Rederijen en havenbedrijven in Nederland en Europa zien een snelle toename van cyberrisico’s op zee en in de haven. Het gaat om GPS- en AIS-spoofing, DDoS-aanvallen op logistieke systemen en afpersing met ransomware. De dreiging speelt nu, terwijl de Europese digitalisering gevolgen bedrijfsleven en overheid verder versnelt. De sector reageert met strengere beveiliging en nieuwe procedures om incidenten te voorkomen.
Cyberdreiging op zee groeit
Schepen zijn drijvende IT- en OT-netwerken die continu data uitwisselen via satelliet en radio. Besturing, navigatie en planning zijn steeds vaker gekoppeld aan cloudplatformen. Die digitalisering maakt het werk efficiënter, maar vergroot ook het aanvalsoppervlak. Criminelen en statelijke actoren zoeken daar actief naar kwetsbaarheden.
Aanvallen richten zich op drie onderdelen: navigatie, communicatie en logistiek. Spoofing en jamming manipuleren navigatiesignalen zoals GNSS (bijvoorbeeld GPS en Galileo). DDoS legt havenplatformen stil door ze te overspoelen met verkeer. Ransomware versleutelt bedrijfsdata en verstoort ladingplanning en afvaarten.
De impact is direct merkbaar in vertragingen en extra kosten. Verstoring van een planningssysteem kan truckafhandeling en binnenscheepvaart uren lamleggen. Een foutieve positie op de brug vergroot het risico op een aanvaring. Daardoor schuift cyberveiligheid op naar de top van de risicokaart van reders en terminals.
Navigatie spoofing verstoort routes
Spoofing is het uitzenden van valse signalen om systemen te misleiden. Bij GNSS-spoofing lijkt een schip op een andere plek dan het werkelijk is. In drukke gebieden zoals de Noordzee en de Oostzee kan dit leiden tot verkeerde koerscorrecties. De kans op onveilige situaties neemt dan snel toe.
Ook het Automatic Identification System (AIS) is kwetsbaar. Criminelen kunnen scheepsnamen en posities manipuleren of verbergen. Dat belemmert toezicht en zoek- en reddingswerk. Daarnaast vergroot het de ruimte voor smokkel en fraude in complexe ketens.
Technisch zijn er weermaatregelen, maar geen enkele is perfect. Brugteams kunnen meerdere sensoren kruisen: radar, visuele referenties en verschillende GNSS-constellaties. Software kan afwijkende patronen detecteren en waarschuwen. Bij twijfel gaat de automatische piloot uit en neemt de schipper handmatig over.
Havens vaker doelwit van DDoS
Port Community Systemen zoals Portbase in Nederland koppelen rederijen, terminals, douane en wegvervoerders. Een DDoS-aanval op zo’n platform vertraagt releases, gate-toegang en planning. Dat werkt door tot in magazijnen en winkels. De economische schade kan snel oplopen als ketens vastlopen.
Ransomware blijft een groot risico voor terminals en rederijen. Aanvallers richten zich op e-mail, externe toegang en verouderde servers. Uitval raakt niet alleen de IT, maar ook kranen, weegbruggen en planning. Herstel kost dagen en vereist vaak het terugzetten van back-ups.
Deze systemen verwerken ook persoonsgegevens, zoals chauffeur- en containerdata. De AVG verplicht tot dataminimalisatie en sterke versleuteling. Beschikbaarheid is bovendien een kerndoel van beveiliging, net als integriteit en vertrouwelijkheid. Een DDoS- of ransomware-incident kan dus zowel operationeel als juridisch gevolgen hebben.
Havenbedrijven investeren daarom in bescherming en samenwerking. DDoS-scrubbing, webapplicatie-firewalls en segmentatie beperken de impact. In Nederland kan aansluiting op de Nationale anti-DDoS Wasstraat (NaWas) extra bescherming bieden. Oefenen met scenario’s versnelt de respons bij echte aanvallen.
Europese regels scherpen eisen
De EU-richtlijn NIS2 vergroot de zorgplichten voor essentiële en belangrijke entiteiten, waaronder maritiem vervoer en havenexploitanten. Lidstaten moesten NIS2 in nationale wetgeving omzetten rond oktober 2024. In Nederland wordt die implementatie op het moment van schrijven verder ingevuld. Bedrijven bereiden zich voor op audits, strengere meldplichten en zwaardere sancties.
De verplichtingen gaan over risicobeheer, toeleveranciers en incidentmelding. Organisaties moeten snel melden, vaak binnen 24 uur een eerste signaal, gevolgd door nadere rapportages. Bestuurders krijgen expliciete verantwoordelijkheid voor cyberbeleid. Toezicht wordt gecoördineerd, met nationale autoriteiten en CSIRT’s als aanspreekpunt.
Naast NIS2 geldt sectorspecifieke normering. De Internationale Maritieme Organisatie (IMO) eist sinds 2021 dat rederijen cyberrisico’s opnemen in het Safety Management System. Dat verankert technische en organisatorische maatregelen in de dagelijkse operatie. Klassebureaus toetsen hier steeds vaker op bij certificering.
“Sinds 2021 moeten rederijen cyberrisico’s integreren in hun Safety Management System (IMO-resolutie MSC.428(98)).”
Nederlandse sector vergroot weerbaarheid
Havenbedrijf Rotterdam en bedrijven in de haven werken nauwer samen rond cyberveiligheid. Publiek-private initiatieven zoals FERM stimuleren kennisdeling en gezamenlijke oefeningen. Portbase versterkt zijn platform met extra monitoring en authenticatie. Zo daalt de kans dat één incident de hele keten raakt.
Rederijen nemen maatregelen aan boord en aan de wal. Netwerksegmentatie scheidt kantoor-IT van operationele technologie. Updates en back-ups krijgen vaste ritmes, ook offline. Crewtraining helpt phishing en foutbediening te voorkomen.
Verzekeraars en klassebureaus zetten druk op basisbeveiliging. DNV en Lloyd’s Register bieden cybernotation voor schepen en systemen. Die normen vragen onder meer logging, toegangsbeheer en herstelplannen. Contracten met leveranciers bevatten vaker harde eisen voor patching en respons.
Vijf stappen voor actie nu
Breng alle assets in kaart: servers, ECDIS, sensoren, satellietmodems en accounts. Schakel multifactor-authenticatie in voor beheer en Port Community Systemen. Maak offline back-ups en test herstel regelmatig. Beperk externe toegang en log alle handelingen.
Versterk navigatiereductie tegen spoofing. Gebruik meerdere GNSS-constellaties en kruis die met radar en gyro. Stel drempels in voor alarmsignalen bij plotselinge koers- of snelheidswissels. Train brugteams om bij twijfel te vertragen en handmatig te varen.
Beveilig de keten samen met partners. Leg in contracten vast welke updates, scans en meldtermijnen leveranciers hanteren. Oefen incidentrespons met terminal, sleepdienst en ICT-dienstverleners. Meld ernstige incidenten tijdig bij de bevoegde autoriteiten volgens NIS2 en de AVG.
Tot slot: begin klein en meetbaar. Kies een schip, een terminal of één applicatie en voer verbeteringen door. Gebruik de uitkomsten voor de rest van de vloot of organisatie. Zo groeit weerbaarheid stap voor stap, zonder de operatie stil te zetten.