De recente cyberaanvallen op Amerikaanse drinkwater- en afvalwatersystemen laten zien dat de impact van een cyberaanval op operational technology (OT) verder gaat dan verloren data of versleutelde systemen. Wanneer PLC’s, HMI’s, pompen, kleppen of waterzuiveringssystemen worden verstoord, heeft dat direct effect op de maatschappij. Daarmee raken cyberaanvallen niet alleen de beschikbaarheid van systemen, maar mogelijk ook de volksgezondheid, het milieu en economische activiteiten.
De aanvallen in de VS zijn ook een wake-upcall voor Belgische waterbedrijven. Wat kunnen we leren van de situatie in de VS, wat is er precies gebeurd, en had dit tijdig voorkomen kunnen worden?
Waterinfrastructuur is zowel in de VS als in België sterk gebaseerd op vertrouwen. Inwoners vertrouwen erop dat hun drinkwater veilig is. Operators moeten erop kunnen vertrouwen dat HMI’s de fysieke processen correct weergeven. En waterbedrijven gaan ervan uit dat externe verbindingen met zuiveringsinstallaties, pompstations, gemalen en andere systemen veilig zijn. Cyberaanvallen kunnen dat vertrouwen aantasten door de beschikbaarheid, nauwkeurigheid, integriteit en veiligheid van systemen in gevaar te brengen.
Een belangrijke uitdaging is de complexe en geografisch verspreide infrastructuur van waterbedrijven. Zij combineren vaak zuiveringsinstallaties en legacy-controllers met pomp- en gemalen, putten, tanks, mobiele locaties en externe toegang voor derden en OEM’s. Connectiviteit biedt daarbij belangrijke operationele voordelen, maar creëert tegelijkertijd nieuwe toegangswegen die moeten worden beheerd.
De omvang van het probleem blijkt ook uit cijfers van de Amerikaanse Environmental Protection Agency (EPA). In 2026 meldde de organisatie dat kwetsbaarheden bij 277 waterbedrijven waren opgelost, bovenop de 350 kwetsbaarheden die in 2025 waren aangepakt. Vooral kwetsbaarheden rond blootstelling aan internet, authenticatie en toegangscontrole blijven veel voorkomen.
Van toegang tot operationele verstoring
Recente overheidswaarschuwingen laten zien dat aanvallers niet altijd geavanceerde OT-malware nodig hebben om schade te veroorzaken. Wanneer operationele systemen onvoldoende zijn beveiligd, kunnen relatief eenvoudige aanvalstechnieken al toegang bieden.
In 2023, en opnieuw in een bredere waarschuwing uit 2024, meldden Amerikaanse, Britse en geallieerde overheidsdiensten dat een aan de Iraanse overheid gelieerde APT-groep internetverbonden PLC’s had gecompromitteerd door gebruik te maken van standaard- of ontbrekende wachtwoorden. Onderzoekers identificeerden meer dan 75 getroffen apparaten in de Verenigde Staten, waaronder 34 in de drinkwater- en afvalwatersector. Ook werden wijzigingen in ladder logic vastgesteld en konden operators niet langer op afstand toegang krijgen tot systemen.
Een gezamenlijke waarschuwing uit 2025 wees daarnaast op pro-Russische hacktivisten die onvoldoende beveiligde, internetgerichte VNC-verbindingen gebruikten om toegang te krijgen tot HMI’s in de water‑, energie- en voedingssector. Hoewel deze aanvallen niet altijd geavanceerd waren, leidde de toegang wel tot operationele verstoringen en fysieke schade.
Volgens Jim Richberg, Head of Cyber Policy en global field CISO bij Fortinet, legt deze ontwikkeling vooral een structureel probleem bloot bij kleinere waterbedrijven: “Het voortdurende aanvallen op en succesvolle compromittering van watersystemen vestigen de aandacht op een al langer bestaand probleem bij kleine water- en afvalwaterbedrijven. Deze bedrijven vertegenwoordigen 81 procent van alle publieke waterbedrijven in de Verenigde Staten. Tegelijkertijd zijn zij verantwoordelijk voor 93 procent van de overtredingen van federale normen voor drinkwater.”
Richberg benadrukt dat regelgeving alleen niet voldoende is. Er zijn volgens hem ook middelen en expertise nodig om de beveiliging daadwerkelijk te verbeteren. Veel kleinere waterbedrijven beschikken daar zelf niet over en zijn daarom afhankelijk van externe expertise, zowel betaald als op vrijwillige basis.
Ook AI speelt inmiddels een rol. In augustus 2026 waarschuwden de NSA en partnerorganisaties voor activiteiten waarbij internet-scanningtools en AI-ondersteunde scripts worden gebruikt om blootgestelde of onvoldoende gesegmenteerde PLC’s te identificeren. De scripts worden daarbij vermomd als legitieme monitoringtools. De overheidsinstanties beschouwen deze activiteiten als verkenning en voorbereiding op mogelijke toekomstige cyberoperaties. Daarmee wordt de drempel om kwetsbare industriële systemen te vinden steeds lager. AI en automatisering maken het eenvoudiger om systemen te identificeren en mogelijke aanvalsroutes in kaart te brengen.
Een privénetwerk is niet automatisch veilig
Voor veel verspreid opgestelde waterinstallaties is mobiele connectiviteit onmisbaar. Denk aan pompstations, gemalen, putten, tanks en telemetrielocaties waar glasvezel geen praktische optie is. Het probleem zit daarbij niet in mobiele technologie zelf, maar in het vertrouwensmodel. Juist een onbeheerde kast op afstand kan een zwakke plek vormen. Zo’n locatie kan via een permanente, vertrouwde verbinding gekoppeld zijn aan het operationele netwerk. Een aanvaller die toegang krijgt tot zo’n verbinding, kan daarmee mogelijk een route naar kritieke systemen vinden.
Een private APN kan helpen om netwerken van elkaar te scheiden, maar vormt geen volledige beveiligingsgrens. Authenticatie, encryptie, segmentatie, toegangsbeleid, inspectie, logging en monitoring blijven noodzakelijk. De Britse National Cyber Security Centre (NCSC) benadrukt daarbij dat een APN weliswaar voor scheiding zorgt, maar geen encryptie biedt binnen het telecommunicatienetwerk.
De beveiligingsprincipes voor OT van de NCSC richten zich daarom op het elimineren van blootgestelde inkomende poorten, het gebruik van gecontroleerde gateways, het centraliseren van verbindingen en het beperken van de gevolgen van een eventuele compromittering.
Beveiliging als onderdeel van weerbaarheid
Waterbedrijven hebben geen behoefte aan nog meer losse cybersecurityproducten. Wat zij nodig hebben, is een architectuur die beveiliging consistent kan toepassen vanaf de waterzuiveringsinstallatie tot aan de operationele systemen aan de rand van het netwerk, zonder extra complexiteit toe te voegen voor teams die vaak al met beperkte middelen werken.
Fortinet is de enige cybersecurityleverancier met een uitgebreid OT-securityportfolio dat is gecertificeerd volgens IEC 62443–4‑2, de internationaal geaccepteerde standaard voor beveiliging op componentniveau binnen industriële automatiserings- en controlesystemen. De certificering betekent dat de OT-oplossingen van Fortinet onafhankelijk zijn beoordeeld aan de hand van strenge eisen voor onder meer veilige ontwikkeling, security-by-design en weerbaarheid in industriële omgevingen.
Technologie alleen kan geteste back-ups, gecontroleerd wijzigingsbeheer en geoefende herstelprocedures niet vervangen. Wel kan technologie de blootstelling beperken, toegang tot kritieke controllers beheersen, ongeautoriseerd gedrag detecteren en een incident indammen voordat het uitgroeit tot een groter operationeel probleem.
