Bedrijven die met gevaarlijke stoffen werken hebben hun cybersecurity niet altijd op orde en moeten hier meer aandacht aan geven, zo stelt DCMR Milieudienst Rijnmond op basis van onderzoek onder 39 bedrijven in Zeeland en Zuid-Holland. De PvdA heeft demissionair minister Grapperhaus van Justitie en Veiligheid om opheldering gevraagd.

Uit het onderzoek blijkt dat zo'n veertig procent van de organisaties een volwassenheidsniveau van twee of lager scoort. "Dit betekent dat standaarden, procedures, hulpmiddelen en methoden nog niet volledig zijn geïmplementeerd en/of beschreven binnen de desbetreffende organisatie. Ook ontbreekt er consistentie in de toepassing en/of de documentatie en vindt er nog niet in alle gevallen procesverbetering plaats. Een lagere volwassenheidsscore betekent dus over het algemeen dat organisaties minder 'in control' zijn over hun cybersecurity aanpak", aldus de onderzoekers.

Driekwart van de onderzochte bedrijven is volgens de onderzoekers niet in staat om cybersecurityrisico's te mitigeren. Daarnaast heeft een derde de operationele technologie (OT)-omgevingen niet geïsoleerd of weten dit niet, ook al is dit een belangrijke beveiligingsmaatregel. Een kwart van de respondenten geeft daarnaast aan geen encryptie toe te passen. Een zelfde percentage beschikt niet over oplossingen om kwetsbaarheden in hun omgeving te detecteren.

DCMR Milieudienst Rijnmond stelt dat het onderzoek aantoont dat bedrijven niet altijd weten hoe ze met cybersecurity moeten omgaan. "Bedrijven moeten worden geholpen om digitaal weerbaar te worden. Dat begint al met het in kaart brengen van de eventuele risico’s voor de veiligheid van de werknemers en omgeving van cyberaanvallen." De organisatie laat wel weten dat met het onderzoek niet is aangetoond dat er acuut gevaar is voor het ontstaan van zware ongevallen.

Kamervragen

PvdA-Kamerlid Kathmann wil nu opheldering van Grapperhaus. "Hoe kan het dat bij een groot deel van de bedrijven er onvoldoende aandacht is voor cybersecurity?", vraagt ze aan de minister. "Bent u het met ermee eens dat bedrijven die werken met gevaarlijke stoffen juist extra goed beveiligd moeten zijn op het digitale vlak?"

Grapperhaus moet daarnaast duidelijk maken wat hij doet om de cybersecurity van deze bedrijven te vergroten. "Doet u voldoende om de cybersecurity van deze bedrijven te verbeteren? Zo ja, hoe verklaart u de bevindingen in dit onderzoek dan? Zo nee, wat gaat u meer doen om de cybersecurity van deze bedrijven te verbeteren?", besluit Kathmann haar vragen. De minister heeft drie weken om ze te beantwoorden (pdf).