Kritieke infrastructuur draait op vertrouwen dat het niet kan bewijzen: het bewijsprobleem oplossen voordat de toezichthouder het ontdekt

Inleiding

Vraag een energiebedrijf, een ziekenhuisnetwerk of een waterleverancier of hun processen veilig zijn, en het antwoord is bijna altijd ja. Vraag om bewijs, met registraties in plaats van geruststelling, en het vertrouwen verdwijnt meestal snel. Van exploitanten van kritieke infrastructuur wordt steeds vaker verwacht dat zij hun veerkracht op verzoek aantonen, niet alleen beweren, en het aantonen ervan vereist bewijs dat de meeste organisaties niet systematisch hebben bijgehouden.

De regulatoire realiteit waarmee deze exploitanten worden geconfronteerd, is daadwerkelijk tweezijdig geworden. Fysieke veerkrachtverplichtingen onder KRITIS-achtige kaders staan nu naast cyberbeveiligings- en incidentrapportageverplichtingen onder regimes zoals NIS2, omdat een exploitant die belangrijk genoeg is om als kritieke infrastructuur te worden geregistreerd, per definitie ook belangrijk genoeg is om onder essentiële cybersecurityvereisten te vallen. Dit artikel kijkt naar waarom de bewijskloof aan de cyberzijde van die verplichting zo vaak voorkomt, en wat er daadwerkelijk nodig is om deze te dichten.

• Belangrijk punt 1: De status van kritieke infrastructuur brengt nu zowel fysieke als cyberverplichtingen met zich mee. Een exploitant die als kritieke faciliteit is geregistreerd, wordt doorgaans ook geclassificeerd als een essentiële entiteit onder cybersecurityregelgeving, met een aparte bewijslast om aan te voldoen.
• Belangrijk punt 2: Fysieke veerkracht is makkelijker aan te tonen dan cyberveerkracht omdat deze zichtbaar is. Een hek, een bewakingsronde of een noodgenerator kan direct worden geïnspecteerd; toegangscontroles en gegevensbeheer zijn niet te verifiëren door simpelweg het terrein te betreden.
• Belangrijk punt 3: Vertrouwen op cyberveerkracht zonder registraties is geen veerkracht, maar een aanname. Een exploitant die niet specifiek kan aantonen wie wat wanneer heeft benaderd, vertrouwt op de afwezigheid van een incident in plaats van op aangetoonde controle.
• Belangrijk punt 4: Toezichthouders verwachten steeds vaker continu bewijs, niet slechts een eenmalige beoordeling. Een risicobeoordeling die één keer wordt ingediend, beantwoordt niet de vragen die een toezichthouder stelt na een daadwerkelijk incident: wat is er gebeurd, en welke controles waren er op dat moment actief?
• Belangrijk punt 5: Het bewijs dat een exploitant van kritieke infrastructuur nodig heeft, is hetzelfde bewijs dat elke essentiële entiteit nodig heeft, alleen onder strengere beoordeling. Een volledige, continue, kanaaloverstijgende audittrail overbrugt de kloof tussen het claimen en het bewijzen van veerkracht.

Samenvatting voor het management

Exploitanten van kritieke infrastructuur hebben te maken met een nalevingsgebied dat daadwerkelijk is uitgebreid: fysieke veerkrachtvereisten, waaronder registratie, risicobeoordeling en beschermende maatregelen tegen sabotage of rampen, staan nu naast cyberbeveiligingsverplichtingen die gelden omdat dezelfde exploitant als essentiële entiteit wordt aangemerkt onder bredere cyber naleving van regelgeving. De fysieke kant krijgt doorgaans proportioneel meer aandacht omdat deze zichtbaar, inspecteerbaar bewijs oplevert. De cyberkant blijft vaak achter, omdat het vereiste bewijs – een continue, doorzoekbare registratie van gegevens- en systeemactiviteiten – moeilijker achteraf te produceren is als deze nooit systematisch is vastgelegd. Voor risicomanagers en complianceleiders in deze sectoren is het in de praktijk prioriteit om de bewijskloof te dichten aan de kant van de verplichting waarin het het makkelijkst is om te weinig te investeren, juist omdat falen daar onzichtbaar blijft tot een incident of toezichthouder het zichtbaar maakt.

Waarom Kritieke Infrastructuur Nu Zowel Fysieke als Cyberverplichtingen Betekent

Exploitanten die als kritieke infrastructuur worden aangemerkt, in sectoren als energie, zorg, water, transport en digitale infrastructuur, merken steeds vaker dat hun status twee aparte, parallelle verplichtingen met zich meebrengt in plaats van één.

Fysieke veerkracht en cyberveerkracht zijn als aparte verplichtingen gereguleerd

Kaders voor fysieke veerkracht richten zich op de continuïteit van essentiële diensten bij rampen, sabotage en fysieke verstoring: registratie bij de relevante autoriteiten, impactanalyses en beschermende maatregelen voor de faciliteit zelf. Cybersecurityverplichtingen, die gelden omdat dezelfde exploitant ook als essentiële entiteit is geclassificeerd, richten zich op een heel andere set risico’s: incidentrapportage, risicobeheer van informatiesystemen en bewijs van technische en organisatorische beveiligingsmaatregelen. Een exploitant kan aan de ene kant volledig voldoen, maar aan de andere kant toch kwetsbaar zijn.

De mate van toezicht stijgt sneller dan de bewijsvoering van de meeste exploitanten

Nu de drempels voor aanwijzing meer organisaties omvatten en de coördinatie tussen fysieke en cybertoezichthouders toeneemt, stijgt ook de praktische verwachting: niet alleen controles hebben, maar ook een specifiek, van tijdstempel voorzien overzicht kunnen leveren van hoe die controles functioneerden toen er iets gebeurde. Veel exploitanten hebben hun bewijsvoering ingericht op een lager niveau van toezicht en zijn nog niet bij wat nu van hen wordt verwacht.

Waarom Fysiek Bewijs Makkelijk Is en Cyberbewijs Moeilijk

De asymmetrie tussen de twee verplichtingen draait niet om welke serieuzer wordt genomen, maar om welke vanzelfsprekend bewijs oplevert en welke een bewuste inrichting vereist om überhaupt bewijs te genereren.

Je kunt het terrein rondlopen, maar niet het toegangslogboek

Een fysieke beveiligingsmaatregel – een hek, een badgelezer, een bewakingsronde – kan een inspecteur direct verifiëren door observatie. Voor cyberveerkracht bestaat er geen vergelijkbare rondgang. Of toegang tot gevoelige systemen en data daadwerkelijk is gecontroleerd, gemonitord en gelogd zoals beweerd, kan alleen worden vastgesteld door het onderzoeken van registraties, en die bestaan alleen als de onderliggende systemen vanaf het begin zo zijn ingericht dat ze deze continu vastleggen.

De afwezigheid van een incident is geen bewijs van controle

Veel exploitanten beschouwen stilletjes het feit dat er nog niets is misgegaan als vervanging voor aangetoonde controle. Dit is een gevaarlijke verwisseling, want deze stort in zodra een incident of een onderzoek door een toezichthouder daadwerkelijk plaatsvindt. Een exploitant die wordt gevraagd om precies te laten zien wat er in een bepaald tijdsbestek is gebeurd, wie welke systemen heeft benaderd en welke data waarheen is verplaatst, moet dat antwoord al als registratie hebben. Dit kan niet achteraf uit het geheugen of aannames worden gereconstrueerd.

Wat Nodig Is om de Cyberbewijskloof te Dichten

Deze kloof dichten draait niet primair om het schrijven van betere beleidsstukken. Het gaat erom dat de systemen die gevoelige operationele en persoonlijke data verwerken daadwerkelijk het bewijs genereren waarvan het beleid stelt dat het bestaat.

Continue logging op elk systeem dat gevoelige data verwerkt

De bewijskloof van een exploitant draait zelden om onwil om te voldoen. Het gaat om logging die is ingericht voor operationele troubleshooting in plaats van voor regulatoir bewijs, die onder belasting wordt beperkt, onvolledig is over systemen heen, of simpelweg nooit is gecorreleerd tot één overzicht van wat er is gebeurd. Continue, volledige logging op elk kanaal dat gevoelige data verwerkt, maakt van een incidentonderzoek een kwestie van registraties opvragen in plaats van een gok reconstrueren.

Bewijs moet klaar zijn vóórdat de toezichthouder vraagt, niet erna

Een toezichthouder die een incident bij een exploitant van kritieke infrastructuur onderzoekt, zal specifieke vragen stellen: welke data is benaderd, door wie, met welke autorisatie, en welke controles waren actief. Een exploitant die direct kan antwoorden op basis van bestaande registraties, staat er fundamenteel anders voor dan een die moet uitleggen waarom de registraties niet bestaan of niet tijdig kunnen worden samengesteld.

De Bewijsbasis Bouwen vóórdat Deze Nodig Is

De praktische prioriteit voor een exploitant van kritieke infrastructuur is om de cyberkant van zijn verplichtingen met dezelfde grondigheid te auditen als de fysieke veerkracht: bevestigen dat logging continu en volledig is op elk systeem dat gevoelige operationele of persoonlijke data verwerkt, dat de resulterende registratie snel kan worden geraadpleegd in plaats van handmatig te worden samengesteld, en dat deze daadwerkelijk voldoet aan de eisen van een toezichthouder die om details vraagt. Dit vóór een incident doen, in plaats van tijdens, maakt van een veerkrachtclaim een veerkrachtfeit.

Hoe een Data Control Plane het Bewijs Levert dat Kritieke Infrastructuur Nodig Heeft

Cyberveerkracht aantonen, in plaats van alleen beweren, vereist een governance-laag die elk toegangsmoment, elke verzending, deling en download over elk kanaal waar gevoelige data doorheen gaat – inclusief e-mail, bestandsoverdracht, API’s en AI-agenten – continu vastlegt en in een vorm die op verzoek kan worden geraadpleegd, in plaats van achteraf te moeten worden gereconstrueerd.

Het Kiteworks Data Control Plane past data-bewuste zero-trust controls toe op elke actie over elk kanaal en legt elk daarvan vast in een manipulatiebestendig, onbeperkt auditlog dat direct integreert met SIEM-tools. Zo krijgen exploitanten van kritieke infrastructuur een continue, doorzoekbare registratie van precies wat er met gevoelige data is gebeurd, wanneer, en onder wiens autorisatie. Single-tenant inzet, on-premises, in een zelfgehoste cloudomgeving of als een toegewijde gehoste instantie, betekent dat deze bewijsbasis onder controle van de exploitant zelf blijft en niet afhankelijk is van een gedeeld extern platform. Wanneer een toezichthouder of intern onderzoek vraagt wat er is gebeurd, bestaat het antwoord al als registratie, in plaats van onder tijdsdruk te moeten worden samengesteld.

Organisaties die willen weten of hun eigen cyberbewijspraktijken deze mate van toezicht zouden doorstaan, kunnen een demo op maat plannen om te zien hoe continue, kanaaloverstijgende auditevidence werkt in hun eigen kritieke infrastructuuromgeving.