WRR waarschuwt voor digitale afhankelijkheid

Om het probleem uit te leggen dat een grote digitale ontwrichting in Nederland kan veroorzaken maakt Corien Prins (58) graag de vergelijking met de brandweer. „Op het moment dat er hier brand uitbreekt, dan bellen we 112. Dan staat de brandweer voor deur, die mag naar binnen en gaat de brand blussen”, zegt ze in haar kantoor bij de Wetenschappelijke Raad voor het Regeringsbeleid (WRR) in Den Haag. Maar in de digitale wereld werkt dat heel anders, legt de WRR-voorzitter uit. „Toen Maersk [containeroverslagbedrijf, red.] getroffen werd door een digitale brand besloot de gemeente Rotterdam dat er een risico was voor de openbare orde. Er werden mensen richting Maersk gestuurd voor onderzoek, maar de deur bleef dicht. De overheid heeft onvoldoende bevoegdheden om op te treden, zoals ze dat wel kan in de fysieke wereld”. zegt Prins.

Het is een van de belangrijkste waarschuwingen in het WRR-rapport Voorbereiden op digitale ontwrichting dat maandag wordt gepresenteerd.

Containeroverslagbedrijf Maersk was in juni 2017 een van de tientallen bedrijven wereldwijd die getroffen werden door een aanval met zogenaamde gijzelsoftware. Op de schermen van geïnfecteerde computers verscheen een tekst waarin 300 dollar in bitcoins werd geëist. Zolang er niet werd betaald, functioneerden de computers niet. Het gevolg was dat een deel van het containertransport in Rotterdam stil kwam te liggen, er files van vrachtwagens ontstonden en fruit in containers uiteindelijk begon te rotten.

Van recenter datum is het langdurig uitvallen van noodnummer 112. De hulpdiensten hielden het niet voor mogelijk dat het noodnummer helemaal plat zou gaan en hadden daarom nooit op dit scenario geoefend. Eind juni gebeurde het toch. Alle digitale terugvalopties bij KPN faalden en er was geen alternatieve telecomprovider om het noodnummer bereikbaar te houden. Ambulances arriveerden op veel plekken aanzienlijk later dan normaal. „Toen was opeens weer duidelijk wat een grote digitale storing voor gevolgen kan hebben”, zegt Prins.

Lees ook dit twistgesprek: Digitale afhankelijkheid is wel/niet gevaarlijk

Als je de incidenten op een rij zet, is het dan bijna verbazingwekkend dat het nog zo vaak goed gaat?

„Wij brengen dit rapport op eigen initiatief uit, omdat we ons ernstige zorgen maken. Uit incidenten blijkt dat het al flink mis is gegaan. En lang niet alle incidenten komen in de publiciteit. Naarmate de digitalisering vordert en analoge terugvalopties verdwijnen, nemen ook de risico’s toe. Een rapport van de Rekenkamer beschreef onlangs dat onze waterkeringen kwetsbaar zijn. Als het misgaat, gaat het ook echt mis.”

In theorie zou er een overstroming kunnen ontstaan doordat er softwarematig iets misgaat of door een digitale aanval vanuit het buitenland?

Prins geeft het woord aan Erik Schrijvers, senior stafmedewerker bij de WRR en projectcoördinator van het rapport: „De Rekenkamer zegt niet precies om welke waterwerken het gaat. Maar je kunt er binnendringen, dat is een probleem. Het grotere punt van ons rapport is dat we er niet komen met een betere beveiliging, maar dat je je serieus moet voorbereiden op situaties waarin het toch mis gaat. Dan staan we nu te vaak met lege handen. Ook hier is weer de reflex: we gaan het wat beter beveiligen en dan is het risico weg.”

Dus sluizen moeten weer handmatig te bedienen zijn?

Schrijvers: „Daar wordt nu aan gewerkt, maar het kan ook om een alternatief digitaal systeem gaan waarop kan worden teruggevallen. Die zijn er nu ook al, maar niet overal.”

Is er een cruciaal bedrijf in Nederland dat al zo ver is gedigitaliseerd dat er geen terugvalopties meer zijn?

Prins: „Ja, er is één bedrijf waar Nederland erg van afhankelijk is, maar dat ga ik niet noemen. Dat is zo ver gedigitaliseerd dat analoog niet meer kan, maar een volledig alternatief digitaal systeem is vanwege de omvang ook niet mogelijk. Dat bedrijf beraadt zich nu op de vraag welke kerntaken het bij een digitale crisis wil kunnen voortzetten.”

U stelt voor dat de overheid een ‘cyberafhankelijkheidsbeeld’ gaat opstellen. Wat is dat?

„Nu is vaak niet bekend welke bedrijven of instanties digitaal met elkaar verbonden zijn en daarmee van invloed zijn op belangrijke diensten. Dat bleek wel bij de hack van Diginotar in 2011. Een klein bedrijf dat niet tot de vitale infrastructuur [door de overheid aangewezen essentiële processen red.] werd gerekend. Toen de beveiligingscertificaten die Diginotar uitgaf niet meer betrouwbaar waren, konden veel digitale diensten in Nederland niet meer veilig worden gebruikt. Denk aan een overheidswebsite als DigiD. Door overheidsingrijpen en coulance van grote Amerikaanse internetondernemingen is Nederland destijds ontsnapt aan een digitale ramp. Al die afhankelijkheidsrelaties moeten goed in kaart worden gebracht, zodat snel duidelijk is wat de gevolgen van een storing ergens in de keten kunnen zijn.”

U zegt ook dat het onderscheid tussen bedrijven en instellingen die wel en niet tot de vitale infrastructuur worden gerekend steeds minder goed is te maken.

„De overheid moet zich afvragen of het onderscheid nog houdbaar is, nu allerlei instanties via digitalisering steeds meer verknoopt zijn. Bedrijven buiten de vitale sector kunnen voor grote problemen binnen de vitale sector zorgen. Maersk behoorde tot een deel van de Rotterdamse haven dat niet tot de vitale infrastructuur werd gerekend. Dat betekent dat ze daar bij een calamiteit niet eens de telefoon hoeven op te nemen als ze door de overheid worden gebeld. ”

U pleit voor een ‘helder afgebakende wettelijke bevoegdheid voor digitale hulptroepen’. Wat bedoelt u daarmee?

„Het is nu vaak niet duidelijk wat de politie, het Nationaal Cyber Security Center, of een andere dienst precies mogen doen bij een digitale calamiteit. Hierbij zijn de verschillen met het blussen van een gewone brand groot. Als de overheid toegang krijgt tot de digitale huishouding van een bedrijf stuit die op een schat aan privacygevoelige informatie. Dat nu niet precies is vastgelegd aan welke voorwaarden de digitale hulptroepen zich moeten houden wat betreft die gegevens, kan ertoe leiden dat bedrijven zoals Maersk de overheid bij een crisis liever buiten de deur houden.”

Wat kan de burger doen om zich voor te bereiden op een digitale calamiteit?

„Contant geld aanhouden lijkt me een goed idee. Dat doe ik zelf ook. Ik woon in een klein Brabants dorp waar alle banken zijn verdwenen. Als ik niet meer kan pinnen of met mijn bankpas kan betalen dan heb ik een probleem. Mensen die medicijnen gebruiken zouden zelf een lijstje bij kunnen houden met wat ze precies slikken. Zodat ze dat weten wanneer een elektronisch patiëntendossier niet meer functioneert. Maar het reikt verder dan dat digitale dossier. In Nederland is PostNL de enige grote distributeur van medicijnen. Als het daar misgaat, ontstaat er dus ook een probleem.”