NIS2 raakt ook het tankstation: ‘De grootste risico’s zitten vaak bij leveranciers’

Voor veel tankstationondernemers klinkt een cyberaanval nog altijd als een probleem van grote bedrijven, banken of overheden. Toch worden ook tankstations steeds afhankelijker van digitale systemen. Van tankpassen en betaalterminals tot laadpalen, camerasystemen en cloudsoftware: valt één schakel uit, dan kan de dagelijkse bedrijfsvoering direct onder druk komen te staan. 

Met de komst van de Europese NIS2-richtlijn wordt cybersecurity daarom een steeds belangrijker onderwerp. De wetgeving richt zich op organisaties die een cruciale rol spelen in de economie en samenleving, maar de gevolgen reiken verder dan alleen de bedrijven die rechtstreeks onder de regels vallen. Ook tankstationondernemers krijgen ermee te maken. Volgens Wouter van Dongen, eigenaar van DongIT en specialist op het gebied van cybersecurity, draait NIS2 vooral om het versterken van de hele keten. ‘Het doel van NIS2 is niet alleen om individuele organisaties beter te beschermen, maar juist om de hele keten veiliger te maken. Leveranciers krijgen strengere eisen opgelegd en die zullen op hun beurt ook verwachtingen hebben richting hun klanten.’ 

De keten wordt steeds belangrijker 

Tankstations werken dagelijks samen met een groot aantal externe partijen. Denk aan leveranciers van kassasystemen, tankpassen, betaaloplossingen, laadinfrastructuur en administratieve software. Juist daar ziet Van Dongen een belangrijk aandachtspunt. ‘Ik denk niet dat het grootste risico voor een tankstation zit in een directe aanval op het tankstation zelf. Veel vaker zie je dat risico’s ontstaan via leveranciers die toegang hebben tot systemen of gegevens.’ Dat betekent dat ondernemers kritischer moeten kijken naar hun digitale partners. Wie verzorgt de updates? Wie maakt back-ups? Wie heeft toegang op afstand tot systemen? En wat gebeurt er als een leverancier wordt getroffen door een cyberincident? ‘Je moet met leveranciers om tafel gaan zitten en bespreken wie waarvoor verantwoordelijk is. Dat soort afspraken is in het verleden lang niet altijd expliciet gemaakt.’ 

De basis moet op orde zijn

Hoewel cybersecurity vaak als een technisch en ingewikkeld onderwerp wordt gezien, begint volgens Van Dongen veel ellende bij relatief eenvoudige zaken. ‘Sterke wachtwoorden, updates uitvoeren, twee-factorauthenticatie gebruiken en zorgen dat systemen worden onderhouden. Dat klinkt misschien saai, maar juist daar gaat het vaak mis.’ 

Ook gedeelde accounts zijn volgens hem nog altijd een onderschat risico. ‘Dat wil je niet, maar toch zie je nog regelmatig systemen waarbij meerdere mensen met dezelfde gebruikersnaam werken. Dan raak je het overzicht kwijt over wie wat heeft gedaan.’ Daarnaast adviseert hij ondernemers om goed te kijken naar de verschillende apparaten binnen hun bedrijf. ‘Breng eens in kaart welke computers, camera’s en andere digitale systemen je hebt staan. Zijn die up-to-date? Wie kan erbij? En staan bijvoorbeeld beveiligingscamera’s niet op hetzelfde netwerk als je kassasysteem?’ 

Wat als alles uitvalt? 

Misschien wel de belangrijkste vraag die ondernemers zichzelf moeten stellen, heeft volgens Van Dongen weinig met techniek te maken. ‘Vraag jezelf af: wat gebeurt er als het internet uitvalt? Wat gebeurt er als klanten niet meer kunnen pinnen? Kun je dan nog iets verkopen? Kun je nog benzine leveren? En wie belt de leverancier?’ Veel ondernemers hebben daar nog geen concreet antwoord op. Toch hoeft een oplossing niet ingewikkeld te zijn. 

‘Ik zou ondernemers aanraden een eenvoudig noodplan te maken. Geen dik handboek, maar hooguit één A4’tje waarop staat wie je belt, wat je doet en wat je naar klanten communiceert.’ Zo’n plan zorgt ervoor dat medewerkers niet hoeven te improviseren wanneer een storing of cyberincident zich voordoet. ‘Op het moment dat iets misgaat wil je niet dat iedereen elkaar aankijkt en zich afvraagt waar ze moeten beginnen.’ 

Ook personeel speelt een rol 

Naast techniek en leveranciers blijft de menselijke factor belangrijk. Een verkeerde klik op een phishingmail of een medewerker die onbedoeld toegang geeft aan een kwaadwillende kan grote gevolgen hebben. Van Dongen pleit daarom voor meer bewustwording op de werkvloer. ‘Dat hoeft helemaal geen dure training te zijn. Bespreek gewoon regelmatig met medewerkers waar ze op moeten letten. Geef geen wachtwoorden door, wees alert op vreemde e-mails en controleer altijd wie toegang vraagt tot systemen.’  

Wachten is geen optie 

De exacte invulling van de Nederlandse NIS2-wetgeving blijft in beweging, maar volgens Van Dongen doet dat weinig af aan de boodschap. ‘Of het nu NIS2 heet of straks een andere naam krijgt, de digitale dreigingen nemen alleen maar toe.’ Daarom hoeven ondernemers volgens hem niet te wachten op nieuwe wetgeving. ‘Mijn advies is simpel: maak een inventarisatie van je systemen, kijk kritisch naar je leveranciers en zorg dat de basis op orde is.’

NIS2 leeft nog niet overal, maar raakt de hele sector

Volgens Lisanne Henneveld van Drive wordt er binnen de tankstationbranche al geruime tijd aandacht besteed aan digitale veiligheid en de gevolgen van NIS2. Toch merkt zij dat het onderwerp niet bij iedere ondernemer even hoog op de agenda staat. ‘Ik moet zeggen dat ik ondanks al mijn verhalen niet echt platgebeld word,’ zegt ze. Tegelijkertijd ziet ze dat veel ondernemers zich onvoldoende realiseren hoe afhankelijk hun bedrijf inmiddels is van digitale systemen. 

Volgens Henneveld draait NIS2 niet alleen om wetgeving, maar vooral om bewustwording. ‘Ik maak wel duidelijk dat als je een keer gehackt wordt omdat je zaken niet goed op orde hebt, je echt een groot probleem hebt.’ Daarbij wijst ze op de gevolgen voor de dagelijkse bedrijfsvoering. ‘Dan kun je niet factureren, kun je niet werken en weet je niet hoe lang het duurt voordat alles weer draait.’ 

Vooral de rol van leveranciers wordt volgens haar steeds belangrijker. Ook ondernemers die niet rechtstreeks onder NIS2 vallen, kunnen vragen krijgen van grotere klanten of contractpartijen. ‘Als jouw partner moet voldoen aan NIS2 en jij geen antwoord hebt op vragen over digitale veiligheid, dan kan het best zijn dat ze zeggen: dan doen wij toch even geen zaken meer.’ 

Henneveld ziet voor Drive vooral een gidsfunctie weggelegd. ‘Ik probeer ondernemers te triggeren en de weg te wijzen. Het belangrijkste is dat ze erover nadenken voordat er iets misgaat.’