Brussel pakt cyberrisico’s zonne-omvormers aan

Brussel trekt de teugels aan rond de digitale veiligheid van zonne-energie-installaties. Met de herziening van de Cybersecurity Act krijgt de Europese Commissie voor het eerst de bevoegdheid om cyberrisico’s in de zonne-energiesector te laten onderzoeken én lidstaten te verplichten maatregelen te nemen. Aanleiding is een dreigingsbeeld waarin één gerichte aanval al gigawatts aan opwekkingscapaciteit zou kunnen platleggen.

Minder afhankelijk van risicovolle leveranciers

De herziene Cybersecurity Act (CSA 2) moet EU-lidstaten verplichten om de samenwerking te beëindigen met ICT-leveranciers uit landen buiten de EU die als een hoog cybersecurityrisico gelden. De wet richt zich op sectoren die tot de vitale infrastructuur worden gerekend: telecom, energie, cloud, ruimtevaart en zorg. Doel is de afhankelijkheid van kwetsbare toeleveringsketens in die sectoren terug te dringen.

Specifiek voor de zonne-energiesector loopt momenteel een risico- en impactanalyse van de Commissie, waarvan de resultaten dit jaar worden verwacht. Ook het Europese cybersecurityagentschap ENISA krijgt een grotere rol: het moet lidstaten helpen dreigingen te herkennen, vroegtijdig te waarschuwen voor incidenten en – samen met Europol – bedrijven bijstaan bij het herstellen van ransomware-aanvallen.

Kleine omvormers, groot gezamenlijk risico

De aanleiding voor de wetswijziging komt mede uit een rapport van SolarPower Europe en DNV, getiteld ‘Solutions for PV Cyber Risks to Grid Stability’. Daarin wordt gewaarschuwd dat het gericht compromitteren van zo’n 3 gigawatt aan opwekkingscapaciteit al genoeg kan zijn om het Europese elektriciteitsnet te destabiliseren.

Het onderliggende probleem: een enkele huishoudelijke zonne-installatie vormt op zichzelf geen risico, maar de omvormers van meer dan twaalf fabrikanten sturen inmiddels gezamenlijk ruimschoots meer dan 3 gigawatt aan vermogen aan. Worden die op afstand aangestuurd – bijvoorbeeld via een kwetsbaarheid in de software-update-verbinding – dan ontstaat feitelijk een ongewenste ‘virtuele centrale’ die het net kan ontregelen.

Van de 14 onderzochte risicogebieden vallen er 3 in de hoogste categorie

Het rapport beoordeelde 14 risicogebieden binnen de zonne-energieketen. Drie daarvan werden als kritiek risico bestempeld, zes als hoog risico en vijf als gemiddeld risico. Om terug te keren naar een acceptabel risiconiveau adviseren de onderzoekers twee dingen: bestaande cybersecuritywetgeving toespitsen op de specifieke behoeften van de zonne-energiesector, en nieuwe regels die ervoor zorgen dat de besturing van omvormers binnen de EU blijft – of binnen landen met een vergelijkbaar beveiligingsniveau.

Vanuit de sector klinkt bijval. SolarPower Europe pleit al langer voor verplichte, EU-brede cybersecuritystandaarden voor alle digitale onderdelen in de energiemarkt, en voor beperking van externe toegang tot Europese pv-systemen vanuit landen buiten de EU.

De nieuwe wetgeving moet nog door het Europees Parlement en de Raad worden goedgekeurd.

Gebaseerd op berichtgeving van Solar & Storage Magazine.