Cybersecurity bij batterijopslag vraagt om meer dan veilige hardware
Terug
De groei van batterijopslag maakt ook de digitale beveiliging van energiesystemen belangrijker. Vooral wanneer grote aantallen batterijen centraal via cloudplatformen worden aangestuurd, kan een kwetsbaarheid meerdere installaties tegelijk raken. Soe van Dijk, innovatieanalist cyberweerbaarheid bij Energy Innovation NL, pleit ervoor om cybersecurity vanaf het ontwerp mee te nemen. Europese regelgeving moet daaraan bijdragen, maar ook duidelijke afspraken tussen fabrikanten, softwareontwikkelaars en gebruikers zijn nodig.
Een batterijopslagsysteem slaat niet alleen elektriciteit op, maar wordt steeds vaker op afstand gemonitord en aangestuurd via software, cloudplatforms en energiemanagementsystemen. Dat maakt flexibel gebruik mogelijk, maar creëert ook digitale risico’s.
“Je moet bij batterijopslag niet alleen kijken naar de fysieke installatie, maar ook naar alles waarmee die installatie digitaal verbonden is”, zegt Van Dijk. “De beveiliging van de batterij zelf is niet voldoende als de software waarmee je het systeem aanstuurt kwetsbaar is.”
Centrale aansturing vergroot het risico
Fabrikanten en beheerders gebruiken digitale platforms om batterijen te monitoren, instellingen te wijzigen en software-updates uit te voeren. Onvoldoende beveiligde accounts, standaardwachtwoorden en kwetsbaarheden in software kunnen aanvallers toegang geven tot systemen.
De mogelijke impact hangt af van de inrichting van een installatie en de verbindingen met het internet en andere systemen. Een incident bij een thuisbatterij kan beperkt blijven tot één huishouden. Wanneer duizenden batterijen via hetzelfde platform worden aangestuurd, kan een kwetsbaarheid bij één leverancier veel meer installaties treffen.
“Het wordt een ander vraagstuk wanneer je niet één batterij hebt, maar duizenden systemen die via dezelfde digitale infrastructuur met elkaar verbonden zijn”, aldus Van Dijk. “Dan moet je ook kijken naar de gevolgen die een probleem bij één partij kan hebben voor alle aangesloten systemen.”
Dat is relevant omdat batterijen steeds vaker worden ingezet om elektriciteit op te slaan, pieken in de vraag op te vangen en flexibel vermogen aan het elektriciteitsnet te leveren. Wanneer een aanvaller grote aantallen batterijen gelijktijdig kan beïnvloeden, kan dat de balans tussen vraag en aanbod van elektriciteit verstoren mogelijk met impact op de stabiliteit van het stroomnet. De gevolgen zijn onder meer afhankelijk van het getroffen vermogen en de situatie op het net.
Netwerksegmentatie
Een ander type cyberaanval kan plaatsvinden via het lokale netwerk, waartoe een aanvaller toegang krijgt bijvoorbeeld via een ander gehackt IoT-apparaat. In zo'n geval kan netwerksegmentatie helpen om de impact van een aanval op BESS te beperkten. Daarbij worden onderdelen van het netwerk van elkaar gescheiden, zodat een aanvaller niet automatisch vanuit één onderdeel toegang krijgt tot de rest van de installatie.
“Je wilt voorkomen dat een aanvaller die toegang krijgt tot één onderdeel vervolgens overal bij kan”, zegt Van Dijk. “Door systemen en netwerken goed van elkaar te scheiden, kun je de mogelijke impact van een incident beperken.”
Verantwoordelijkheid in de hele keten
Bij de ontwikkeling en aansturing van batterijopslagsystemen zijn vaak meerdere partijen betrokken. Hardwarefabrikanten, softwareontwikkelaars, aanbieders van cloudplatforms, installateurs en exploitanten hebben ieder invloed op de digitale veiligheid.
Daarom moet vooraf duidelijk zijn wie verantwoordelijk is voor het onderzoeken van kwetsbaarheden, het beschikbaar stellen van beveiligingsupdates en het waarschuwen van andere betrokken partijen.
“Cybersecurity is niet de verantwoordelijkheid van één partij. Je hebt te maken met een hele keten, waarin verschillende bedrijven ieder een deel van het systeem leveren of beheren”, zegt Van Dijk. “Juist daarom moet vooraf duidelijk zijn wie waarvoor verantwoordelijk is en wat er gebeurt wanneer er een kwetsbaarheid wordt ontdekt.”
Een belangrijk uitgangspunt is secure by design: cybersecurity moet vanaf het begin onderdeel zijn van het ontwerp. Fabrikanten moeten producten ontwikkelen waarbij mogelijke aanvallen en kwetsbaarheden al tijdens de ontwikkeling worden meegenomen. Ook installateurs kunnen bijdragen door apparatuur zorgvuldig te configureren en toegangsrechten goed in te stellen.
Consumenten kunnen standaardwachtwoorden wijzigen en hun accounts beveiligen, maar daarmee zijn niet alle risico’s weggenomen. Kwetsbaarheden in software of cloudplatforms kunnen zij doorgaans niet zelfstandig oplossen.
Europese regelgeving stelt eisen
De Europese Cyber Resilience Act (CRA) introduceert cybersecurity-eisen voor producten met digitale elementen. De verordening richt zich onder meer op veilig productontwerp, het aanpakken van kwetsbaarheden en het beschikbaar stellen van beveiligingsupdates. De verplichtingen worden gefaseerd ingevoerd en zijn afhankelijk van de toepasselijke bepalingen en het type product. Alle producten met digitale elementen moeten vanaf 11 december 2027 voldoen aan de CRA. Sinds 11 september 2026 geldt de meldplicht al, wat betekent dat fabrikanten uitgebuite kwetsbaarheden en ernstige beveiligingsincidenten in hun digitale producten moeten melden.
Voor fabrikanten en andere marktpartijen betekent dit dat zij moeten beoordelen welke eisen voor hun producten en activiteiten gelden. Cybersecurity wordt daarmee nadrukkelijker onderdeel van de voorwaarden voor het op de Europese markt brengen van digitale producten.
Van Dijk ziet de regelgeving als een belangrijke stap, maar benadrukt dat wettelijke eisen alleen niet voldoende zijn. Ook voor batterijopslag en energiemanagementsystemen zijn concrete technische uitgangspunten nodig.
“Wetgeving helpt om vast te leggen wat er van fabrikanten en andere partijen wordt verwacht. Maar je moet die eisen vervolgens ook vertalen naar de praktijk”, zegt ze. “Cybersecurity moet niet iets zijn waar je pas naar kijkt als een product al is ontwikkeld of als er een incident heeft plaatsgevonden.”
In Nederland worden door de NEN technische afspraken ontwikkeld voor thuisbatterijen en energiemanagementsystemen. Daarbij kan onder meer aandacht uitgaan naar de beveiliging van communicatie tussen apparaten en de toegang tot de aansturing. Europese regels kunnen een gemeenschappelijk kader bieden, terwijl nationale afspraken concrete technische uitgangspunten kunnen uitwerken.
Samenwerking tussen systemen moet veilig zijn
Energiemanagementsystemen moeten steeds vaker apparatuur van verschillende fabrikanten kunnen aansturen. Die gezamenlijke aansturing geeft gebruikers meer vrijheid om onderdelen van hun energiesysteem te combineren. Tegelijkertijd kan communicatie tussen apparaten nieuwe kwetsbaarheden opleveren als de gebruikte protocollen onvoldoende beveiligd zijn.
“Het is belangrijk dat systemen met elkaar kunnen samenwerken, maar die samenwerking moet wel veilig zijn”, zegt Van Dijk. “Je moet bij het ontwikkelen van een energiemanagementsysteem vanaf het begin nadenken over de communicatie tussen apparaten, de toegangsrechten en de manier waarop je kwetsbaarheden oplost.”
De markt ontwikkelt zich snel, waardoor bedrijven ook onder druk staan om nieuwe producten en toepassingen op de markt te brengen. Cybersecurity vanaf het ontwerp meenemen voorkomt dat beveiliging pas achteraf moet worden toegevoegd. Verder is beleid voor het verantwoord melden en oplossen van kwetsbaarheden nodig om systemen die in gebruik zijn veilig te houden. Daarbij kan samengewerkt met een organisatie als het Dutch Institute for Vulnerability Disclosure (DIVD), die onderzoek doet naar kwetsbaarheden in thuisbatterijen en EMS.
Herkomst van apparatuur is niet doorslaggevend
Ook de afhankelijkheid van leveranciers speelt een rol. Wanneer veel batterijopslagsystemen gebruikmaken van dezelfde apparatuur of digitale platforms, kan een probleem bij één aanbieder een groot aantal installaties raken.
Bij de discussie over digitale veiligheid komt ook de herkomst van hardware aan bod. Van Dijk maakt daarbij onderscheid tussen de fysieke herkomst van apparatuur en de beveiliging van de digitale aansturing.
“Je kunt cybersecurity niet uitsluitend beoordelen op basis van waar een product is gemaakt”, zegt Van Dijk. “Je moet ook kijken hoe het systeem werkt, wie er toegang toe heeft en welke mogelijkheden er zijn om het op afstand te beïnvloeden.”
Het spreiden van leveranciers kan de afhankelijkheid van afzonderlijke partijen verkleinen, maar neemt niet alle risico’s weg. Veilige software, goed ingerichte verbindingen en duidelijke afspraken over updates blijven noodzakelijk. Naarmate batterijopslag een grotere rol speelt in het energiesysteem, wordt digitale veiligheid daarmee een gezamenlijke verantwoordelijkheid van de hele keten.
