Onderzoek Cyberveiligheid Oost krijgt vervolg

Oktober 2022

Het gezamenlijke onderzoek naar cyberveiligheid in de Brzo-industrie in de oostelijke veiligheidsregio’s (Oost-5) krijgt een vervolg. Het onderzoek werd afgelopen voorjaar uitgevoerd en inmiddels zijn de resultaten geanalyseerd. De eindconclusie van het onderzoek is dat het risicobewustzijn bij bedrijven beter kan. Het Oost-5 samenwerkingsverband werkt aan plannen voor vervolgonderzoek, waarbij onder andere wordt bekeken voor wie toezicht op de beveiliging van kritieke ICT-systemen een taak is. De onderzoekers vinden een wettelijk landelijk toezichtkader voor cyberveiligheid in de industrie gewenst.

Volgens Fleur Smelt, medewerker risicobeheersing van Veiligheidsregio Twente, moet het onderzoek van afgelopen voorjaar worden gezien als een nulmeting, een eerste aanzet om cyberveiligheid nadrukkelijker op de agenda te zetten bij het toezicht op Brzo-inrichtingen. “De respons van bedrijven was met 12 reacties op 50 uitgevraagde bedrijven beperkt. En hoewel cyberveiligheid landelijk steeds meer aandacht krijgt, stellen we vast dat sommige Brzo-bedrijven zich nog onvoldoende bewust zijn van de effecten en reikwijdte van aanvallen op hun vitale ICT-systemen. Zij hebbenonvoldoende scherp op het netvlies dat een ICT-inbreuk niet alleen economische schade door productie-uitval kan veroorzaken, maar ook daadwerkelijk fysieke externe veiligheidsrisico’s kan opleveren voor de omgeving.”

Het oostelijk samenwerkingsverband wil vervolgacties opstarten, om het bewustzijn rond cyberveiligheid in de industrie verder te vergroten en een meer verdiepend vervolgonderzoek te doen. Dat onderzoek richt zich ook op de rol van de veiligheidsregio’s op dit thema, want cybersecurity is niet hun specialisme. Dus hoe ver strekt de rol en verantwoordelijkheid van de veiligheidsregio’s, in het bijzonder die van de Brzo-inspecteurs?

Coördinator risicobeheersing Myrte Sival vult aan dat gestructureerd toezicht op cyberveiligheid in de risico-industrie in feite landelijk via een wettelijk kader zou moeten worden geregeld. “Voor andere sectoren zoals bijvoorbeeld nucleaire installaties, bestaat zo’n kader. De Autoriteit Nucleaire Veiligheid en Straling, ANVS, is verantwoordelijk voor het volledige veiligheidstoezicht op nucleaire inrichtingen, inclusief de cyberveiligheid. Voor de Brzo-industrie zo’n centrale toezichthouder op cyberveiligheid er niet. De Brzo-inspecteurs kunnen het thema wel bespreken met bedrijven die zij tijdens inspecties bezoeken, maar inhoudelijke expertise op cybergebied hebben ze niet. Dus als het toezicht bij de veiligheidsregio’s zou worden belegd, hoe organiseren we die kennis dan? Moeten we inspecteurs gaan bijscholen of externe expertise inhuren tijdens inspecties? Onze voorkeur is om dit specialistisch toezicht bij een centrale autoriteit landelijk te beleggen.”

Bij het Veiligheidsberaad, als bestuurlijke koepel voor de veiligheidsregio’s, staat het thema cyberveiligheid en Brzo-industrie inmiddels op de agenda. Net als bij het LEC Industriële Veiligheid en haar onderliggend netwerk. Volgens Jan Meinster van het LEC staat het thema voor 2023 geagendeerd. Ook het LEC is van mening dat risicobewustzijn en toezicht een flinke upgrade verdienen. Jan Meinster: “Het toezicht op cyberveiligheid in de industrie is nu veel te versnipperd en zou inderdaad bij een landelijke autoriteit moeten worden belegd. De urgentie is er, want met de huidige grote internationale geopolitieke spanningen nemen ook de cyberrisico’s in de vitale sectoren en de industrie toe. Voorbeelden van bedrijven en vitale infrastructuren die zijn getroffen zijn er internationaal al. In Nederland bleek bij een eerdere analyse van cyberspecialisten onder andere de kwetsbaarheid van waterstaatkundige objecten, zoals sluizen en waterkeringen. We werken aan een voorstel voor een brede analyse van de cyberveiligheid in de Nederlandse industrie, die we als monoproject willen uitvoeren in het kader van het Meerjarenprogramma Versterking Omgevingsveiligheid.”

Voor de kortere termijn staat in 2023 een onderzoek op stapel naar cyberveiligheid in de industrie in relatie tot incidentbestrijding en stationaire brandbeveiligingssystemen. In hoeverre zijn bijvoorbeeld automatische detectie- en blussystemen te hacken? Of op afstand bediend incidentbestrijdingsmaterieel? Jan Meinster: “Ook bij incidentbestrijding wordt steeds meer draadloze op afstand bestuurbare techniek gebruikt. Daar richten we ons in eerste instantie op. Cyber is voor de komende jaren voor het Netwerk IV een belangrijk thema. Overigens moet niet alleen de industrie de focus op dit thema verscherpen, hetzelfde geldt voor landelijke overheden. Zo valt op dat het Agentschap Telecom onlangs ook onderzoek heeft gedaan naar cyberrisico’s in vitale sectoren, maar dat de Brzo-industrie in dat rapport niet voorkwam. Ook in de Cyberveiligheid strategie 2022-20228 van de NCTV wordt de industrie niet of nauwelijks genoemd. Er is dus nog veel werk aan de winkel voordat met een landelijk samenhangend beleid voor risicobeheersing en respons bij cyberincidenten alle vitale sectoren, inclusief de industrie, goed worden afgedekt.

Lees ook

25-10-2022
Onderzoek Cyberveiligheid Oost krijgt vervolg

Het onderzoek werd afgelopen voorjaar uitgevoerd en inmiddels zijn de resultaten geanalyseerd. De eindconclusie van het onderzoek is dat het risicobewustzijn bij bedrijven beter kan.

25-10-2022
Nieuw convenant voor Platform Industriële Incidentbestrijding

Het Platform Industriële Incidentbestrijding (PII) is in een nieuwe fase gekomen, met de ondertekening van een convenant op 21 september 2022.

25-10-2022
Netwerkdag Industriële Veiligheid: Risicogericht adviseren

De aanstaande Netwerkdag Industriële Veiligheid op 10 november staat in het teken van ‘risicogericht adviseren’.

25-10-2022
Focus op impact natuurrampen op industriële veiligheid

Onder de noemer ’Formatex23’ wordt in september volgend jaar in Oostenrijk een internationale samenwerkingsoefening georganiseerd rond het thema ‘impact van natuurrampen op de industrie’.

29-09-2022
Position paper IV

Welke speerpunten gaf het POI aan de RCDV mee over informatievoorziening in het kader van de evaluatie Wet veiligheidsregio’s?

29-09-2022
Dynamisch risicoprofiel

De Operationele Risicometer beoogt meer inzicht te geven in de stapeling van risico’s (dreigingen, gevaren) in de ‘lauwe’ fase. In Q1 2023 wordt de eerste versie verwacht.

29-09-2022
Versnellingsplan Informatieveiligheid

De versnelling is in volle gang; alle veiligheidsregio’s zijn goed op weg naar volledige implementatie van de BIO. Eind 2022 ronden we dan ook de eerste fase van het plan (‘Basis op orde’) af. Ondertussen wordt nagedacht over de invulling van fase 2: ‘Cyberweerbaarheid’. 

29-09-2022
Pandora Intelligence wint aanbesteding Virtuele Assistent

In de eerste projectfase stond het ontwerp van de Virtuele Assistent en de leveranciersselectie centraal. Pandora Intelligence ontwikkelde een demo, een algoritme en stelde een plan van aanpak voor de vervolgfases op.

29-09-2022
Voortgang operationele risicometer

De Operationele Risicometer beoogt meer inzicht te geven in de stapeling van risico’s (dreigingen, gevaren) in de ‘lauwe’ fase. In Q1 2023 wordt de eerste versie verwacht.