CYRA-OT voor asset owners

Grip op digitale risico’s in je OT-leveranciersketen 

Als organisatie ben je eigenaar of eindverantwoordelijk voor je eigen industriële installaties, procesautomatisering of vitale infrastructuur waarin operationele technologie (OT) een rol speelt. Je bent verantwoordelijk voor de continuïteit, veiligheid en betrouwbaarheid van deze omgevingen, ook wanneer delen daarvan worden geleverd, beheerd of onderhouden door externe partijen.

Een kwetsbaarheid bij een leverancier kan directe gevolgen hebben voor je organisatie. Met CYRA-OT stel je duidelijke en proportionele eisen aan de digitale weerbaarheid van leveranciers met OT-omgevingen en maak je dit aantoonbaar en toetsbaar binnen je leveranciersketen.

Wat bedoelen we met asset owners? 

Met opdrachtgevers (asset owners) in OT-omgevingen bedoelen wij organisaties die: 

• Eigenaar zijn van industriële installaties of bedrijfskritische systemen
• Eindverantwoordelijk zijn voor productieprocessen of fysieke systemen
• OT-systemen laten ontwerpen, implementeren, beheren of onderhouden door leveranciers
• Verantwoordelijkheid dragen voor veiligheid en continuïteit. 

Dit kunnen bijvoorbeeld productiebedrijven, energie- en waterbedrijven, infrastructuurbeheerders of andere organisaties met een industriële of technische OT-omgeving zijn. 

Wat betekent CYRA-OT concreet voor jou? 

CYRA-OT bied je als asset owner een praktisch instrument om grip te krijgen op de digitale weerbaarheid in je leveranciersketen. 

Met CYRA-OT kun je: 

1. Heldere en proportionele eisen stellen aan je leverancier 
   Je bepaalt welk CYRA-niveau (Entry, Basic, Intermediate of Advanced) passend is bij: 
   • De vitaliteit van de OT-omgeving
   • De impact bij verstoring
   • De mate van toegang tot OT-systemen
   • Het risicoprofiel van de leverancier.
     Dit niveau kun je opnemen in aanbestedingen, contracten en inkoopvoorwaarden.
2. Digitale weerbaarheid objectief laten aantonen 
   Leveranciers vullen de CYRA-OT vragenlijst in via de CYRA-tool en kunnen: 
   • Een zelfverklaring downloaden
   • Kiezen voor onafhankelijke beoordeling door een geaccrediteerde certificatie-instelling. Bij een succesvolle audit ontvangt de leverancier een CYRA-certificaat op een bepaald niveau. 
3. Aansluiten bij een internationaal normenkader 
   CYRA-OT is gebaseerd op de internationale norm IEC 62443 voor industriële automatiserings- en controlesystemen (IACS). Hiermee sluit je aan bij een internationaal erkend beveiligingskader, zonder direct volledige normcertificering te eisen van elke leverancier. 

Waarom is CYRA-OT belangrijk voor asset owners? 

Operationele technologie, zoals industriële besturingssystemen en procesautomatisering, is steeds sterker verbonden met IT-netwerken. Daardoor nemen digitale dreigingen toe en kan de impact van incidenten groot zijn. Een incident in de leveranciersketen kan leiden tot verstoring van productie of dienstverlening, uitval van installaties, veiligheidsrisico’s en aanzienlijke financiële en reputatieschade van jouw organisatie.  

Tegelijkertijd nemen de wettelijke eisen toe, onder andere vanuit de Cyberbeveiligingswet. Deze wet verplicht essentiële en belangrijke entiteiten om passende maatregelen te nemen om hun digitale weerbaarheid te versterken. Voor asset owners in OT-omgevingen betekent dit dat je aantoonbaar grip moet houden op digitale risico’s. Niet alleen binnen de eigen organisatie, maar ook binnen de leveranciersketen. Ketenverantwoordelijkheid is hierbij een belangrijk onderdeel. Denk aan het maken van duidelijke afspraken met leveranciers over hun digitale weerbaarheid. 

CYRA-OT helpt hierbij. Leveranciers kunnen hun volwassenheid aantonen met een CYRA-zelfverklaring of een externe beoordeling via een geaccrediteerde certificatie-instelling. Zo kun je samen afspraken maken over het gewenste CYRA-niveau. Bovendien helpt CYRA-OT leveranciers om stapsgewijs te groeien in digitale weerbaarheid, in lijn met de uitgangspunten van IEC 62443. 

Geen vervanging van certificering, maar een praktisch groeimodel 

CYRA-OT is geen volledige IEC 62443-certificering. Het is een instap- en groeimodel dat: 

• De kern van IEC 62443 vertaalt naar een praktische online vragenlijst in de CYRA-tool
• Toepasbaar is voor organisaties van verschillende groottes en volwassenheid
• Een laagdrempelige manier biedt om digitale weerbaarheid aantoonbaar te maken. 

Voor jou als asset owner betekent dit: een werkbaar, schaalbaar en normatief onderbouwd instrument om grip te krijgen en houden op de digitale risico’s in jouw leveranciersketen. 

Meer weten over CYRA? 
Heb je vragen of wil je meer informatie? Bekijk dan de webpagina over de CYRA-methode of mail naar cyra@hetccv.nl.