De Inspectie Leefomgeving en Transport (ILT) start een onderzoek naar hoe het gesteld is met de veiligheid van de digitale omgeving van Waternet. Dit  is gericht op het voor drinkwater relevante deel van Waternet. Daarbij wacht de inspectiedienst niet op de resultaten van een extern onderzoek dat het Amsterdamse watercyclusbedrijf zelf laat houden.

Dat schrijft minister Cora van Nieuwenhuizen van Infrastructuur en Waterstaat in een brief over het versterken van de cyberweerbaarheid in de watersector die zij naar de Tweede Kamer stuurde. De minister reageert hiermee op vragen die het Kamerlid Corrie van Brenk (50PLUS) in september stelde. Het onderzoek van de Inspectie Leefomgeving en Transport houdt verband met twee artikelen van het journalistieke onderzoeksplatform Follow the Money (FTM) over de digitale beveiliging bij Waternet.

Digitale beveiliging gehekeld door FTM
Deze beveiliging lekt volgens het eerste artikel van 19 september aan alle kanten. Zo kunnen medewerkers gegevens downloaden op eigen laptops en telefoons, worden kritieke kwetsbaarheden genegeerd en is de netwerkarchitectuur slecht. In een reactie stelde Waternet dat de berichtgeving grotendeels gebaseerd is op verouderde en/of onjuiste informatie. Veel van de genoemde veiligheidsproblemen zijn verholpen en er wordt hard gewerkt om de verdere knelpunten aan te pakken, werd opgemerkt. Om dat te laten valideren, kondigde Waternet aan een externe partij in te schakelen voor een onderzoek naar de bevindingen van FTM.

In het tweede artikel dat drie dagen geleden is gepubliceerd, schrijft FTM dat Waternet-directeur Roelof Kruize en dijkgraaf Gerhard van den Top (Waterschap Amstel, Gooi en Vecht, samen met de gemeente Amsterdam eigenaar van Waternet) een vernietigend rapport over de resultaten van een penetratietest hebben verzwegen voor andere bestuurders. Onderzoekers van het gespecialiseerde bureau Hoffmann konden bij deze test gemakkelijk de computersystemen binnendringen. Ook de ILT is daarover niet geïnformeerd en dat is reden om zelf een onderzoek te starten, blijkt uit de Kamerbrief van Van Nieuwenhuizen.

“Naar aanleiding van de eerdere publicatie over Waternet door FTM heeft de ILT als toezichthouder op het drinkwaterbedrijf in het kader van de Wbni (Wet beveiliging netwerk- en informatiesystemen, red.) op 27 oktober jl. een gesprek met de directie van Waternet gevoerd. Op 2 november jl. heeft FTM een nieuw artikel gepubliceerd waarin wordt gesteld dat Waternet bewust een kritisch extern onderzoek (een zogeheten pen-test) zou hebben achtergehouden.

De ILT was voorafgaand aan de publicatie van FTM niet op de hoogte van de inhoud van de rapportage over deze test. De conclusies van de pen-test en het feit dat Waternet de ILT niet eerder heeft geïnformeerd baren de ILT zorgen. Daarom zal de ILT de resultaten van het door Waternet ingestelde onderzoek - dat 2 tot 3 weken is vertraagd - niet afwachten en zelf een onderzoek instellen”, aldus de minister.

‘Drinkwaterdeel’ Waternet onderzocht
Het onderzoek richt zich op het voor drinkwater relevante deel van Waternet en de naleving van de Wbni, de governance van de organisatie en de leveringszekerheid van drinkwater. ILT heeft alleen daarvoor toezichts- en handhavingstaken. Van Nieuwenhuizen meldt dat zij geen specifieke bevoegdheden op het vlak van cybersecurity heeft ten opzichte van de decentrale overheden in het waterbeheer.

De bewindsvrouw gaat nog in op de vraag van Van Brenk of er door Waternet onacceptabele beveiligingsrisico’s worden genomen, waardoor de drinkwaterlevering in gevaar zou kunnen komen. “De ILT geeft aan op dit moment geen reden te zien om aan te nemen dat de leveringszekerheid van het drinkwater bij Waternet als gevolg van cyberrisico’s in het geding is. De verwachting van de ILT is dat begin 2021 een completer beeld beschikbaar is. Hierbij zal de ILT ook het externe auditrapport over Waternet betrekken.”

Ook onderzoek bij andere organisaties
Wat betreft andere drinkwaterbedrijven zijn er volgens de Inspectie Leefomgeving en Transport geen concrete signalen dat zij niet zouden voldoen aan hun wettelijke verplichtingen. “Als dit wel het geval zou zijn, heeft de ILT de bevoegdheid om in te grijpen.”

Van Nieuwenhuizen heeft de ILT verzocht om dit jaar bij alle aanbieders van essentiële diensten op het terrein van Infrastructuur en Waterstaat, inclusief Waternet, onderzoek te doen naar het inzicht in bekende kwetsbaarheden en de borging en werking van het patchmanagement (aanpak om kwetsbaarheden te herstellen). Dit gebeurt vanwege het belang van het tijdig opvolgen van beveiligingsadviezen.


UPDATE 10 NOVEMBER

Minister Van Nieuwenhuizen heeft op 10 november vragen van het Kamerlid Van Brenk schriftelijk beantwoord. Hierin wordt nog wat uitgebreider op de kwestie ingegaan. De minister schrijft dat de ILT op 2 november de rapportage van de pen-test heeft opgevraagd en een dag later alsnog heeft gekregen. Ook laat ze weten: “Het is geen gangbare praktijk dat aanbieders van essentiële diensten de uitkomsten van vertrouwelijke pen-testen periodiek ongevraagd aan toezichthouders toesturen. Het was echter, gegeven de actuele omstandigheden, passend geweest als de ILT tijdig was ingelicht door Waternet, ook al was er op dat moment geen wettelijke verplichting of concreet verzoek vanuit de ILT om dat te doen.”

Op inhoudelijke vragen over de beveliging en mogelijke interventies gaat Van Nieuwenhuizen niet in. Daarvoor moeten volgens haar de resultaten van zowel het lopende onderzoek van de ILT als het extern uitgevoerde onderzoek in opdracht van Waternet worden afgewacht. Hieronder is een link toegevoegd naar deze beantwoording van Kamervragen.

 

MEER INFORMATIE
Tweede Kamerbrief minister IenW (4 november)
H2O-bericht over extern onderzoek door Waternet
Artikel FTM op 2 november (betaald)
Beantwoording Kamervragen door minister (10 november)

Voor het reageren op onze artikelen hebben we enkele richtlijnen. Klik hier om deze te bekijken.

Het kan soms even duren voor je reactie online komt. We controleren ze namelijk eerst even.

Typ uw reactie hier...
Cancel
You are a guest ( Sign Up ? )
or post as a guest
Loading comment... The comment will be refreshed after 00:00.

Interessant artikel? Laat uw reactie achter.

(advertentie)

Laatste reacties op onze artikelen

@Hans Middendorp AWPHans, het water van kleinere buien wordt dan ook vast gehouden. Ik vind dit een mooie ingreep, die meteen ook mogelijkheden biedt om de kleine waterkringloop te herstellen. Mits dat er naast de slootjes meerjarig oogstbaar/eetbaar groen wordt geplaatst, dat helpt dan weer met verdamping waardoor de temperatuur daalt juist door de verdamping. De regentrigger bij herstel van de kleine waterkringloop, waardoor die buien zich niet meer samenpakken maar gelijkmatig verdeelt uitregenen ook achter de veluwe op de hoge zandgronden. Oogstbaar is b.v. voederbomen als veevoer.
Mooie studie en uitkomsten die goed passen met wat je zou verwachten. Maar... er is gerekend met hoosbuien van 60 mm in één uur. Dan snap ik dat afstroming over het oppervlak plaats vindt. Maar negentig procent van de buien is minder dan 10 of 20 mm en dan is er gewoon inzijging van hemelwater in de bodem en helemaal geen oppervlakkige afstroming. Hoosbuien komen weliswaar steeds vaker voor, maar zijn toch vooral zeer plaatselijk. Het kan dus jaren duren voor een bepaald perceel door een hoosbui wordt getroffen. Toch?
Bedankt voor deze aanvullende opinie op ons artikel. Wij hebben als auteurs vanuit TAUW en HDSR uw opinie met interesse gelezen en willen graag een reactie geven.
De aanleiding van het onderzoek waren klachten die HDSR ontving van omwonenden over overstortlocaties. Naast een feitelijke weergave van de situatie van de watergang en de ecologische toestand, was de beleefwaarde van omwonenden een belangrijke component in het onderzoek. We hebben er voor gekozen het onderzoek en artikel verder neutraal te houden en onze mening als onderzoekers en initiator van het onderzoek buiten beschouwing te laten.
Natuurlijk zijn wij het met u eens dat doekjes en vuil in het water onwenselijk zijn. In het uitgebreidere online artikel gaan we wel in op de nodige verbeterpunten om effecten die nu buiten het onderzoek zijn gevallen, beter in beeld te krijgen. Daaronder benoemen wij ook een manier om de hoeveelheid doekjes en vuil in het water beter te monitoren.
Uw grootste zorg over dat we geen heftige zomerse onweersbui in het onderzoek meenemen, erkennen wij. De zomer van 2021 was niet extreem warm, waardoor de zuurstofloosheid na een overstort niet direct heeft geleid tot vissterfte. Hierdoor lijkt het alsof het effect beperkt is. Maar we zien wel dat overstorten gedurende de zomer tot zuurstofarme condities leiden. Dit is ecologisch gezien zeer onwenselijk.
Dat dit niet direct naar voren komt in de titel, is een keuze. Daarin is de aanleiding van het onderzoek als uitgangspunt genomen, wat heeft geleid tot een onverwacht inzicht: namelijk dat omwonenden van de onderzochte locaties over het algemeen beperkt hinder ondervinden van overstorten. Dit betekent dus niet dat er geen effect is.
Dag Cees,
In dit vakartikel staan een aantal fouten. Er wordt bij het voorbeeld aangegeven dat de berekeningen zijn voor het pompstation Terwisscha (provincie Groningen)! Prov. Groningen zal wel kloppen, maar dus niet Terwisscha, maar een winning van 6,5 mln m3 per jaar en met een complexe ondergrond t.a.v. de hydraulische weerstand afdekkend pakket zoals wordt weergegeven in figuur 2 (artikel). Ook in figuur 2 staat in de tekst dat deze geldt voor de Verlagingslijnen stijhoogte(!!) en GHG, maar het onderschrift bij figuur 2 geeft aan de zomersituatie!!!
Mijn grijze haren gaan recht overeind staan bij deze hydrologische fouten. Of heb ik het mis? Terecht geeft Willem Zaadnoordijk aan dat over dit onderwerp veel discussie in het verleden is geweest, maar ik zie nu wel een aanpak met behulp van een numerieke rekenmethode! Wat ik wel mis in het vakartikel is bijv. het effect van de bodemkaart, de grondwateraanvulling (zomer/winter) en de veranderende elastische berging in de ondergrond in droge of natte weerjaren, maar dat zal allemaal wel via de relatie uit figuur 1 in de berekeningen zijn meegenomen.

Zelf reageren? Dat kan onder alle artikelen met een Mijn H2O/KNW account.

Aanmelden voor H2O Nieuws
Ontvang twee keer per week het laatste waternieuws in je mailbox!