Energiebedrijven zijn zelf verantwoordelijk voor hun informatiebeveiliging, zo heeft staatssecretaris Dijkhoff van Veiligheid en Justitie op Kamervragen van de PvdA laten weten (pdf). PvdA-Kamerlid Attje Kuiken stelde de vragen naar aanleiding van de Industroyer-malware, ook CrashOverride genoemd.

De malware werd in juni door verschillende securitybedrijven bekendgemaakt en is mogelijk verantwoordelijk voor de aanval op Oekraïense energiebedrijven eind vorig jaar, waardoor 225.000 mensen enkele uren zonder stroom kwamen te zitten. Het PvdA-Kamerlid wilde weten of de Industroyer-malware schade aan Nederlandse energiebedrijven kan aanrichten. Verder vroeg Kuiken of de Rijksoverheid in het geval van de vitale infrastructuur zoals energiebedrijven een verantwoordelijkheid heeft in de bescherming daarvan.

Volgens Dijkhoff wordt in de Nederlandse energiesector veelal gebruik gemaakt van apparatuur en communicatieprotocollen die gelijk zijn aan, dan wel vergelijkbaar met, de apparatuur en protocollen waar de Industroyer-malware zich op richt. "Dit is inherent aan standaardisering en interoperabiliteit. Het is niet uit te sluiten dat de malware ingezet zou kunnen worden tegen systemen van Nederlandse energiebedrijven", aldus de staatssecretaris.

Hij merkt op dat een aanvaller die de malware wil inzetten eerst van buitenaf toegang tot het netwerk van het doelwit dient te krijgen. "Het is qua weerbaarheid dan ook zaak dat partijen er zorg voor dragen dat een aanvaller van buitenaf niet binnendringt op het netwerk om deze aanvalstechniek in te zetten", aldus Dijkhoff, die stelt dat het installeren van software-updates en het implementeren van detectie- en monitoringoplossingen hierbij kan helpen.

Verantwoordelijkheid

Als het gaat om het managen van cybersecurityrisico's en de verantwoordelijkheid voor de informatiebeveiliging, ligt dit volgens Dijkhoff primair bij de energiebedrijven zelf. Wel werken overheid en vitale organisaties in Nederland samen aan de bescherming van de vitale infrastructuur. "De rol van de overheid wordt in generieke zin onder andere ingevuld door middel van wet- en regelgeving", laat de staatssecretaris weten. Daarnaast worden er via het Nationaal Cyber Security Centrum (NCSC) aan vitale organisaties adviezen over dreigingen gegeven en waar nodig bijstand verleend.