Op 15 augustus 2026, treedt in Nederland de Cyberbeveiligingswet (Cbw) in werking, de nationale vertaling van de Europese NIS2-richtlijn. Na jaren van vertraging (de oorspronkelijke deadline lag al op 17 oktober 2024) is de wet op 7 juli door de Eerste Kamer aangenomen en geldt vanaf vandaag voor ruim 8.000 organisaties in Nederland. Voor de robotica-sector is dit een belangrijke ontwikkelijng: robots vormen een integraal onderdeel van deze wetgeving.
NIS2 is de opvolger van de eerste NIS-richtlijn uit 2016 en is bedoeld om de digitale weerbaarheid van de Europese Unie te verhogen. Waar de oude richtlijn zich beperkte tot een smalle groep kritieke sectoren, trekt NIS2 de kring veel breder: fabrikanten, zorginstellingen, logistieke dienstverleners, energiebedrijven en digitale infrastructuur vallen er nu allemaal onder. Organisaties met meer dan 50 werknemers of een jaaromzet boven de 10 miljoen euro, actief in een aangewezen sector, moeten aan de eisen voldoen.
Concreet verplicht de wet organisaties tot:
- een risicobeheeraanpak voor hun netwerk- en informatiesystemen (“zorgplicht”);
- het melden van significante incidenten binnen 24 uur;
- het beveiligen van de toeleveringsketen, inclusief leveranciers en onderaannemers;
- registratie in het nationaal entiteitenregister;
- bestuurlijke verantwoordelijkheid: het management is persoonlijk aansprakelijk voor cybersecurityrisico’s.
Waarom robots nu in het vizier zitten
Robots vallen niet toevallig onder deze richtlijn. Robotica en automatiseringssystemen — industriële robots, CNC-machines, fabrieksapparatuur en industriële besturingssystemen — worden expliciet genoemd als onderdeel van de toeleveringsketens die NIS2 wil beschermen. Dat is logisch: robots zijn allang geen geïsoleerde machines meer. Ze zijn verbonden met bedrijfsnetwerken, sturen en ontvangen data via de cloud, draaien op besturingssystemen die patches nodig hebben en worden op afstand onderhouden door fabrikanten.
Precies die connectiviteit maakt robots kwetsbaar. Bekende zwakke plekken zijn verouderde of ongepatchte besturingssystemen, onbeveiligde industriële protocollen, standaard fabriekswachtwoorden die nooit worden gewijzigd, en fysiek toegankelijke poorten zoals USB- of ethernetaansluitingen op de robotcontroller. In productieomgevingen komt daar nog bij dat operationele technologie (OT) doorgaans tien tot vijftien jaar achterloopt op IT als het om cybersecurity gaat: netwerken zijn vaak “plat” ingericht, zonder segmentatie tussen kantoorautomatisering en de vloer waar de robots draaien.
Voor de sectoren waarin robots het hardst groeien — productie, zorg (chirurgische en verzorgingsrobots), logistiek (sorteren, verpakken, bezorgen) en landbouw (planten, oogsten, monitoren) — betekent dit dat cybersecurity niet langer een IT-aangelegenheid is, maar een directe compliance-verplichting met bestuurlijke aansprakelijkheid.
Wat verandert er concreet voor robotgebruikers
1. De toeleveringsketen telt mee. NIS2 kijkt niet alleen naar de organisatie zelf, maar ook naar de leveranciers waarmee zij samenwerkt. Robotfabrikanten die op afstand onderhoud plegen aan hun machines, moeten kunnen aantonen dat die toegang veilig is geregeld. Bedrijven die robots inzetten, moeten diezelfde garanties nu opeisen van hun leveranciers en integrators.
2. Fysieke en digitale beveiliging groeien naar elkaar toe. Waar functionele veiligheid van cobots en industriële robots al decennia een vast onderdeel is van engineering, komt daar nu een verplichte cybersecuritylaag bij. Frameworks als IEC 62443 en het NIST Cybersecurity Framework worden relevanter dan ooit om robotveiligheid en cyberweerbaarheid in samenhang te ontwerpen.
3. Incidentmelding wordt tijdkritisch. Een geslaagde aanval op een robotcontroller — bijvoorbeeld ransomware die een productielijn platlegt — moet binnen 24 uur gemeld worden bij de toezichthouder. Organisaties die geen zicht hebben op hun robotvloot en de bijbehorende netwerken, kunnen die deadline simpelweg niet halen.
4. Netwerksegmentatie en toegangsbeheer worden verplicht in plaats van “best practice”. Alleen geautoriseerd personeel en gecontroleerde processen mogen nog met OT-systemen zoals robotcontrollers kunnen communiceren, met sterke authenticatie als basis.
Wat kunnen organisaties nu al doen
Wachten tot een toezichthouder aanklopt is geen strategie. Praktische eerste stappen:
- Inventariseer welke robots en robotcontrollers in het netwerk hangen, welke verbindingen ze hebben (intern, extern, naar de fabrikant) en welke software erop draait.
- Segmenteer het OT-netwerk van de robotvloot los van het kantoornetwerk, zodat een besmetting zich niet ongehinderd kan verspreiden.
- Herzie leveranciersafspraken: eis van robotfabrikanten en integrators aantoonbare beveiligingsgaranties, met name voor onderhoudstoegang op afstand.
- Vervang standaardwachtwoorden en verouderde firmware op robotcontrollers — een van de meest voorkomende en makkelijkst te verhelpen zwakke plekken.
- Richt een incidentresponsproces in dat specifiek rekening houdt met OT-systemen, inclusief de 24-uursmeldplicht.
Tot slot
Met de inwerkingtreding van de Cyberbeveiligingswet is de vrijblijvendheid rond cyberbeveiliging van robotica voorbij. Robots zijn niet langer alleen een productiviteitsvraagstuk, maar ook een compliance- en aansprakelijkheidsvraagstuk — tot op bestuursniveau. Organisaties die robots inzetten in productie, zorg, logistiek of landbouw doen er goed aan hun digitale weerbaarheid net zo serieus te nemen als de mechanische veiligheid van hun machines. Wie dat nu al oppakt, staat er straks niet alleen compliant voor, maar ook aantoonbaar veiliger.
