Onderzoek Cyberveiligheid Oost krijgt vervolg

Oktober 2022

Het gezamenlijke onderzoek naar cyberveiligheid in de Brzo-industrie in de oostelijke veiligheidsregio’s (Oost-5) krijgt een vervolg. Het onderzoek werd afgelopen voorjaar uitgevoerd en inmiddels zijn de resultaten geanalyseerd. De eindconclusie van het onderzoek is dat het risicobewustzijn bij bedrijven beter kan. Het Oost-5 samenwerkingsverband werkt aan plannen voor vervolgonderzoek, waarbij onder andere wordt bekeken voor wie toezicht op de beveiliging van kritieke ICT-systemen een taak is. De onderzoekers vinden een wettelijk landelijk toezichtkader voor cyberveiligheid in de industrie gewenst.

Volgens Fleur Smelt, medewerker risicobeheersing van Veiligheidsregio Twente, moet het onderzoek van afgelopen voorjaar worden gezien als een nulmeting, een eerste aanzet om cyberveiligheid nadrukkelijker op de agenda te zetten bij het toezicht op Brzo-inrichtingen. “De respons van bedrijven was met 12 reacties op 50 uitgevraagde bedrijven beperkt. En hoewel cyberveiligheid landelijk steeds meer aandacht krijgt, stellen we vast dat sommige Brzo-bedrijven zich nog onvoldoende bewust zijn van de effecten en reikwijdte van aanvallen op hun vitale ICT-systemen. Zij hebbenonvoldoende scherp op het netvlies dat een ICT-inbreuk niet alleen economische schade door productie-uitval kan veroorzaken, maar ook daadwerkelijk fysieke externe veiligheidsrisico’s kan opleveren voor de omgeving.”

Het oostelijk samenwerkingsverband wil vervolgacties opstarten, om het bewustzijn rond cyberveiligheid in de industrie verder te vergroten en een meer verdiepend vervolgonderzoek te doen. Dat onderzoek richt zich ook op de rol van de veiligheidsregio’s op dit thema, want cybersecurity is niet hun specialisme. Dus hoe ver strekt de rol en verantwoordelijkheid van de veiligheidsregio’s, in het bijzonder die van de Brzo-inspecteurs?

Coördinator risicobeheersing Myrte Sival vult aan dat gestructureerd toezicht op cyberveiligheid in de risico-industrie in feite landelijk via een wettelijk kader zou moeten worden geregeld. “Voor andere sectoren zoals bijvoorbeeld nucleaire installaties, bestaat zo’n kader. De Autoriteit Nucleaire Veiligheid en Straling, ANVS, is verantwoordelijk voor het volledige veiligheidstoezicht op nucleaire inrichtingen, inclusief de cyberveiligheid. Voor de Brzo-industrie zo’n centrale toezichthouder op cyberveiligheid er niet. De Brzo-inspecteurs kunnen het thema wel bespreken met bedrijven die zij tijdens inspecties bezoeken, maar inhoudelijke expertise op cybergebied hebben ze niet. Dus als het toezicht bij de veiligheidsregio’s zou worden belegd, hoe organiseren we die kennis dan? Moeten we inspecteurs gaan bijscholen of externe expertise inhuren tijdens inspecties? Onze voorkeur is om dit specialistisch toezicht bij een centrale autoriteit landelijk te beleggen.”

Bij het Veiligheidsberaad, als bestuurlijke koepel voor de veiligheidsregio’s, staat het thema cyberveiligheid en Brzo-industrie inmiddels op de agenda. Net als bij het LEC Industriële Veiligheid en haar onderliggend netwerk. Volgens Jan Meinster van het LEC staat het thema voor 2023 geagendeerd. Ook het LEC is van mening dat risicobewustzijn en toezicht een flinke upgrade verdienen. Jan Meinster: “Het toezicht op cyberveiligheid in de industrie is nu veel te versnipperd en zou inderdaad bij een landelijke autoriteit moeten worden belegd. De urgentie is er, want met de huidige grote internationale geopolitieke spanningen nemen ook de cyberrisico’s in de vitale sectoren en de industrie toe. Voorbeelden van bedrijven en vitale infrastructuren die zijn getroffen zijn er internationaal al. In Nederland bleek bij een eerdere analyse van cyberspecialisten onder andere de kwetsbaarheid van waterstaatkundige objecten, zoals sluizen en waterkeringen. We werken aan een voorstel voor een brede analyse van de cyberveiligheid in de Nederlandse industrie, die we als monoproject willen uitvoeren in het kader van het Meerjarenprogramma Versterking Omgevingsveiligheid.”

Voor de kortere termijn staat in 2023 een onderzoek op stapel naar cyberveiligheid in de industrie in relatie tot incidentbestrijding en stationaire brandbeveiligingssystemen. In hoeverre zijn bijvoorbeeld automatische detectie- en blussystemen te hacken? Of op afstand bediend incidentbestrijdingsmaterieel? Jan Meinster: “Ook bij incidentbestrijding wordt steeds meer draadloze op afstand bestuurbare techniek gebruikt. Daar richten we ons in eerste instantie op. Cyber is voor de komende jaren voor het Netwerk IV een belangrijk thema. Overigens moet niet alleen de industrie de focus op dit thema verscherpen, hetzelfde geldt voor landelijke overheden. Zo valt op dat het Agentschap Telecom onlangs ook onderzoek heeft gedaan naar cyberrisico’s in vitale sectoren, maar dat de Brzo-industrie in dat rapport niet voorkwam. Ook in de Cyberveiligheid strategie 2022-20228 van de NCTV wordt de industrie niet of nauwelijks genoemd. Er is dus nog veel werk aan de winkel voordat met een landelijk samenhangend beleid voor risicobeheersing en respons bij cyberincidenten alle vitale sectoren, inclusief de industrie, goed worden afgedekt.

Lees ook

11-03-2024
Effectiviteit waterschermen beperkt en afhankelijk van veel factoren

De inzet van waterschermen of waterstralen om bij chemische incidenten gas- of dampwolken te beïnvloeden, heeft vaak maar een beperkt effect.

01-03-2024
Jaarverslag LEC Industriële Veiligheid 2023

Het afgelopen jaar stond voor het LEC IV vooral in het teken van het verstevigen van zijn positie en relaties in het netwerk van veiligheidspartners.

12-02-2024
“Samenwerking industriële veiligheid vraagt chemie”

Directeur Risico- en Crisisbeheersing Edith van der Reijden geeft inzicht in samenwerking en veilige energietransitie.

12-02-2024
Leidraad Natech Risicobeheer: gevolgen van natuurgeweld voor de industrie

Het Joint Research Centre van de Europese Commissie heeft een leidraad gepubliceerd voor het beheersen van risico’s van ‘Natech’ calamiteiten; industriële incidenten veroorzaakt door natuurgeweld, zoals aardbevingen, overstromingen of extreme temperaturen.

12-02-2024
Landelijke Handhavingsstrategie Seveso-inrichtingen

De Landelijke Handhavingsstrategie Brzo is aangepast aan de Omgevingswet en heet nu Landelijke Handhavingsstrategie Seveso-inrichtingen. Het betreft een wetstechnische en tekstuele wijziging. Inhoudelijk zijn er geen wijzigingen.

19-12-2023
SIV‘er in de praktijk: Johan Braker

Johan Braker, veiligheidsconsultant Industriële Veiligheid bij Veiligheidsregio Groningen, vertelt over zijn boeiende werk.

19-12-2023
LEC Industriële Veiligheid neemt deel aan ‘blusschuimdebat’ tijdens Nationaal Seveso Congres

Jan Meinster van het LEC IV leidde een ‘inspiratietafel’ over de blusschuimtransitie. Duidelijk werd dat bedrijven behoefte hebben aan concrete informatie.

19-12-2023
Blusschuimtransitie: de tijd dringt

Met 2024 op de kalender wordt het voor de industrie en de brandweersector zaak haast te maken met de blusschuimtransitie. De Europese verordening die het gebruik van PFAS in blusschuim verbiedt, wordt namelijk in de loop van komend jaar van kracht.

19-12-2023
Bedrijvenochtend Omgevingswet geslaagd

De bijeenkomst was bedoeld om te informeren over de consequenties van de Omgevingswet voor de bedrijfsbrandweeraanwijzingen en de veranderende adviesrol van de veiligheidsregio’s.