Digitale autonomie in de energie-intensieve industrie: kwetsbaar maar nog niet acuut
De energie-intensieve industrie is sterk afhankelijk van Amerikaanse clouddiensten, maar die afhankelijkheid heeft de meest kritische productiesystemen nog niet bereikt. Dat is de belangrijkste conclusie uit onderzoek dat RVO op verzoek van Energy Innovation NL heeft laten uitvoeren door cybersecurity-expert Bert Hubert. Het rapport is vandaag gepubliceerd.
Afhankelijkheid loopt door de gehele operatie
Volgens het rapport is de grootste zorg met name wat er om de kritische systemen heen zit: sensoren, dashboards, monitoringssystemen en de volledige logistieke laag zijn al grotendeels afhankelijk van Amerikaanse cloudplatforms. Het gaat in veel gevallen ook om producten of diensten die door toeleveranciers worden geleverd. Bij een langdurige verstoring komt de productie niet direct in gevaar, maar binnen enkele uren of dagen loopt de operatie vast omdat logistiek, planning en communicatie uitvallen. Daarnaast is er bij veel bedrijven geen crisisplan voor (langdurige) uitval van clouddiensten. Met de publicatie wil Energy Innovation NL het thema digitale autonomie expliciet agenderen bij de industrie en de overheid.
Geopolitiek is niet het enige risico
Het rapport richt zich specifiek op het geopolitieke risico en de mogelijkheid dat een buitenlandse overheid leveranciers opdraagt in het geval van een conflict met de EU de dienstverlening aan Europese of Nederlandse bedrijven op te schorten. Ernstige verstoringen kunnen echter ook veroorzaakt worden door technische storingen, zoals het CrowdStrike-incident in juli 2024, en sabotages en vormen een reëel risico dat geldt voor Europese en Amerikaanse clouddiensten. Het geopolitieke aspect verdient aandacht, maar de algemene les die hieruit getrokken moet worden is dat bedrijven die volledig afhankelijk zijn van externe clouddiensten kwetsbaar zijn, ongeacht de herkomst daarvan.
Ledenraadpleging bevestigt beeld uit rapport
VEMW heeft naar aanleiding van het rapport een eerste raadpleging gehouden onder leden. Hans Grünfeld, algemeen directeur van VEMW: "Navraag bij leden bevestigt het beeld uit het onderzoek. De meeste bedrijven hebben ook nog geen actief beleid gebaseerd op eigen onderzoek naar de risico's van clouddiensten van aanbieders uit bijvoorbeeld de Verenigde Staten. Bedrijven met een Amerikaanse of andere buitenlandse moeder staan daarnaast voor een voldongen feit: zij zijn voor hun bedrijfsbeleid en procesvoering in sterke mate afhankelijk van de keuzes van het hoofdkantoor.”
Beperkte zeggenschap digitale infrastructuur
Uit de raadpleging blijkt dat dit bij bedrijven met een Amerikaanse moeder een herkenbaar patroon is. Keuzes over leveranciers van clouddiensten en serverlocaties worden centraal bepaald door het hoofdkantoor, zonder inbreng van de Nederlandse vestiging. Tegelijkertijd is de omvang van de afhankelijkheden voor medewerkers op vestigingsniveau vaak ondoorzichtig: betalingen, logistiek, planning en productie lopen via zoveel systemen dat het moeilijk te overzien is waar alle afhankelijkheden precies zitten. Bedrijven met een Amerikaanse moeder geven bovendien aan zich minder zorgen te maken over geopolitieke risico's, omdat zij ervan uitgaan dat een Amerikaans moederbedrijf zichzelf geen schade zal toebrengen.
Vergroten digitale weerbaarheid noodzakelijk
De kwetsbaarheid is reëel, maar niet onoverkomelijk. VEMW onderschrijft daarom de aanbevelingen uit het rapport aan bedrijven om te analyseren welke systemen bij clouduitval als eerste uitvallen, de bijbehorende procedures te testen en grenzen te stellen aan operationele afhankelijkheid van niet-Europese cloudplatforms waar mogelijk. Omdat de energie-intensieve industrie essentieel is voor de economie en onze maatschappij, moet digitale weerbaarheid worden benaderd als meer dan een IT-vraagstuk: het is een strategische prioriteit.
Het rapport 'Digitale autonomie binnen de energie-intensieve industrie' is in onze Kennisbank te vinden