Digitale dijkverzwaring: cybersecurity en vitale waterwerken

Cybersecurity vitale waterwerken niet waterdicht

Tunnels, bruggen, sluizen en waterkeringen kunnen nog beter worden beveiligd tegen cyberaanvallen. Rijkswaterstaat heeft de afgelopen jaren veel werk verzet en noodzakelijke maatregelen in kaart gebracht om waterkeringen beter te beveiligen. Maar die veiligheidsmaatregelen zijn niet allemaal uitgevoerd. Crisisdocumentatie is verouderd en er worden geen volwaardige pentesten uitgevoerd. Uit het onderzoek blijkt dat nog niet alle vitale waterwerken rechtstreeks zijn aangesloten op het Security Operations Center (SOC) van Rijkswaterstaat. Hierdoor bestaat het risico dat RWS een cyberaanval niet of te laat detecteert. De minister van Infrastructuur en Waterstaat moet nog stappen zetten om aan de eigen doelstellingen voor cybersecurity te voldoen.

Wat zijn onze aanbevelingen?

De Algemene Rekenkamer beveelt de minister van Infrastructuur en Waterstaat ook aan om het actuele dreigingsniveau te onderzoeken en te besluiten of extra mensen en middelen nodig zijn. Ook is het voor een snelle en adequate reactie op een crisissituatie van essentieel belang dat informatie up-to-date is. Pentesten zouden integraal onderdeel uit moeten maken van de cybersecuritymaatregelen bij vitale waterwerken. Verder zou moeten worden bezien of medewerkers van het SOC beter moeten worden gescreend.

Waarom onderzochten we de cybersecurity van vitale waterwerken?

De processen binnen vitale sectoren zijn sterk gedigitaliseerd en dus kwetsbaar voor cyberdreigingen. De Algemene Inlichtingen- en Veiligheidsdienst (AIVD) meldt in zijn recentste jaarverslag in toenemende mate activiteiten te signaleren die erop zijn gericht digitale sabotage van vitale infrastructuur in Europa mogelijk te maken. De dreiging van in Nederland actieve beroepscriminelen en buitenlandse mogendheden (statelijke actoren) neemt volgens het Nationaal Cyber Security Center (NCSC) toe; de aanvallen zijn steeds geavanceerder en complexer. Het NCSC ziet sabotage en verstoring door statelijke actoren als de grootste dreiging voor de nationale veiligheid.

Welke methoden hanteerden wij in ons onderzoek naar cybersecurity van vitale waterwerken?

Voor het beantwoorden van de onderzoeksvragen bestudeerden we in de periode mei tot en met oktober 2018 interne documenten bij het Ministerie van IenW en Rijkswaterstaat, en voerden we gesprekken met betrokkenen. Hierbij keken we naar opzet en bestaan van maatregelen. Daarnaast onderzochten we, voor de tweede onderzoeksvraag, samen met Rijkswaterstaat de werking van maatregelen op locatie bij vitale waterwerken. Bij één van de objecten hebben ethische hackers een test uitgevoerd om de cybersecuritymaatregelen in de praktijk te toetsen.

Stand van zaken

De minister van IenW heeft op 5 maart 2019 gereageerd op ons rapport. Dit onderzoek is gepubliceerd op donderdag 28 maart.