dat doel; de voorbeelden die ik noem zijn nog maar een beperkt aantal. 

Aanvallen op Operationele Techniek (OT) komen steeds meer voor. OT staat voor hardware en software die fysieke en industriële processen aansturen, zoals in fabrieken, sluizen, energiecentrales en waterzuiveringen. 

Aanvallen op operationele technologie (OT) komen steeds vaker voor. OT is de hardware en software die fysieke en industriële processen aanstuurt, zoals in fabrieken, sluizen, energiecentrales en waterzuiveringen.

Maar ook dichterbij huis: klimaatbeheersing in een pand en een lift-installatie is ook OT. 

De daders 

De daders moeten we vooral zoeken in hackersgroepen die banden hebben met landen, ook wel Statelijke Actoren.  

In de Poolse en Zweedse casus gaat het om pro-Russische hackersgroepen met banden met de Russische inlichtingendiensten. Deze groepen zijn zeer actief sinds de Russische inval in Oekraine en de response daarop. Hun doelwitten liggen dan ook vooral in grote landen die Oekraine steunen. De aanvallen op de Amerikaanse en Britse doelen lijken vooral te komen van hackersgroepen die gelieerd zijn aan de Iraanse regering. Deze groepen zijn sinds de oorlog tussen de Verenigde Staten en Iran actief en richten zich op de VS, Israël en het VK.

Als laatste grote groep worden Chinees georiënteerde hackersgroepen gezien. Die richten zich op Aziatische doelen, maar ook op kritieke infrastructuur in de VS, waar ze vooral ongemerkt binnen proberen te komen en te blijven.

Waarom komen hackers zo ver? 

In het Zweedse geval kwamen de hackers niet heel ver, maar bij een groot aantal andere aanvallen wel. Hackers maken gebruik van een aantal verschillende kwetsbaarheden. Ik bespreek de belangrijkste. 

1. OT is verbonden met/zichtbaar op internet. 

Een grote oorzaak is dat PLC’s (de computers die machines direct aansturen) en SCADA-systemen (de software waarmee je die processen bewaakt en bedient) direct benaderbaar zijn vanaf het internet. Aan de ene kant super handig: je kunt PLC’s uitlezen en configureren vanaf waar je ook maar wil, en het dashboard van een SCADA -systeem zien vanaf thuis of vanaf elk kantoor van jouw organisatie. 

Maar wat als iemand anders dat ook kan? Doordat het open en toegankelijk verbonden is met het internet heb je wellicht een probleem. En dat blijkt. De Amerikaanse cyberautoriteit CISA waarschuwde dit voorjaar al dat Iraanse hackers het voorzien hebben op internet-gekoppelde apparatuur in de water- en energiesector.

2. Gebrek aan scheiding tussen IT en OT en gebrek aan netwerksegmentatie. 

IT en OT netwerken zijn vaak aan elkaar gekoppeld. Aan het IT-netwerk ‘hangt’ onder ander de Kantoorautomatisering (KA). Het grote voordeel van IT en OT koppelen is dat je eenvoudig binnen het netwerk heen en weer kan. . Toch zijn er zwaarwegende redenen om de netwerken te scheiden en te segmenteren. Als jij heen en weer kan in je netwerk, kan een hacker dat wellicht ook. Het advies gaat, net als bij IT-netwerken, nog verder: scheid niet alleen IT en OT, maar segmenteer ook het OT-netwerk zelf.

Dat kan bijvoorbeeld volgens het Purdue-model. Dit model is begin jaren negentig ontwikkeld door Theodore J. Williams van Purdue University en onderscheidt zes niveaus, van de fysieke machines tot het bedrijfsnetwerk.

3. Basis beveiligingsmaatregelen zijn niet getroffen. 

In het geval van de aanval op de Britse energiecentrale lijkt het erop dat de hackers bewust hadden gekozen voor een kleinere centrale: die zijn minder goed gereguleerd dan de grote, nog essentiëlere centrales. En ook hier bleken, net als in het geval van de Poolse energievoorziening, de essentiële en basis beveiligingsmaatregelen te missen. Zo komen hackers eenvoudig binnen. 

4. Onderinvestering in kennis en kunde. 

We kennen IT systemen al veel langer en er zijn ook veel meer mensen de IT-systemen kunnen beveiligen. Mensen met zowel kennis van OT systemen als IT-security zijn zeer zeldzaam. Veel organisaties bezuinigen, onterecht, op opleidingen en trainingen en investeren te weinig in ervaren en goed opgeleid OT-security medewerkers. 

5. De menselijke factor. 

Wat voor IT geldt, geldt ook voor OT. Een belangrijke aanvalsroute is phishing en andere vormen van social engineering. Daar trappen mensen nog steeds in. Niet onverklaarbaar: de aanvallen worden steeds beter en geavanceerder en misbruiken menselijke zwaktes.  

Wat het betekent: de investering in de ''zoveelste'' awareness campagne is geen weggegooid geld. Kies voor een mix van vormen, zodat het relevant en interessant blijft voor medewerkers. Ook voor medewerkers die met OT werken. 

6. Het uitblijven van represailles.  

Als een land een raket afschiet of een bom op een ander land laat vallen, komen er vaak represailles. Een tegenaanval of economische sancties. In het geval van een cyberaanval volgen er vaak geen vergeldingen. Oftewel: een flinke cyberaanval is voor de aanvaller een stuk veiliger. Twee keer raden wat men doet: die bom uit het arsenaal halen of een computer aanzetten? 

7. Gebrek aan (opvolging van) sluitende regelgeving.  

‘Een goed stuk wet heeft nog nooit een cyberaanval voorkomen’. Dat klopt. . Maar kijk naar het doel van de NIS2, in Nederland de Cyberbeveiligingswet (Cbw): de diensten beschermen die de samenleving draaiende houden. De Ot-aanvallen uit deze blog gaan allemaal over de kritike infrastructuur en hebben te maken met eten, stroom, droge voeten, betrouwbaar drinkwater. In het voorbeeld van de Britse energiecentrale waren er bepaalde basisbeveiligingsmaatregelen niet getroffen omdat de regelgeving dat niet afdwong.  

Daarom is regelgeving dus weldegelijk nodig.

Wat kunnen we dan doen? 

Eigenlijk is dat het omgekeerde van de kwetsbaarheden die hiervoor genoemd worden. Organisaties kunnen: 

• Zorgen dat OT-systemen niet vindbaar en direct bereikbaar zijn vanaf het internet en toegang op afstand alleen regelen via beveiligde verbindingen met meerfactorauthenticatie.
• IT en OT van elkaar scheiden en het OT-netwerk segmenteren.
• De basismaatregelen op orde brengen, zoals standaardwachtwoorden wijzigen. systemen bijwerken waar dat kan en toegang beperken. 
• Investeren in bewustwording, kennis en kunde van medewerkers, ook aan de OT-kant.
• De Cyberbeveiligingswet niet zien als afvinklijst, maar als kader om weerbaarder te worden. 

De overheid kan nadenken over represailles, maar juist ook over handhaving van de regelgeving. Om ons allemaal veilig te houden.  

Wil je weten hoe het met de OT-security in jouw organisatie gesteld is? Neem gerust contact met ons op. We denken graag mee.

Wil je hier meer over horen? Deze blog is gebaseerd op de aflevering ''OT Security: Hoe houden we Nederland veilig?'' van PRISM de Podcast. Daarin bespreken we het onderwerp verder en delen we twee extra tips die je niet in deze blog leest.

Luister de aflevering via Spotify, Apple Podcasts of je eigen podcastplatform.