Industriële cybersecurity
Cyber Resilience Act begeleiding voor machinebouwers
GCG brengt in beeld waar uw product staat, wat ontbreekt en wat moet worden aangepast, en maakt daar een uitvoerbaar verbeterplan van. Onze engineers kunnen de afgesproken veranderingen in besturing, netwerken en software ook realiseren.
De assessment- en implementatiediensten
CRA Readiness Assessment
Een onderbouwd startpunt: productinventaris, bestaande documentatie en beschikbare beveiligingsbewijzen onderzoeken. We onderscheiden aantoonbaar geregeld, ontbrekend en nader te onderzoeken.
Productclassificatie & scope
De productgrens, digitale elementen en rol in de toeleveringsketen bepalen. Toepasselijkheid en uitzonderingen vragen beoordeling per product.
Secure Development Review
Risicoanalyse koppelen aan softwareontwikkeling: versiebeheer, code review, securitytests en releasecriteria. We kijken ook hoe technische wijzigingen worden gedocumenteerd en beheerst.
SBOM & componentbeheer
Inzicht opbouwen in softwarecomponenten en afhankelijkheden, CycloneDX/SPDX-gereedheid en traceerbaarheid van kwetsbaarheden.
Vulnerability Management / PSIRT
Monitoring, triage, respons en verantwoordelijkheden inrichten. Daaronder vallen gecoördineerde openbaarmaking (CVD), meldroutes en een uitvoerbaar update- en supportbeleid.
Leveranciersbeveiliging
Kritieke leveranciers en componenten beoordelen op beschikbare beveiligingsinformatie, onderhoud, updates en afhankelijkheden. Bevindingen vertalen naar afspraken en risicobehandeling.
OT Security Review
PLC/HMI, industriële pc's, netwerken, remote access, back-up, logging en segmentatie onderzoeken binnen de afgesproken scope. Actieve tests op productie-installaties gebeuren alleen na expliciete afstemming.
IEC 62443 gap-assessment
Waar relevant beoordelen we zones en conduits, beveiligingsdoelen en tekortkomingen tegen toepasselijke delen van IEC 62443. Een gap-assessment is geen certificaat of verklaring dat een security level is behaald.
Roadmap & implementatie
Bevindingen consolideren in een risicoregister, managementrapport en gefaseerd verbeterplan: direct, middellang en structureel. GCG kan de afgesproken technische maatregelen ook ontwerpen, programmeren en implementeren.
Herbeoordeling
Na wijzigingen opnieuw bewijs verzamelen, maatregelen verifiëren en resterende risico's vastleggen. Documentatie, overdracht en training ondersteunen blijvend beheer.
Readiness, geen certificering
GCG is geen notified body, certificeringsinstantie of juridisch adviseur. Een assessment geeft inzicht in scope, bewijs en tekortkomingen. Het levert geen CRA-certificaat of garantie op conformiteit. Formele conformiteitsbeoordeling en wettelijke verantwoordelijkheid blijven afzonderlijke onderwerpen.
Deze engineers werken hieraan
Jurn OvermarsOprichter (CEO): Software & ITMeer over Jurn
Raymond Consen-TumpMede-eigenaar: Senior Automation EngineerMeer over Raymond
Nick SchokkerAutomation & Embedded Systems EngineerMeer over Nick
Eén samenhangend traject
Van bewijs naar verbetering.
Afbakenen
Intake, productgrens, rollen en bewijsverzoek.
Beoordelen
Product-, leveranciers- en OT-risico's onderzoeken.
Verifiëren
Documentatie en verklaringen toetsen aan beschikbaar bewijs.
Prioriteren
Risico's, eigenaarschap en verbeterroadmap samenbrengen.
Implementeren
Afgesproken technische en organisatorische verbeteringen uitvoeren.
Herbeoordelen
Voortgang en resterende risico's opnieuw beoordelen.
De scope bepaalt welke onderdelen nodig zijn. Interviews, documentreview en technische verificatie worden samengebracht in traceerbare bevindingen.
Beoordelen én technisch realiseren.
Onze automatiserings- en software-engineers kunnen bevindingen vertalen naar ontwerp, aanpassing, programmering, implementatie, commissioning, documentatie en training. Van PLC/HMI en industriële netwerken tot servers, identiteit, logging en cloudkoppelingen.
Bij OT-maatregelen houden we rekening met machineveiligheid, beschikbaarheid en productiestops. OPC UA/MQTT-koppelingen, remote access, patching en herstelprocedures worden in de context van het complete systeem beoordeeld.
Samenhang zonder begrippen te vermengen.
| Kader | Onderwerp |
|---|---|
| CRA (opent in een nieuw tabblad) | Cybersecurity van producten met digitale elementen en verantwoordelijkheden van marktdeelnemers. |
| IEC 62443 (opent in een nieuw tabblad) | Normenreeks voor industriële cybersecurity: systemen, componenten en processen. Relevante delen en doelen bepalen de beoordeling. |
| NIS2 (opent in een nieuw tabblad) | Organisatorische beveiligings- en meldplichten voor entiteiten binnen de scope, via nationale implementatie. |
| Machineverordening (opent in een nieuw tabblad) | Machineveiligheid, met eisen rond bescherming van veiligheidsrelevante software en gegevens tegen corruptie. |
Eén technische maatregel kan meerdere doelen ondersteunen. Dat maakt deze kaders niet onderling uitwisselbaar: een IEC 62443-beoordeling vervangt bijvoorbeeld geen CRA-conformiteitsbeoordeling.
CRA en NIS2: gescheiden meldroutes
CRA-meldingen betreffen actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten van producten met digitale elementen, via het CRA Single Reporting Platform aan de aangewezen CSIRT en ENISA. NIS2 ziet op significante incidenten bij entiteiten binnen de scope en de toepasselijke nationale meldroute. Beoordeel beide triggers afzonderlijk. Één melding vervult niet automatisch beide verplichtingen.
Europese Commissie: CRA-meldingen (opent in een nieuw tabblad) NIS2 (opent in een nieuw tabblad)
CRA-meldplichten gelden vanaf 11 september 2026. De belangrijkste overige verplichtingen gelden vanaf 11 december 2027. Toets planning en productscope aan de actuele officiële uitleg. Bron: Europese Commissie (opent in een nieuw tabblad).
Wat moet er in uw installatie veranderen?
Vertel wat er al staat en waar u tegenaan loopt.