NIS2 in de energiesector

Welke deelsectoren binnen scope vallen

Bijlage I is voor energie uitvoerig en dekt de hele keten. Binnen scope vallen onder meer:

• Elektriciteit: elektriciteitsbedrijven die leveren, distributienetbeheerders, transmissienetbeheerders, producenten, benoemde elektriciteitsmarktbeheerders, marktdeelnemers die balancering, aggregatie of vraagsturing leveren, en beheerders van laadpunten voor elektrische voertuigen.
• Olie: beheerders van olieleidingen, van productie, raffinage, verwerking, opslag en transport, en centrale voorraadentiteiten.
• Gas: leveranciers, distributie- en transmissienetbeheerders, opslagbeheerders, LNG-systeembeheerders, aardgasbedrijven, en beheerders van raffinage- en verwerkingsinstallaties.
• Stadsverwarming en -koeling: beheerders van stadsverwarmings- en stadskoelingssystemen.
• Waterstof: beheerders van productie, opslag en transport van waterstof.

De scope wordt per rechtspersoon bepaald. Grote geïntegreerde energiegroepen zitten vaak in meerdere deelsectoren van bijlage I en moeten zich soms in verschillende lidstaten apart registreren.

De grootste cyberrisico's in energie

Aanvallen op OT en SCADA

Besturingssystemen voor het net, SCADA, EMS en DMS zijn de kroonjuwelen. Een geslaagde inbraak kan leiden tot manipulatie van belasting, het schakelen van installaties, of verlies van zicht voor de operator. Eerdere incidenten in de sector laten zien dat gemotiveerde aanvallers van IT naar OT bewegen zodra segmentatie zwak is of een engineeringlaptop de grens over gaat.

Slimme netten en meters

Slimme meters, veldapparatuur en het bundelen van decentrale opwek vergroten het aanvalsoppervlak buiten de regelkamer. Integriteit van firmware, authenticatie van apparaten en beveiligde communicatie tellen op schaal. Wordt het centrale systeem achter een meteruitrol gekaapt, dan heeft dat gevolgen op netniveau.

De keten, en dan vooral OT-leveranciers

OT-leveranciers, engineeringbureaus en dienstverleners hebben doorgaans diepe toegang op afstand. Meerdere van de zwaarste openbaar gemaakte incidenten in energie begonnen bij een leverancier of engineeringpartij, niet bij het energiebedrijf zelf.

Statelijke actoren

Energie is een strategisch doelwit. Aan staten gelieerde groepen voeren langlopende campagnes tegen Europese energiebedrijven, met verkenning van besturingssystemen, gerichte phishing van engineers en operaties via de keten. Dreigingsinformatie delen via het nationale CSIRT, sector-ISAC's en EE-ISAC is een operationele maatregel, geen extraatje.

Fysiek en digitaal lopen door elkaar

Onderstations, leidingen en compressorstations kunnen worden verstoord door een combinatie van fysieke en digitale acties. NIS2 vult de CER-richtlijn over fysieke weerbaarheid aan, en van je wordt verwacht dat je die risico's samen afhandelt.

NIS2 naast de rest van de sectorregels

Voor energie is NIS2 de horizontale basis. Een aantal andere regelingen vult die in:

• Netcode over cybersecurity bij grensoverschrijdende elektriciteitsstromen. Vastgesteld onder verordening (EU) 2019/943. Dit is de operationele uitwerking van NIS2 voor elektriciteit, met risicobeoordeling, keten, classificatie van informatie en oefeningen.
• De CER-richtlijn over weerbaarheid van kritieke entiteiten. Richt zich op fysieke weerbaarheid. Veel energiebedrijven vallen onder zowel CER als NIS2 en doen er goed aan die samen te voegen.
• Aanbevelingen van het EECSP. Niet-bindende richtsnoeren van het Europese platform voor energie en cybersecurity, bruikbaar als ontwerpreferentie.
• Nationale netcodes en sectortoezichthouders. Lidstaten leggen daar eigen regels overheen, waarbij de nationale energietoezichthouder vaak de bevoegde of sectorautoriteit is.

Het praktische antwoord is één beveiligingsprogramma dat aan al die regimes voldoet, niet een project per regeling. Daar verdient een heldere koppeling tussen de raamwerken zich terug.

Een routekaart van 30 dagen, 90 dagen en 12 maanden

Eerste 30 dagen: helderheid

• Bevestig de scope per entiteit, inclusief activiteiten over de grens, en registreer bij de bevoegde autoriteiten.
• Breng per locatie de IT- en OT-systemen binnen scope in kaart, met een weging naar gevolgen voor net of levering.
• Koppel je verplichtingen uit NIS2, de netcode, CER en de nationale netcode aan één raamwerk van maatregelen.
• Wijs verantwoordelijke bestuurders aan en zet één stuurgroep op voor cyber en weerbaarheid samen.

Dag 30 tot 90: stabiliseren

• Publiceer beveiligingsbeleid voor IT en OT dat het bestuursorgaan heeft goedgekeurd.
• Pak de snelste winst in OT: bemiddelde toegang op afstand, meervoudige authenticatie voor engineers, en beperkt usb-gebruik.
• Doe een tafeloefening met een scenario uit je eigen sector, bijvoorbeeld ransomware op het EMS of een inbraak via een OT-leverancier.
• Geef het bestuursorgaan de verplichte training over cybersecurity.

Maand 4 tot 12: volhouden

• Bouw OT-monitoring uit: passief meekijken op het netwerk, ontdekken van assets, en koppeling met de SOC.
• Trek de ketenmaatregelen door naar OT-leveranciers, engineeringbureaus en dienstverleners, met clausules en periodieke beoordeling.
• Sluit je aan bij netwerken voor dreigingsinformatie, waaronder sector-ISAC's en de kanalen van het nationale CSIRT.
• Doe een interne audit tegen artikel 21 en de netcode en dicht de bevindingen voordat het externe toezicht langskomt.

Veelgestelde vragen