Cyberwet en pv-sector: ‘Zie dit als een kans, niet alleen als compliance-oefening’

De Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke) werden 15 augustus van kracht. Wat betekent dat voor de pv-sector?
‘Meer bedrijven dan voorheen krijgen te maken met de verplichtingen uit deze wetgeving. Zo vallen ook producenten vanaf 100 megawattpiek, 50 medewerkers en een omzet/balans van meer dan 10 miljoen euro onder de Cbw. Daarnaast geldt de wet voor marktdeelnemers, dus voor iedereen vanaf diezelfde omvangscriteria die actief is op de energiemarkten. De focus in onze sector verschuift van alleen productie naar ook levering, denk aan partijen die opwekeenheden en batterijen aggregeren. Daardoor worden we een steeds belangrijker onderdeel van de energiesector. Dat brengt verantwoordelijkheid mee voor de cyberveiligheid van het systeem.’

Is de sector zich daarvan bewust?
‘De aandacht groeit heel sterk. Niet iedereen doet al alles wat nodig is, maar het onderwerp leeft zeker. Zelf agenderen we het op allerlei manieren: bijvoorbeeld onlangs met een spreker op onze algemene ledenvergadering, in de ledennieuwsbrief en via bijeenkomsten met het ministerie Economische Zaken en Klimaat of de toezichthouder Rijksinspectie Digitale Infrastructuur (RDI). Daarnaast hebben we een werkgroep cyberveiligheid. Bedrijven moeten zich goed kunnen beschermen, en we willen het niveau in de sector omhoog krijgen.’

Jullie zijn betrokken bij de oprichting van een Information Sharing and Analysis Centre (ISAC). Wat gebeurt daar?
‘Die is bijna een feit. Een kleinere groep bedrijven wisselt daarin in een vertrouwelijke omgeving informatie uit waar je in je eigen operaties iets aan hebt. Dat kan bijvoorbeeld gaan over trends maar ook concrete incidenten. Zo zie je ook wanneer iedereen met dezelfde risico’s en incidenten kampt en kunnen bedrijven gezamenlijk hun kennis en informatiepositie verbeteren. Het is daarnaast de bedoeling om ook samen scenario’s te oefenen. Het moet dus meer zijn dan een praatclub.’

Bedrijven die onder de wet vallen, moeten nu echt in beweging komen?
‘Zeker. Ze moeten zich sinds 15 augustus registreren bij het Nationaal Cyber Security Centrum (NCSC) en de verplichte maatregelen toepassen. Door bestuurdersaansprakelijkheid krijgt dit ook aandacht aan de top, en dat zet aan tot meer actie. Toch heeft volgens het NCSC pas zo’n 30 procent van de verwachte bedrijven zich aangemeld. Mijn oproep: check of je eronder valt, via regelhulpenvoorbedrijven.nl, en registreer je. Dat is de belangrijkste eerste stap, en je hebt er zelf ook iets aan: het NCSC deelt informatie met aangemelde bedrijven. Zie dit dus vooral als een kans, niet alleen als een compliance-oefening.’

En op een gegeven moment wordt er gehandhaafd…
‘De RDI, toezichthouder voor de energiesector, zet in op informatievoorziening en wil bedrijven op weg helpen. Die staat ook open voor gesprek: onlangs lichtte de RDI aan leden van onder meer Holland Solar, Energy Storage NL, NedZero en Energie-Nederland toe hoe het toezicht eruit gaat zien. De wet heeft een open norm, wat wil zeggen dat bedrijven zelf op basis van een eigen risicoanalyse moeten beoordelen welke maatregelen specifiek gepast zijn. De inspectie verwacht dat je laat zien dat je dat serieus neemt en continu verbetert. De RDI wil daarnaast met de sector werken aan handreikingen voor situaties waarin er nog grijze gebieden of onduidelijkheden zijn. Holland Solar heeft regelmatig contact met de RDI en kan dit soort behoeften dus goed signaleren. Wie zulke vragen heeft, kan zich bij mij melden. Dan kunnen we hier als sector gezamenlijk in optrekken.’

Vorige maand waarschuwden onder meer AIVD en MIVD voor AI-dreiging. Hoe zie jij dat?
‘Ook het NCSC, de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV), het Openbaar Ministerie en de politie scharen zich daarachter. Dat zegt veel over de prioriteit. De boodschap: AI versnelt en versterkt dreigingen die er al waren. Er kunnen meer aanvallen komen en ontwikkelingen versnellen. Dat betekent ook dat er op steeds hoger tempo updates en patches worden uitgerold. Volgen die elkaar steeds sneller op, dan wordt bijhouden lastiger. Daarom roept het statement op tot een adequaat patchbeleid.’

Het dreigingsniveau wordt dus echt hoger?
‘Absoluut. Wel wil ik ervoor waken dat mensen zich verlamd voelen omdat AI zo groot is en alles zo snel gaat. De eerste aanbeveling van die organisaties blijft staan: zorg dat je basishygiëne op orde is; het NCSC heeft er een lijstje met basisprincipes voor. Neem je mensen daarin mee, die bijvoorbeeld veel vaker en met meer geavanceerde phishing te maken krijgen. Ook je secretaresse en de financiële staf tellen dus mee.’

Is dit voor Holland Solar een grote zorg, of iets wat gewoon moet worden aangepakt?
‘Ik zie de tegenstelling niet helemaal. Actuele ontwikkelingen onderstrepen het belang van digitale veiligheid, maar we zien dit al langer als een taak voor de sector, juist omdat die een steeds grotere rol speelt in de energievoorziening. De weerbaarheid van het energiesysteem serieus nemen hoort daarbij. Daarnaast moeten bedrijven zichzelf beschermen. Uit onderzoek blijkt dat 60 procent van de mkb’ers met een cyberincident binnen een jaar failliet gaat. Tref dus maatregelen om incidenten te voorkomen, maar vooral ook om te zorgen dat je bedrijf er weer bovenop komt als het misgaat.’