Agentschap Telecom gaat toezicht houden op digitale beveiliging zonneweides

Het Agentschap Telecom waarschuwt dat de energietransitie het Nederlandse stroomnetwerk kwetsbaar maakt voor hackers. Het AT gaat daarom toezicht houden op grotere opwekkers van energie, zoals zonneweides. Ook kleine opwekkers vormen echter een risico.

Het Agentschap Telecom houdt al toezicht op aanbieders van essentiële diensten in de energiesector en digitale dienstverlening, via de Wet Beveiliging Netwerk- en Informatiesystemen. De WBNI zorgt ervoor dat organisaties in die sectoren moeten voldoen aan maatregelen omtrent cybersecurity. Tot nu toe vallen netbeheerders en internetknooppunten onder die wet, maar dit jaar worden energieproducenten aangewezen als 'aanbieder van een essentiële dienst', zodat ze ook onder het toezicht vallen. Het agentschap schrijft dat in zijn rapport Agentschap Telecom in de energietransitie.

Kleine leveranciers vallen buiten toezicht

Kleine energieleveranciers vallen onder een drempel en zijn uitgezonderd van de WNBI. Daarmee vallen ze niet onder het toezicht van het AT. Volgens het rapport zijn er bij dergelijke kleine leveranciers ook risico's, omdat hun infrastructuur op gelijksoortige manier is aangesloten of overkoepelend wordt beheerd. Het AT stelt dat er bij de verdere uitwerking van de energietransitie meer lokale energie-initiatieven ontstaan, wat het risico op cyberaanvallen en daarmee de ontregeling van het energienetwerk vergroot. Volgens het AT ontbreekt het momenteel aan een nationaal erkende partij die advies geeft over cyberveiligheid voor energie-infrastructuur.

Laadpalen vormen risico

Volgens het AT moet de overheid ook eisen stellen aan de digitale veiligheid van laadpaalinfrastructuur. Dat zou bijvoorbeeld moeten gebeuren bij het verlenen van subsidies. In de komende tien jaar moeten er 1,7 miljoen laadpalen verschijnen in Nederland. Onveilige laadpalen vormen een risico voor de netstabiliteit, waarschuwt het agentschap.

Het agentschap ziet een mogelijke poortwachtersrol voor zichzelf weggelegd, waarin het een 'formele check' uitvoert van 'systemen en marktmodellen' op cyberveiligheid. Het AT vraagt zich wel af of het systeemontwerp onderscheidend is voor de veiligheid, of dat dit achteraf bij de aanbesteding en uitvoering 'vrijwel altijd alsnog goed is in te regelen'.

Het AT waarschuwt dat het energienet overbelast kan worden door hackers als die bijvoorbeeld massaal apparatuur gelijktijdig in- of uitschakelen. Ook het gebruik van kunstmatige intelligentie voor het aansturen en bewaken van de energiebalans is niet zonder risico's.

Kwaadwillenden zouden zich kunnen richten op slimme software die aan de hand van het energieaanbod kijkt of een elektrische auto moet worden opgeladen. "Als zo'n netwerk wordt gehackt en auto's ineens allemaal tegelijk om stroom vragen, dan bestaat het risico dat in heel die regio het licht uitgaat", zegt Jasper Nagtegaal, afdelingshoofd digitale weerbaarheid bij AT, tegen het FD.

Angeline van Dijk, directeur van het AT, zegt in het FD dat het nog niet duidelijk is hoe het agentschap precies toezicht wil houden. Daarover gaat de instantie in gesprek met stroomproducenten en grotere afnemers.

Reacties (34)

[michielRB]

Ik begrijp werkelijk niet waarom er uberhaupt zonneweides gebouwd worden. Zolang niet alle daken van huizen en bedrijfspanden (boeren schuren, gebouwen op bedrijven- en industrieterreinen etc) vol liggen met panelen, is het bouwen van zonneweides IMO een verkwisting van ruimte.

[migjes]

ben zeker geen voorstanders van zonneweides.
als je het zo ook leest, maar veel zonneweides, zijn daken met nog een stuk wei er bij.
en dan vind ik het minder erg, dak vol maar nog ruimte op de hoofd aansluiting, dan wei er bij, no prob.
het is geen zwart-wit, maar vele gebieden grijs.
(de term zonneweides word vaker gebruik voor veel meer projecten, vaak vallend onder de postcoderoos regeling.)

ander voordeel bij weides is je hebt vaak meer ruimte.
hoe groter het project, de lager de kosten per Wp. (dit kan in de extreme 1/3 van de kosten bezuinigen.)
het is dan: "go big or go home".
(je hoofd aansluiting is dan vaak de grens, hoever kan je netbeheerder gaan op je locatie is dan de grens.)

eigenlijk wil ik ook liever de daken vol, maar een zwabber beleid van de regering maakt het gewoon risico vol voor vele mensen. (gaat salderen door in 2023 of schaffen ze het af. en wat met het einde van de postcoderoosmodel?)
en dan haken veel dak eigenaren af.
en elk dak is anders, dus alles moet weer opnieuw uitgerekend worden, geoffereerd etc etc..
kost allemaal extra, terwijl een zonneweide standaard blokken zijn die je snel aan elkaar klikt en goedkoop zijn en amper gelimiteerd door de ruimte.

[michielRB]

maar een zwabber beleid van de regering maakt het gewoon risico vol voor vele mensen.

Helemaal eens. In de kop van NH ken ik een boer die zijn dak van zijn bedijfspand/schuur heeft volgelegd met panelen. Blijkt dat Liander de boel niet aankan. Dus voordat hij stroom kan leveren, moet hij wachten tot er een dikkere kabel wordt gelegd. Ondertussen roept de gemeente nog heel hard: '...mensen leg je daken vol...' en worden er daadwerkelijk meerdere zonneweides aangelegd op 1m boven maaiveld: dus volledige verkwisting van ruimte.

[migjes]

tja van mij mag liander(netbeheerders)| wel wat extra centen krijgen, al is het maar voor het updaten van het netwerk.
dit is hard nodig ook zonder energie transitie of andere smoesjes.
een goed energie netwerk is belangrijk voor een land zoals Nederland, meer reden heb ik niet nodig.

zonneweides, hebben een probleem en worden misbruikt als smoesje.
dat is een beetje jammer.
(en het erge nog is dat het misschien zelfs expres word mis gemanaged, onder invloed van allerlei lobby groepen.
sommige regels er voor lijken wel zo gemaakt dat het wel moet falen zo dat ze een smoesje hebben.)

[bvdbos]

Omdat veel daken (met name platte daken van bedrijfsgebouwen) niet berekend zijn op het dragen van zonnepanelen. Daarvoor moet dan de constructie aangepast worden. En je kan eigenaren niet verplichten panelen te leggen.

[Dick99999]

Andere extra kosten voor daken met panelen blijken verzekeringsprmies te zijn las ik.

[Anoniem: 428562]

Een verplichte audit door een externe partij zou voldoende moeten zijn, als een logge kudde ambtenaren dit gaat doen krijg je een organisatie met enorme overhead.

[Juggernaut1987]

En enorme kosten. Mensen vergeten snel dat iedere nieuwe wet/regel voor meer kosten zorgt die op de gemeenschap verhaalt worden. Hoe slanker dit georganiseerd kan worden hoe beter.

[GENETX]

Het grote probleem hier is dat je actief moet toezien. Het internet veranderd constant, en nieuwe vulnerabilities worden ontdekt. Een check aan de voorkant volstaat simpelweg niet en zegt niks over het updatebeleid en onderhoud dat daadwerkelijk zal worden gedaan.

[Juggernaut1987]

Precies, doe dat met een externe audit, niet met een log overheidsorgaan of een andere organisatie die op die manier is ingericht. Die manier van werken is log, duur en je loopt altijd achter. Een klein team externe auditors zijn dan een veel beter alternatief.

[kodak]

Door niet te testen is het risico dat de kosten in schade gaan zitten, niet meer te overzien zijn en op kosten van veel meer personen en bedrijven komen dan wie hier zo veel mogelijk winst als eigenaar, producenten en installateurs willen maken.

Aangezien het realistisch is dat de eigenaren, producenten en installateurs dan niet voor de kosten willen of kunnen opdraaien is het dus redelijker dat ze als verantwoordelijken vooraf kosten maken. Kosten die dan nog wel te overzien zijn en ook nog ten goede komen aan een economie waarin het winst is, in plaats van investering om te overleven.

[Juggernaut1987]

Niemand zegt dat je niet moet testen. Je moet het testen laten doen door een kleine externe partij die bij blijft bij alle vooruitgang. Geen log overheidsorgaan of andere organisatie die top down is ingericht.

[kodak]

In je reactie heb je het over enorme kosten die door wetgeving komen, niet dat het komt door controle door de overheid. Ik geef je gelijk dat als de overheid alles moet controleren dat enorme kosten geeft, maar dat is niet zomaar minder als je het aan de markt over laat die uit is op winstmaximalisatie.

Het lijkt me hoe dan ook nuttiger dat er controle komt, in plaats van steeds maar liever klagen dat als iemand dat doet het nadelen heeft. Want ondertussen lijkt het de bedoeling om die controles niet te hebben en er geen kosten en tijd in te investeren. Het risico neemt zo niet af, eerder toe. En de tijd en kosten om dat recht te zetten lijken ondertussen niet af te nemen.

[caipirinha]

Mijn ervaring is dat het juist een stuk inefficiënter en ook een stuk minder effectiever wordt als je de markt het zelf laat regelen. De markt regelt namelijk helemaal niets op dit gebied als er geen stok achter de deur staat. Agentschap telecom gaat die stok zijn en het werd een keer tijd ook.

[iladriel]

Valt bijvoorbeeld een hoster van een cloud control panel van consumenten panelen wel of niet onder toezicht? Zelf leveren ze geen stroom, de individuele klanten vallen onder de drempel, maar als de hoster gehackt wordt, dan kan een groot genoeg energie vermogen gemanipuleerd worden om een risico te vormen.

[jvanderkroon]

Via de cloud omgeving kan je alleen data uitlezen. Je kan de omvormer er niet mee uitzetten of anders beïnvloedden. Vaak is de wifi module ook een losse print. Als dat printje crashed gaat je omvormer vrolijk verder.

[kodak]

Waarop baseer je deze stelling?

Het probleem is namelijk dat er onduidelijkheid is hoe veilig het allemaal is, daar valt ook communicatie met clouddiensten onder. Als het de bedoeling is dat een clouddienst alleen kan lezen wil dat niet zeggen dat het in de praktijk ook zo gemaakt is dat het verder niets kan.

Daarbij is het onredelijk om te stellen dat clouddiensten alleen maar uitlezen. Er zijn veel verschillende soorten clouddiensten, die net zo goed gemaakt mogen en kunnen zijn om vanaf het internet beheer te doen, zoals software updates.

Aannemen dat het wel mee zal vallen als er wel iets mis gaat is ook niet redelijk. Wat er mis kan gaan hangt namelijk niet alleen af van wat de bedoeling van de ontwikkelaar is, maar wat er in de praktijk kan gebeuren.

[jvanderkroon]

Dat baseer ik op ervaring met mijn eigen omvormer en die van bekenden.

Ze krijgen van de omvormer alleen de live en totalen mee en die worden naar een cloud gepusht.
Via de web interface van de omvormer kan je alleen de wifi credentials instellen en heb je een optie om een firmware update te doen. Voor de firmware update moet je zelf eerst het bestand downloaden bij de leverancier. Geen automatische update dus.

Dit gaat dan op Omnik en Goodwe omvormers voor consumenten.

[Kenhas]

Voor de firmware update moet je zelf eerst het bestand downloaden bij de leverancier

Wat dus een handeling is die door een mens moet gebeuren en dus een risico met zich meebrengt.

Nog maar een paar weken geleden dat er wereldwijde overlast is bezorgd door een "gehackte" update

[kodak]

Bij beveiliging gaat het om veel meer dan wat je ziet. Het gaat eerder juist om wat je niet te zien krijgt of niet lukt om op te letten, waar de risico's door bestaan.

[Proton_]

Van Goodwe weet ik dat die op afstand een firmware update kan krijgen en dat hij met een enkel UDP packet uitgezet kan worden.
Achter een NAT firewall zal dat laatste niet gebeuren, maar met het eerste kan je al vanuit China alle Goodwe's uitzetten (behalve de mijne natuurlijk )

Zie ook GoodWe inverter lokaal uitlezen (USB / WiFi) en GoodWe GW3600 SSID broadcast uitzetten

[pimNH]

Kan je ook niet de firmware updaten via zo'n cloud omgeving? Dan zou er malafide firmware geïnstalleerd kunnen worden die dit wel doet..

[t link]

Er is altijd een risico, ook hier. in theorie kan je de omvormer wel beinvloeden. dan kan de wifi modulle wel een losse print zijn, maar als die communiceert met de omvormer kan je vanaf die modulen mogelijk weer wel de firmware van de omvormer beinvloeden.

[fruitbakje]

De afgelopen jaren is Huawei een grote leverancier geweest van omvormers bij zonneparken op land maar ook op (commerciële) daken. We grapten al een beetje dat Huawei straks maar op 1 knop hoeft te drukken of zeg 20% van de energievoorziening in Nederland valt opeens weg, waardoor grote delen van het land opeens een blackout hebben.

[DaRealRenzel]

Dat geldt natuurlijk voor elke Cloud-Connected omvormer. Nagenoeg allemaal hebben ze naast een data-upload-faciliteit ook een Firmware Update faciliteit, dus het is een fluitje van een cent voor de fabrikant om er firmware naar toe te zetten die kwaadaardige acties toestaat.

[jeroen3]

In diezelfde categorie kan Enphase ook wereldwijd al hun omvormers uitschakelen of anders instellen.

[RonnieKo]

De wens van netwerkbeheerders voor het energie net is vooral het koppelen van diverse apparaten voor opwekking, opslag en afname. Daarmee willen ze in de toekomst (nog beter) inspelen op vraag en aanbod. Het zal een heel complex samenspel gaan worden van alle apparaten. Een interessante ontwikkeling.

Het koppelen van veel apparatuur van diverse fabrikanten via open netwerken (zoals internet) of netwerken met toegang tot open netwerken geeft altijd een risico. Kwaadwillende zullen altijd op zoek gaan naar de zwakste plek. Of dat nu een omvormer, laadpaal, aangesloten auto of de software die aanstuurt is. Of het helemaal te voorkomen is, is de vraag. In de toekomst zullen vast ook wel "bedieningsproblemen" of "instellingsproblemen " plaatsvinden waardoor een noodsituatie ontstaat. Het blijft boven alles mensenwerk. Mogelijk wordt de huidige stroomvoorziening juist wat kwetsbaarder dan nu in Nederland het geval is.

[Reactie gewijzigd door RonnieKo op 24 juli 2024 23:25]

[michielRB]

Helemaal eens dat smartgrids bere interessante ontwikkelingen zijn. Ik volg zelf de SIG van de LinuxFoundation voor microgrids: https://www.lfenergy.org/

[Skit3000]

Een paar jaar geleden vond ik een lek in Solarman waarbij ik van elk aangemeld paneel onder andere de contactgegevens en het type omvormer kon achterhalen. Volgens eigen zeggen registreren zij de zonnestroom van meer dan een miljoen systemen wereldwijd. Natuurlijk kan je via een loggingsysteem niet zomaar malware installeren op de omvormers zelf, maar als je een miljoen mensen een mail stuurt dat ze "om 8:00 uur morgenochtend vanwege een update" de stekker een uur uit het stopcontact moeten laten scheelt dat heel veel opgewekte stroom die niet terug geleverd wordt aan het net.

Dat laatste is te automatiseren als de software op de omvormers zelf niet goed in elkaar zit. Mijn eigen omvormer kon bijvoorbeeld softwarematig buiten werking worden gesteld door het (via een GET request waarbij geen authenticatie nodig was) aanroepen van een specifieke lokale URL (zeg http://10.0.0.159/PowerOff). Pas na het uit- en weer inschakelen van de omvormer werd de levering aan het net opnieuw gestart, wat overigens elke nacht vanzelf gebeurd zodra de zon onder gaat en de volgende dag weer op. Een aanvaller had grootschalig misbruik kunnen maken door aan elke eigenaar van dit type omvormer een mail te sturen met daarin een lading <img> tags die alle mogelijke lokale IP-adressen langs lopen in de hoop dat zo veel mogelijk mensen deze mail op hun thuisnetwerk lezen en zo ongemerkt hun omvormer (tijdelijk) uitschakelen.

Nadat ik het heb gemeld heeft mijn omvormer van de fabrikant een firmware-update gekregen. Solarman heeft gezorgd dat contactgegevens van andere zonnepaneeleigenaren niet meer op te vragen zijn.

[OxWax]

en geen bugbounty gekregen?

[Skit3000]

Ik ben allang blij dat de makers van Chinese meuk inzagen dat er iets mis was met hun product en daar wat aan wilden doen.

[PPie]

Dit zou voor elke IoT moeten gebeuren.
Ook schakelen van gebruikers bij eindgebruikers kan de boel verzieken, zoals boilers, verwarming ketels of zoiets als een floodlight.

[Klabotn]

Ik heb het hele iot gebeuren niet begrepen, komt er enkel op neer dat je vrijwillig je data naar leverancier stuurt...
En je bent gevoeliger aan invloeden van buitenaf voor basis functionaliteit van toestellen, en kost 5 keer meer ...

Maar ondertussen 'boe facebook' roepen omdat ze een gratis service aanbieden met persoonlijke ads...

[michielRB]

Dat.... Ik ben benieuwd wanneer de eerste ransomeware voor bijvoorbeeld je thermostaat komt. Betaal x bitcoin, pas dan gaat de temp weer lager dan 40 graden.