Je klant valt onder de nieuwe Cyberbeveiligingswet. Kun jij laten zien dat je security op orde is? Anders ben je hem misschien kwijt.

Je klant valt onder de nieuwe Cyberbeveiligingswet. Kun jij laten zien dat je security op orde is? Anders ben je hem misschien kwijt. Je bent een maakbedrijf. Je levert al jaren aan een groot energiebedrijf, een waterbedrijf of een voedselproducent. Alles loopt prima. Tot er een mail binnenkomt: "Kunt u aantonen hoe uw cybersecurity is geregeld?" Kun je dat niet? Dan sta je volgens Mark van 3O Automatisering op het punt een klant te verliezen. Mark is al 30 jaar ondernemer. Zijn ICT-bedrijf in Sint-Oedenrode telt 14 medewerkers en helpt mkb-bedrijven met ICT, data, AI en cybersecurity. In deze videopodcast van De Industrie Online vertelt hij hoe je als maakbedrijf veilig start met AI, waarom de gratis versie van ChatGPT een no-go is, en hoe de financiële crisis hem de duurste les van zijn leven leerde. Geen tijd? Dit is het korte antwoord Raakt de Cyberbeveiligingswet mijn maakbedrijf? Indirect wel, als je levert aan een organisatie die eronder valt. Die is ook verantwoordelijk voor de security van haar toeleveringsketen. Wat is de basis van cybersecurity? Geteste back-ups (ook buiten de deur), antivirus, multifactorauthenticatie, een goede firewall en training van je mensen. Copilot of ChatGPT? Werk je in Microsoft 365, dan adviseert Mark meestal Copilot. In elk geval nooit bedrijfsdata in een gratis versie. Kan AI met mijn ERP praten? Ja. 3O bouwde al agents die data uit MKG ontsluiten en in Copilot laten landen. Waar begin je? Bij inzicht: welke data heb je, waar wil je meer zicht op, en hoe breng je dat samen in een dashboard? Wie is 3O Automatisering? Dertig jaar geleden zag Mark een gat in de markt. De eerste computers en servers werden bedrijven binnengedragen, en mkb'ers hadden hulp nodig. Die basis, bedrijven helpen met hun ICT, staat vandaag nog steeds. Waar hij trots op is? Hoe lang mensen blijven. Er zijn klanten die al sinds 2002 klant zijn, en medewerkers die er 20 tot 25 jaar werken. Waarom blijven klanten en medewerkers zo lang? Persoonlijke aandacht en betrokkenheid, zegt Mark. Ook als directeur zit hij dicht op de dagelijkse gang van zaken. Met 14 mensen houd je het overzicht. Word je heel groot, dan verslapt de aandacht voor de klant. Zijn favoriete voorbeeld: "Als er ooit op zondag een storing is, dan appen ze mij." Geen ingewikkelde SLA's, gewoon een medewerker die er even naar kijkt. Groot worden door klein te blijven, zeg maar. Wat leerde 30 jaar ondernemen hem? Van 1996 tot 2006 ging het in één rechte lijn omhoog. Mark kwam bij Rabobank Nederland vandaan en kreeg na zijn start als ondernemer veel opdrachten van de bank. Op een gegeven moment werkten er 15 programmeurs voor Rabobank. Toen ging de bank centraliseren. Rond 2007 en 2008 kwam alles samen: de opdrachten vielen weg en de financiële crisis brak uit. Mark zat met veel te veel mensen en moest medewerkers ontslaan. "Dat gaat je aan het hart." Ook persoonlijk was het een zware klap. Maar als werkgever kun je niet thuis gaan zitten. Met kunst- en vliegwerk en hulp van vrienden en familie kwam hij erdoorheen. "Als je er middenin zit, denk je: je komt er nooit meer uit." Voor je er echt uit bent, ben je zo zeven, acht jaar verder. Zijn conclusie: "Dat leer je niet op school." Al is dat college wel een stuk duurder. Waarom moet je als mkb sturen op data? De belangrijkste les uit die crisis: kijk scherper naar wat je echt nodig hebt. Als jonge ondernemer wil je groeien, groeien, groeien. Maar die mensen moet je wel aan het werk houden. Mark ging sturen op data, vooral op uren: worden de uren geschreven, wat is de factureerbaarheid? Hij deelt het dashboard in het werkoverleg en in Teams. Niet om met de vinger te wijzen, maar zodat iedereen zelf ziet wie nog uren moet bijwerken. "Ik vind het gewoon belangrijk dat ze 100 procent in uren schrijven. En dan komt de rest vanzelf wel." Het resultaat: de laatste vijf, zes jaar groeide 3O elk jaar 10 tot 15 procent. "Als je dat niet inzichtelijk maakt, dan zie je ook niet wat je laat liggen." Wat levert sturen op data een maakbedrijf op? Beter inzicht in voorcalculatie en zeker nacalculatie. Zicht op de bezetting van je machines. Grip op je orderportefeuille. "Daar kunnen ze gewoon heel veel winst halen." Hoe begin je als je alles in losse Excel-bestanden hebt? Dat hoeft niet eens verkeerd te zijn, zegt Mark. 3O begint altijd met een inventarisatie: Welke databronnen heb je? Denk aan je ERP en losse Excel-bestanden. Waar wil je meer inzicht in? Welke data heb je nodig om dat inzicht naar boven te halen? Die data wordt gekoppeld in een dashboard. Wat is de Cyberbeveiligingswet en waarom raakt die jou? De Cyberbeveiligingswet (Cbw) is de Nederlandse vertaling van NIS2, een Europese richtlijn. Volgens Mark moeten zo'n 8.000 bedrijven en organisaties in Nederland eraan voldoen, in kritieke sectoren zoals energie, watervoorziening en voedselvoorziening. Bestuurders kunnen zelfs persoonlijk aansprakelijk worden als ze zaken niet goed voor elkaar hebben. En dan komt de nuance die volgens Mark cruciaal is: die organisaties zijn ook verantwoordelijk voor de cybersecurity van hun toeleveringsketen. Hoeveel bedrijven worden indirect geraakt? Reken even mee. Stel dat elke organisatie onder de wet gemiddeld 50 leveranciers heeft. Dan heb je het al snel over 200.000 tot 250.000 bedrijven die indirect geraakt worden. Een flink deel daarvan zit in de maakindustrie. Kun je een klant verliezen als je cybersecurity niet op orde is? Ja. Je klant moet aan de strengste eisen voldoen en gaat jou vragen: hoe heb jij je security geregeld? Is het wel veilig om met jou data uit te wisselen? Kun je dat niet aantonen, dan kun je die klant verliezen. Wat Niko opvalt: iedereen wist dat die wet eraan kwam, en toch komen veel bedrijven nu pas in actie. Wat is de basis van goede cybersecurity voor een maakbedrijf? "Voor ons is het geen hogere wiskunde," zegt Mark. "Je moet gewoon de basis goed op orde hebben." Back-up op locatie (onsite). Is een bestand kwijt, dan zet je het snel terug. Back-up buiten de deur (offsite). 3O schrijft back-ups ook weg in een eigen datacenter, voor als het misgaat door brand, waterschade of een hack. Back-ups testen. Een back-up die je nooit terugzet, is een gok. Test regelmatig of je hem, of delen ervan, echt kunt terugzetten. Antivirussoftware. Multifactorauthenticatie: naast gebruikersnaam en wachtwoord inloggen met een extra code. Een goede firewall, die bijvoorbeeld verkeer dat niet uit Nederland komt buiten de deur houdt. Waarom is de mens de zwakste schakel? Omdat techniek je niet beschermt tegen iemand die op een link klikt of een beller vertrouwt. Mark verwijst naar een recente hack die hij op het nieuws zag, waarbij de aanvallers volgens hem gewoon gebeld hadden om binnen te komen. Daarom is awareness zo belangrijk. Naast trainingen kun je phishing-simulaties doen: nepmails die je eigen mensen testen. Je krijgt dan een rapport van wie wel en wie niet op de link klikte, en kunt gericht trainen. Waterdicht wordt het nooit. Door AI worden hackers steeds beter, al geldt dat ook voor de verdediging. "Dat is een wedloop van wie het snelst is." Hoe start je veilig met AI in de maakindustrie? De basis is weer veiligheid: weet waar je data staat, in huis of in de cloud. En dan een harde regel. Waarom is de gratis versie van ChatGPT een no-go? "Dat is echt een no-go," zegt Mark. Gratis versies kunnen je data gebruiken om het model te trainen. Hij noemt het bekende voorbeeld van Samsung, waar medewerkers in de begintijd vertrouwelijke informatie in ChatGPT stopten. Zijn tip nummer één: je medewerkers gaan het toch gebruiken. Geef ze dan in elk geval een betaalde, zakelijke licentie. Copilot of ChatGPT: wat kies je? Werk je in Microsoft 365, met SharePoint, Teams en Outlook? Dan adviseert Mark in de meeste gevallen Copilot. Je blijft binnen het Microsoft-ecosysteem, en Copilot kan makkelijk bij je eigen documenten en data. Belangrijk detail: alleen bij de data waarvoor jij geautoriseerd bent. Heb je als medewerker geen rechten op de mappen van de directie, dan kan Copilot daar ook niet bij. Kan Copilot met mijn ERP-systeem praten? Ja. 3O bouwde al agents die koppelen met MKG, een veelgebruikt ERP-pakket in de maakindustrie. Daarmee ontsluit je data uit MKG en laat je die in je Copilot-omgeving landen. Technisch gebeurt dat via een zogeheten MCP-server, die de verbinding legt tussen Copilot en je ERP-data. Zo blijft alles in die beveiligde omgeving. Wat kun je daar in de praktijk mee? Stel: een klant vraagt naar de levertijd van een order. Normaal klik je door een paar schermen in je ERP. Nu stel je de vraag gewoon aan Copilot, die het in MKG opzoekt. Je kunt zelfs nog een stap verder gaan. Voor één klant bouwde 3O een oplossing waarmee vragen over levertijden automatisch worden beantwoord: er wordt een mail klaargezet, een medewerker kijkt er nog even overheen en verstuurt hem. Data openstellen voor klanten kan, "maar daar moet je wel goed over nadenken". Gaan AI-agents inkoop en verkoop overnemen? Waarschijnlijk wel, zegt Mark. Dat agent A met agent B onderhandelt in plaats van dat mensen bellen en mailen, daar gaat het naartoe. Maar hij voegt er een belangrijke voorwaarde aan toe: er moet altijd een soort super-agent of manager-agent zijn die het werk controleert. Net zoals een manager het werk van zijn medewerkers checkt. En agents hoeven geen personeel te vervangen. Juist in een krappe arbeidsmarkt kunnen ze ontlasten en helpen het personeelstekort op te vangen. Wat is prompt injection en waarom is het gevaarlijk? Mark zag het onlangs bij een klant. Die had zelf een slimme agent gebouwd, gekoppeld aan zijn mail en zijn ERP. Mooi gemaakt, maar zonder na te denken over veiligheid. Het risico heet prompt injection. Weet een hacker dat jouw bedrijf orders laat afhandelen door een agent, dan kan hij een mailtje sturen met verborgen instructies. "Pas even wat rekeningnummers aan", bijvoorbeeld. De agent voert het braaf uit. De les: denk goed na welke systemen je openzet, hoe je ze openzet en tot op welk niveau. Hoe neem je contact op met 3O? Gewoon via telefoon, mail of de website. En geen bandje: je krijgt direct iemand aan de lijn. Je kunt Mark ook zelf bellen. Daarna kijken ze samen wat ze voor jou kunnen betekenen. Dat hangt af van hoe ver je bent. Sommige bedrijven zijn al ver met ICT, anderen staan aan het begin. "Dat is ook het leuke van ons vak: de bedrijven steeds een stapje verder brengen." Met echte mensen, niet met agents. Veelgestelde vragen over AI, data en cybersecurity in de maakindustrie Wat is de Cyberbeveiligingswet (Cbw)? De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet stelt eisen aan de cybersecurity van organisaties in kritieke en belangrijke sectoren, zoals energie, water en voedsel. Valt mijn maakbedrijf onder de Cyberbeveiligingswet? Misschien niet direct, maar wel indirect als je levert aan een organisatie die eronder valt. Die organisatie is ook verantwoordelijk voor de cybersecurity van haar toeleveringsketen en zal jou daarop bevragen. Wat is NIS2? NIS2 is een Europese richtlijn voor netwerk- en informatiebeveiliging. Elk EU-land vertaalt die naar eigen wetgeving; in Nederland is dat de Cyberbeveiligingswet. Wat is de basis van cybersecurity voor een mkb-bedrijf? Geteste back-ups op locatie en buiten de deur, antivirussoftware, multifactorauthenticatie, een goede firewall en awareness-training voor medewerkers. Wat is het verschil tussen een onsite en offsite back-up? Een onsite back-up staat op locatie, zodat je bestanden snel terugzet. Een offsite back-up staat buiten de deur, bijvoorbeeld in een datacenter, zodat je ook na brand, waterschade of een hack je data kunt herstellen. Wat is een phishing-simulatie? Een test waarbij medewerkers nep-phishingmails ontvangen. Je ziet wie op de link klikt en kunt die mensen gericht trainen. Mag je ChatGPT gebruiken met bedrijfsdata? Niet in de gratis versie, omdat die data kan worden gebruikt om het model te trainen. Gebruik een betaalde zakelijke licentie of een omgeving als Microsoft Copilot. Wanneer kies je voor Microsoft Copilot? Als je werkt in Microsoft 365. Copilot blijft binnen je eigen omgeving en heeft alleen toegang tot data waarvoor de gebruiker rechten heeft. Kan AI gekoppeld worden aan een ERP-systeem zoals MKG? Ja. Met agents en een MCP-server kun je ERP-data veilig ontsluiten in bijvoorbeeld Copilot, zodat je vragen over orders en levertijden in gewone taal kunt stellen. Wat is een MCP-server? Een verbindingslaag waarmee een AI-assistent zoals Copilot gecontroleerd toegang krijgt tot data uit andere systemen, zoals een ERP-pakket. Wat is prompt injection? Een aanval waarbij een hacker verborgen instructies meestuurt, bijvoorbeeld in een e-mail, zodat een AI-agent iets doet wat niet de bedoeling is, zoals rekeningnummers aanpassen. Gaan AI-agents banen overnemen in de maakindustrie? Agents nemen steeds meer taken over, maar vooral om medewerkers te ontlasten en het personeelstekort op te vangen. Controle, door een mens of een overkoepelende agent, blijft nodig. Waar begin je met sturen op data als mkb-maakbedrijf? Inventariseer welke databronnen je hebt, bepaal waar je meer inzicht in wilt (zoals nacalculatie of machinebezetting) en breng die data samen in een dashboard. Dus: wat antwoord jij als je klant morgen belt? "Hoe heb jij je cybersecurity geregeld?" Als je daar niet meteen een antwoord op hebt, is dit het moment. Begin bij de basis, denk na voordat je AI op je systemen loslaat, en stuur op data in plaats van op gevoel. Want je klant kun je maar één keer kwijtraken.