Dijkhoff: ‘Energiebedrijven zijn zelf verantwoordelijk voor hun digitale beveiliging’

Energiebedrijven zijn zelf verantwoordelijk voor hun digitale beveiliging. Wel adviseert en informeert het Nationaal Cyber Security Centrum (NCSC) vitale aanbieders over dreigingen en incidenten, en levert het centrum daarbij indien nodig bijstand. Dit stelt staatssecretaris Dijkhoff van Veiligheid en Justitie in een reactie op Kamervragen van PvdA-Kamerlid Attje Kuiken.

Kuiken stelde vragen naar aanleiding van de Industroyer- of CrashOverride-malware, die specifiek gericht is op het verstoren van de werking van industriële beheer systemen (ICS). Het Kamerlid wilde weten of deze malware schade, waarvoor beveiligingsbedrijf ESET in juni 2017 waarschuwde, kan aanrichten bij Nederlandse energiebedrijven. Dijkhoff geeft aan dat dit niet uit te sluiten is. “In de Nederlandse energiesector wordt veelal gebruik gemaakt van apparatuur en communicatieprotocollen gelijk aan, dan wel vergelijkbaar met, de apparatuur en protocollen waar de malware Industroyer zich op richt. Dit is inherent aan standaardisering en interoperabiliteit. Het is niet uit te sluiten dat de malware ingezet zou kunnen worden tegen systemen van Nederlandse energiebedrijven”, schrijft (pdf) de staatssecretaris.

Verantwoordelijkheid

Ook vroeg Kuiken of Dijkhoff van mening is dat de Rijksoverheid een verantwoordelijkheid heeft voor de bescherming van vitale infrastructuur, waaronder ook het transport en de distributie van elektriciteit en gas zijn aangemerkt. “Overheid en vitale organisaties werken in Nederland samen aan de bescherming van de vitale infrastructuur. De rol van de overheid wordt in generieke zin onder andere ingevuld door middel van wet- en regelgeving. Het Nationaal Cyber Security Centrum (NCSC) van het Ministerie van Veiligheid en Justitie heeft tot taak vitale aanbieders over dreigingen en incidenten te informeren en adviseren en daarbij zo nodig ook anderszins bijstand te verlenen, teneinde maatschappelijke ontwrichting die daarvan mogelijkerwijs het gevolg is te voorkomen en beperken”, zegt Dijkhoff in een reactie.

Dijkhoff benadrukt echter dat netbeheerders op grond van de Elektriciteitswet 1998 en de Gaswet zelf verantwoordelijk zijn zorg te dragen voor een veilig en efficiënt transport van energie, iets waar ICT-beveiliging volgens de staatssecretaris onderdeel van uitmaakt. Het is dan ook de verantwoordelijkheid van de netbeheerder om de integriteit van zijn netwerk te beschermen, iets waarop de toezichthouder Autoriteit Consument & Markt (ACM) toezicht houdt. Wel onderhouden energiebedrijven contact met relevante overheidsdiensten en partnerorganisaties om security controles aan de passen aan nieuwe threat intelligence.