Toekomstbestendige IT voor energie- en nutsbedrijven: compliance ingebouwd en aantoonbare security
Als netbeheerder moet je kunnen uitleggen waarom een aanvraag voor transportcapaciteit voorrang krijgt. Als warmtebedrijf moet je na een significant cyberincident binnen 24 uur een eerste waarschuwing de deur uitsturen. Maar als informatie verspreid staat over verschillende systemen en spreadsheets, begint bij iedere verplichting opnieuw het zoekwerk. Hoe los je dit op?
Het probleem ontstaat niet pas op het moment dat er een rapportage of controle aankomt. Het begint veel eerder, tijdens het dagelijkse werk. Besluitvorming, bewijsstukken en voortgangsinformatie worden vastgelegd in verschillende systemen, waardoor het later veel tijd kost om te reconstrueren wat er gebeurde, welke informatie beschikbaar was en waarom een besluit is genomen.
Voor jou als bestuurder is dit meer dan een onhandige rapportageklus. Want het bewijs van wat er gebeurde, welke informatie beschikbaar was en waarom iemand een beslissing nam, vind je niet vanzelf. Iedere nieuwe verplichting vraagt zo om nieuw speurwerk van je IT- en operationele teams. Daarom heb je niet alleen een sterke, maar ook een flexibele IT-architectuur nodig die dient als basis waarop je kunt verder bouwen wanneer wet- en regelgeving verandert.
De verplichtingen wachten niet op het volgende IT-project
De druk vanwege nieuwe verplichtingen komt uit verschillende richtingen. Zo moeten Nederlandse netbeheerders in congestiegebieden het prioriteringskader van de ACM (Autoriteit Consument & Markt) toepassen. Aanvragers die voorrang willen, leveren bewijsstukken aan, de netbeheerder beoordeelt die en moet de uitkomst kunnen onderbouwen.
Voor warmtebedrijven brengt de Wcw (Wet collectieve warmte) nieuwe regels en toezicht dichterbij. De ACM introduceert onder meer nieuwe Regulatorische Accountingregels (RAR), zodat aangewezen warmtebedrijven financiële gegevens vanaf 2027 op een eenduidige manier administreren en aanleveren. Ook bereidt de ACM kostengebaseerde tariefregulering, financiële monitoring en een bekwaamheidstoets voor.
NIS2-richtlijn in Nederland en België
Tegelijkertijd gelden nieuwe eisen voor cybersecurity. In Nederland is de Cyberbeveiligingswet, de vertaling van de Europese NIS2-richtlijn, sinds 15 augustus 2026 van kracht. Bij een significant incident geldt voor organisaties onder de meldplicht een gefaseerde procedure:
· Maak binnen 24 uur een vroegtijdige waarschuwing;
· Doe binnen 72 uur een incidentmelding;
· Dien uiterlijk één maand na de incidentmelding een eindverslag in.
De termijnen beginnen zodra je organisatie kennis krijgt van het incident. Drempels en eventuele afwijkende meldroutes verschillen per sector. De gevolgen van niet-naleving kunnen flink zijn. Voor essentiële entiteiten voorziet NIS2 in maximale boetes van ten minste €10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Cybersecurity-risicobeheersmaatregelen zijn daarnaast expliciet een verantwoordelijkheid van het bestuur.
Ook in België geldt nationale NIS2-wetgeving. Daar gebruiken organisaties onder meer het CyberFundamentals Framework (CyFun), om beveiligingsmaatregelen te beoordelen en te laten verifiëren. Het niveau en de verplichtingen hangen af van hun classificatie en risico’s. De Nederlandse en Belgische regels stellen allebei eisen aan maatregelen én aan het vermogen om daarover verantwoording af te leggen.
Het werk voor je IT-afdeling stapelt zich door deze nieuwe eisen snel op. Het ene team moet gegevens voor een besluit beschikbaar maken, het andere bereidt een rapportage voor en bij een incident moet de CISO snel een betrouwbaar beeld kunnen vormen. Als elk verzoek een afzonderlijke koppeling, spreadsheet of applicatieaanpassing krijgt, haal je de deadline misschien wel, maar bij een volgende verplichting moet je alsnog vanaf nul beginnen. En iedere tijdelijke oplossing kost opnieuw tijd om te bouwen, beheren en later weer aan te passen.
Het dossier bestaat, maar het verhaal ontbreekt
Een overzicht laat je zien hoeveel aanvragen er in je organisatie zijn afgehandeld. Maar dat overzicht legt niet uit wáárom een bepaalde aanvrager voorrang kreeg. En een lijst met gebruikersrechten toont wie nu toegang heeft tot een systeem, maar vertelt je niet automatisch wie op het moment van een incident toegang had en wanneer dat veranderde.
Daar zit het verschil tussen een proces uitvoeren en kunnen aantonen hoe het verliep. Welke versie van de bewijsstukken lag op tafel toen een aanvraag werd beoordeeld? Wie nam het besluit? Is de motivering later aangepast?
En specifiek bij een cyberincident:
· Welke signalen waren wanneer zichtbaar?
· Welke systemen waren betrokken?
· Welke acties ondernam je organisatie op dat moment?
Vincent Maulany, Sales Manager bij HSO, ziet bij energiebedrijven dat snelle groei en overnames hun sporen in het IT-landschap hebben achtergelaten. Hij vertelt: “Organisaties voegen systemen toe wanneer ze nodig zijn, maar de gegevens daartussen bewegen niet altijd goed mee. Medewerkers kopiëren bijvoorbeeld informatie met de hand of ontdekken pas bij een analyse welke gegevens elders beschikbaar zijn.”
Die versnippering wordt duurder naarmate er meer moet worden aangetoond. Niet omdat iedere verplichting precies dezelfde gegevens vraagt, maar omdat je voor iedere nieuwe vraag opnieuw moet uitzoeken waar de informatie vandaan komt en of die wel betrouwbaar is.
Laat bewijs ontstaan tijdens het werk
De eerste stap is bepalen welke informatie een proces later moet kunnen onderbouwen. Bij een aanvraag gaat het bijvoorbeeld om bewijsstukken, de beoordeling, de motivering en de uiteindelijke uitkomst. Wordt een besluit aangepast, dan moet die wijziging ook te volgen zijn.
Dat betekent niet dat medewerkers zoveel mogelijk extra velden moeten invullen. Een korte motivering die bij het besluit wordt vastgelegd, is waardevoller dan een uitgebreid verhaal dat maanden later uit het geheugen moet worden geschreven. Het bijhouden moet aansluiten op het werk dat toch al gebeurt.
Vincent: “Technologie kan daarbij helpen. In een Dynamics 365-omgeving kun je wijzigingen in gegevens en gebruikerstoegang loggen als auditing daarvoor is ingericht.”
Microsoft Fabric biedt verschillende manieren om gegevens uit bestaande bronnen voor analyse beschikbaar te maken. Maar een koppeling vertelt nog niet welk systeem leidend is wanneer twee registraties elkaar tegenspreken. Leg daarom ook duidelijke definities, verantwoordelijkheden en controles vast.
De volgende eis hoeft geen los systeem te worden
Een nieuwe verplichting hoeft niet automatisch een nieuw IT-project te betekenen. Als processen, gegevens en bewijsvoering goed zijn ingericht, kun je nieuwe eisen vaker opvangen door bestaande workflows, controles of rapportages aan te passen. Alleen waar de huidige omgeving echt tekortschiet, is nieuwe functionaliteit of een koppeling nodig.
Zo blijft je IT-architectuur flexibel genoeg om mee te bewegen met nieuwe wet- en regelgeving, zonder dat je telkens een losse applicatie of tijdelijke oplossing toevoegt. Wat goed werkt, kan blijven staan.
Een financieel systeem kan blijven staan, terwijl gegevens voor een toezichtrapportage beter moeten worden gedefinieerd en ontsloten. Als CIO kun je zo gericht moderniseren, zonder medewerkers bij iedere wijziging naar een nieuw proces te sturen.
Ook voor CFO’s is dat relevant. Handmatig kopiëren, tijdelijke oplossingen onderhouden en achteraf bewijs reconstrueren kosten capaciteit. Nieuwe compliance- en rapportageverplichtingen vergroten die druk. Een basis die voor meerdere verplichtingen bruikbaar is, helpt voorkomen dat iedere nieuwe eis opnieuw maatwerk, extra beheer en handmatig werk vraagt.
Security verbeteren en security aantonen
Een goed verbonden informatiebasis helpt teams bij security, compliance en incidentonderzoek. Relevante signalen, toegangsgegevens en wijzigingen zijn sneller terug te vinden en in samenhang te beoordelen.
Dat maakt je organisatie niet automatisch veiliger en vervangt geen risicobeoordeling, toegangsbeheer, monitoring of incidentrespons. HSO helpt hier vooral door systemen en informatie beter met elkaar te verbinden, zodat je gebeurtenissen sneller kunt reconstrueren en maatregelen beter kunt onderbouwen.
· Microsoft Entra kan bijvoorbeeld aanmeldingen en wijzigingen in identiteiten en rechten vastleggen.
· Microsoft Purview Audit maakt geregistreerde activiteiten in ondersteunde Microsoft-diensten doorzoekbaar.
Welke gegevens beschikbaar zijn en hoelang ze bewaard blijven, hangt af van hoe je het hebt ingericht en welke licenties je afneemt. Het kan ook zijn dat men voor een onderzoek gegevens uit je operationele of andere niet-Microsoft-systemen opvraagt. Juist daarom is integratie belangrijk: bij een incident wil je relevante informatie uit verschillende systemen snel in samenhang kunnen bekijken.
Vincent: “Bij een significant incident voelt dat logisch. Voor de vroegtijdige waarschuwing binnen 24 uur hoeft nog niet iedere oorzaak vast te staan. Voor de melding binnen 72 uur moet je als organisatie wel een eerste beoordeling van ernst en gevolgen geven.”
Dat lukt beter wanneer betrokken teams relevante signalen, toegangsgegevens en genomen maatregelen snel terugvinden. De meldplicht laat zien waarom security en bewijsvoering samen moeten functioneren.
Begin bij een vraag die je nu niet snel kunt beantwoorden
Je IT toekomstbestendig maken klinkt als een groot project. Maak het kleiner en concreter door één vraag te kiezen die vandaag moeilijk te beantwoorden is. Bijvoorbeeld:
· Waarom kreeg deze aanvraag een bepaalde uitkomst?
· Welke gegevens liggen ten grondslag aan deze rapportage?
· Wie had toegang tot een betrokken systeem toen een incident plaatsvond?
Volg de vraag terug door het proces. Waar ontstaat de informatie, wie is verantwoordelijk voor de vastlegging en op welk punt raakt het verband verloren? Dan wordt ook duidelijk of de oplossing in een werkafspraak, betere datakwaliteit, een koppeling of een systeemaanpassing zit.
HSO helpt energie- en nutsbedrijven die basis te versterken met de systemen en gegevens die ze al gebruiken. Zo wordt compliance meer onderdeel van het dagelijkse werk en kun je sneller aantonen wat jouw organisatie heeft ingericht en wat er tijdens een incident gebeurde.
De volgende verplichting vraagt misschien nog steeds om aanpassingen. Maar met een basis waarin data, processen en bewijsvoering goed samenhangen, kun je nieuwe eisen sneller en met minder maatwerk inpassen. Zo blijft meer IT- en operationele capaciteit beschikbaar voor het dagelijkse werk.
Haal meer capaciteit uit de assets, systemen en mensen die je al hebt.
Voor netbeheerders, energieleveranciers, warmte- en gasbedrijven die meer moeten aansluiten, bedienen en aantonen met dezelfde mensen. Wij helpen je bedrijfsvoering mee te schalen met wat er op je afkomt, van buitendienst en klantcontact tot rapportage en compliance.
Wil je weten waar je kunt beginnen?
Vertel ons kort waar je tegenaan loopt. Binnen 2 werkdagen neemt Vincent Maulany, onze specialist voor de energie- en nutssector, contact met je op om een vrijblijvend gesprek in te plannen. Daarin delen we onze ervaring met vergelijkbare uitdagingen en kijken we samen welke kansen er voor jouw organisatie liggen.