Zonnestroomsystemen zijn kwetsbaar voor allerlei soorten cyberaanvallen en om dit te voorkomen moeten partijen die deel uitmaken van de zonnesector actie ondernemen. Dat stellen onderzoekers van securitybedrijf Secura, die samen met Topsector Energie in opdracht van de Rijksdienst voor Ondernemend Nederland onderzoek naar cyberweerbare zonnestroominstallaties uitvoerden.

Het primaire doel van het onderzoek was om inzicht te krijgen waar de zwakke plekken in de toeleveringsketen van zonnestroom vermoedelijk zitten, hoe cyberaanvallen zouden kunnen plaatsvinden en wie welke maatregelen kan nemen. Daarnaast moet het onderzoek het bewustzijn over dit onderwerp vergroten en ook zo de cyberweerbaarheid verbeteren. Voor het onderzoek is gebruikgemaakt van beschikbare literatuur in combinatie met interviews met experts en een klankbordgroep met vertegenwoordigers uit de zonnesector.

Het onderzoek heeft geleid tot 27 scenario’s die kunnen leiden tot grootschalige verstoring van de zonnestroomsector. Daarnaast constateerden de onderzoekers dat dergelijke verstoringen ook effect zullen hebben op de gehele energiesector en dat sommige scenario’s ook effecten zullen hebben buiten de zonnestroomsector. Drie hoofdscenario’s staan in het onderzoek centraal.

Het gaat om een ransomware-aanval op een cloudportaal, het verspreiden van malware via een malafide update voor de omvormers van zonnepanelen en een gerichte supplychain-aanval door een statelijke actor. "Hoewel over de kans van een succesvolle aanval gediscussieerd kan worden, is de potentiële impact van deze scenario’s desastreus te noemen. Er is veelal sprake van grote economische schade, fysieke schade en zelfs maatschappelijke schade. Zeker wanneer de secundaire gevolgen van de cyberaanval ook meegenomen worden", aldus de onderzoekers.

De onderzoekers benadrukken dat alle partijen in de zonnestroomsector actie moeten ondernemen om cyberaanvallen te voorkomen, maar dat deze gedeelde verantwoordelijkheid niet eenvoudig is te realiseren. In het rapport beschrijven de onderzoekers verschillende maatregelen die fabrikanten, installateurs, toezichthouders, overheid, brancheorganisaties en eindgebruikers zouden kunnen nemen.