Inspectie waarschuwt: cyberaanval op thuisbatterijen en zonnepaneelomvormers kan stroomnet laten uitvallen

De Rijksinspectie Digitale Infrastructuur – die onderdeel is van het ministerie van Economische Zaken en Klimaat – heeft een position paper opgesteld naar aanleiding van de snelle groei van internetverbonden energieapparaten in Nederland.

Backend als zwakke schakel
Met miljoenen zonnepaneelinstallaties, warmtepompen, laadpalen en thuisbatterijen die Nederland herbergt, nemen de cyberrisico’s toe. De problematiek staat ook in Europa steeds hoger op de agenda: deze week riep een EU-expertwerkgroep nog op tot een beperking van de verkoop van omvormers uit China.

De RDI omschrijft apparaten die via een internetverbinding tegelijkertijd een groot elektrisch vermogen kunnen beïnvloeden als ‘high-power internet of things’. Veel van deze apparaten zijn via internet verbonden met dezelfde digitale backend van hun fabrikant, van een energiemanagementsysteem (ems) of van een aggregator.

3 gigawatt vermogen
Via die centrale ingang kunnen daardoor grote aantallen apparaten tegelijk worden aan- of uitgeschakeld. Wanneer daardoor plotseling 3 gigawatt of meer aan vermogen wegvalt of bij komt, kan dat de netfrequentie buiten de veilige band van 49,99 tot 50,01 hertz brengen en tot verstoringen of uitval leiden.

‘Omvormers, laadpalen en warmtepompen maken ons elektriciteitssysteem slimmer en duurzamer, maar introduceren ook nieuwe risico’s. Dat vraagt om veilige apparaten én om weerbaarheid van het energiesysteem als geheel’, stelt Isabel van der Leij, manager digitale weerbaarheid energiesector bij de RDI.

Gat in de wetgeving
Bestaande regels vangen dit risico slechts gedeeltelijk op. De Cyber Resilience Act (CRA), die vanaf dit jaar voor nieuwe producten geldt, stelt nu alleen algemene cybersecurityeisen aan high-power internet of things -apparaten en laat de controle aan de fabrikant zelf over.

De NIS2-richtlijn, in Nederland vertaald naar de Cyberbeveiligingswet, geldt in principe alleen voor organisaties boven een bepaalde omvang en heeft beperkte werking buiten de Europese Unie (EU), ongeacht hoeveel vermogen een partij op afstand kan aansturen. In de Netcode voor Cybersecurity is nog beperkt aandacht voor high-power internet of things, en fabrikanten en aanbieders van energiemanagementsystemen ontbreken in de voorlopige lijst van die netcode.

Wat de RDI wil
Om deze gaten te dichten, presenteert de RDI 3 oplossingsrichtingen. De eerste: stel specifieke Europese cybersecuritystandaarden op per type apparaat en geef high-power internet of things -apparaten de status ‘klasse 2’ binnen de CRA, zodat niet de fabrikant zelf maar een onafhankelijke instantie controleert of apparaten voldoen voordat ze op de Europese markt mogen komen.

Het tweede voorstel is om partijen die op afstand zoveel vermogen kunnen aansturen dat ze het net in gevaar brengen onder de NIS2-richtlijn te laten vallen, ongeacht hun omvang of vestigingslocatie buiten de EU.

Het laatste voorstel is om de digitale autonomie van het energiesysteem te versterken, want partijen die high-power internet of things op grote schaal kunnen beïnvloeden, bevinden zich deels buiten de EU, wat geopolitieke afhankelijkheidsrisico’s met zich meebrengt.