Bij energietransitie te lang bezuinigd op cyberveiligheid

Uit Nederlands onderzoek van Secura blijkt dat de cyberveiligheid van onze zonnepanelen, thuisbatterijen en laadpalen kwetsbaar is. Eén foute update of een gerichte aanval van derden kan ervoor zorgen dat alle apparaten tegelijk uitgaan of massaal energie aan het net terugleveren. Door zo’n plotselinge spanningsverandering raken elektrische apparaten beschadigd, ontstaat het risico op brand en kan in theorie de stroom uitvallen, misschien wel in heel Europa.

Eén grote generator

Veel zonnepanelen en thuisbatterijen komen uit China en zijn lang ontworpen zonder aandacht voor cyberveiligheid, stellen experts. “Dat komt doordat die apparaten werden gezien als losse en kleine installaties”, zegt Bert Hubert, die energiebedrijven en overheid adviseert over digitale veiligheid. Hubert vindt dat we ze juist moeten zien als één grote generator, omdat ze per fabrikant gelijktijdig vanuit één digitale omgeving worden beheerd. De omvang is groot; er liggen zo veel zonnepanelen op Nederlandse daken dat ze op zonnige dagen twintig keer zoveel stroom leveren als de kerncentrale in Borssele. Ook het aantal (thuis)batterijen en laadpalen groeit snel.

Darkweb

Fabrikanten en installateurs gebruiken vaak eenvoudige standaardwachtwoorden en stellen geen extra beveiligingsstappen in, zoals tweefactor-authenticatie. Hierdoor kunnen hackers relatief eenvoudig toegang verschaffen, mede omdat gestolen wachtwoorden goedkoop verkrijgbaar zijn op het darkweb. Ralph Moonen van Secura deed in opdracht van de Rijksoverheid onderzoek naar zwakke punten in zonnestroomsystemen. Hij vindt dat er dringend nieuwe eisen moeten komen. “Ik heb nog geen portaal gezien dat echt veilig is”, aldus Moonen.

Het gaat een keer mis

De portalen van batterijen, laadpalen en warmtepompen hebben dezelfde zwakke punten als die voor zonnepanelen, zegt Moonen. “Al die apparaten zijn op afstand bestuurbaar en kunnen energie afnemen of leveren aan het net. Door de combinatie van al die systemen groeit de kans dat het een keer misgaat.” In Nederland heeft de zonnestroomsector afgesproken om bij de installatie van nieuwe omvormers voortaan een uniek en sterk wachtwoord in te stellen. En de Europese Unie heeft bepaald dat vanaf 2025 voor alle draadloze apparatuur, niet alleen in het energiesysteem, cybersecurityregels gelden. In 2027 worden die regels uitgebreid, met onder meer een meldplicht voor fabrikanten die een veiligheidsprobleem ontdekken.

Lees meer over de gevolgen van het te lang beknibbelen op cyberveiligheid.