Ai versnelt aanval, maar ot blijft opvallend ouderwets

Jeroen Wijnands (Northwave Cybersecurity) tijdens Cybersec Netherlands 2026

Kunstmatige intelligentie verandert het tempo en de schaal van cyberaanvallen. Maar wie daardoor verwacht dat ook de verdediging tegen aanvallen op industriële omgevingen fundamenteel moet veranderen, komt volgens Jeroen Wijnands tot de verkeerde conclusie.

Tijdens zijn sessie ‘AI changed the threat. It didn’t change the fix’ op Cybersec Netherlands 2026 liet de principal consultant OT cybersecurity van Northwave Cybersecurity zien dat juist de klassieke beveiligingsmaatregelen voor ot nog altijd de basis vormen.

Wijnands begon bij de snelheid waarmee ai zich in het aanvalslandschap heeft ontwikkeld. In 2023 werden large language models vooral gebruikt om exploits te helpen schrijven. Een jaar later werden de modellen zelf doelwit van aanvallen, waarna aanvallers in 2025 ai operationeel begonnen in te zetten. In het eerste kwartaal van 2026 werden autonome aanvalsketens volgens Wijnands geloofwaardig. Die ontwikkeling maakt vooral één verschil duidelijk: de aanvaller wordt sneller.

Patchkloof wordt groter

Dat probleem wordt extra zichtbaar in ot-omgevingen. In januari 2026 ontdekten twee ervaren onderzoekers in een week tijd meerdere serieuze kwetsbaarheden in twee industriële access routers. Wijnands gebruikte het voorbeeld om te illustreren wat ai verder kan versnellen. Wat mensen een week kostte, kan ai in uren uitvoeren. Daar staat tegenover dat de gemiddelde tijd tussen het bekend worden van een ot-kwetsbaarheid en het beschikbaar komen of uitvoeren van een patch meer dan 180 dagen bedraagt.

Ook de bredere patch-kloof is aanzienlijk. Volgens de cijfers die Wijnands presenteerde is ongeveer 25 procent van de ot-hardware in 2026 nog altijd niet patchbaar. Tegelijkertijd is de tijd waarin aanvallers een kwetsbaarheid kunnen exploiteren sterk afgenomen. Van ongeveer een jaar in 2021 naar één dag in 2026, met een theoretische verwachting van één minuut in 2027. Voor it is dat al een uitdaging, voor ot ligt het nog ingewikkelder.

Productie gaat voor

Industriële systemen zijn immers niet ontworpen vanuit het uitgangspunt dat ze voortdurend moeten worden geüpdatet. Plc’s en hmi’s hebben vaak een lange levensduur, draaien op legacy-besturingssystemen en beschikken over beperkte beveiligingsmogelijkheden. Bovendien kunnen patch-vensters maanden beslaan en staat beschikbaarheid doorgaans voorop.

Wijnands illustreerde dat met een praktijkvoorbeeld uit een omgeving met honderden Allen-Bradley-PLC’s. Een mislukte patch-poging in 2015 bleek daar een kantelpunt, want daarna werd het patchen feitelijk stopgezet en stapelden kwetsbaarheden zich jarenlang op. Dat laat volgens de presentatie zien waarom een simpele oproep om ‘sneller te patchen’ in ot weinig realistisch is. Soms kan een systeem simpelweg niet worden aangepast zonder het productieproces in gevaar te brengen.

Eerst weten wat er staat

Daarmee komt Wijnands uit bij een minder spectaculaire, maar volgens hem veel belangrijkere oplossing. Organisaties moeten allereerst weten welke assets zij in hun ot-omgeving hebben. Daarna moeten netwerken worden gesegmenteerd en verbindingen tussen systemen zorgvuldig worden ingericht.

Juist daar blijken in de praktijk nog grote gaten te zitten. Essentiële verbindingen zijn niet altijd gedocumenteerd, remote access van leveranciers is soms onbekend en verkeer tussen systemen binnen het ot-netwerk wordt lang niet altijd gereguleerd. Oude protocollen en systemen die rechtstreeks met internet- of e-mailomgevingen zijn verbonden, maken de situatie verder complex. Dat brengt de boodschap van Wijnands terug tot drie relatief eenvoudige fundamenten: asset inventory, netwerksegmentatie en incidentresponsplannen.

Fundamenten worden belangrijker

De titel van de sessie blijkt daarmee bewust provocerend. Ai heeft de dreiging veranderd, maar niet de fundamentele aanpak om een industriële omgeving weerbaar te maken. Sterker nog: naarmate aanvallers sneller worden, worden die fundamenten alleen maar belangrijker.

Wijnands vatte zijn boodschap aan het einde van de presentatie samen met een ogenschijnlijk weinig spannende cybersecuritystrategie. ‘Ga ervan uit dat een aanval slaagt en bereid je voor op de gevolgen.’ Oftewel: ga er niet vanuit dat een ot-omgeving nooit wordt gecompromitteerd. Zorg ervoor dat je weet wat er kan gebeuren als dat wel gebeurt, en dat de organisatie dan kan handelen.

Dat is misschien minder spectaculair dan een autonome ai-defender. Maar juist in ot kan het verschil tussen een beheersbaar incident en een stilgevallen productieproces uiteindelijk worden bepaald door iets heel basaals: weten wat je hebt, weten hoe het met elkaar verbonden is en weten wat je moet doen als het misgaat.