Kamer vraagt uitleg over cyberrisico’s van koelinstallaties

Kamervragen over digitale koeling: CDA-leden Jantine Zwinkels en André Poortman dienden ze op 5 november in na de aanval op een leverancier van EFS, volgens de registratie van de Tweede Kamer.

Een digitale wijziging aan een koelinstallatie kan rechtstreeks de temperatuur van bloedproducten of voedsel veranderen. Voor Nederlandse organisaties die onder de Cyberbeveiligingswet vallen, omvat de bestaande zorgplicht al leveranciersbeveiliging en bedrijfscontinuïteit. De vragen veranderen die regels niet, maar vragen hoe ze gelden voor apparatuur die een fysiek proces aanstuurt.

De vragen raken drie verantwoordelijkheden

EFS meldde op 3 november dat een cyberincident bij een koeltechniekleverancier de besturing van koelcellen op drie locaties raakte. Temperatuur- en ontdooidrempels waren op zeer hoge waarden gezet. Alarmen ontdekten de afwijkingen; apparatuur werd beheerst of uitgeschakeld en producten naar andere koelruimtes verplaatst. EFS meldt dat geen bloedproducten verloren gingen en inzameling en distributie doorgingen.

De vragen aan de minister van Volksgezondheid en de staatssecretaris van Economische Zaken en Klimaat gaan over steun aan zorgorganisaties, de reikwijdte van de Cbw voor digitaal aangestuurde apparatuur en externe leveranciers, en informatie-uitwisseling. Ze vragen ook naar noodplannen en fysieke terugval onder de Wet weerbaarheid kritieke entiteiten, plus afstemming als meerdere organisaties dezelfde leverancier gebruiken. De Kamerleden vragen of de CRA geldt voor koelapparatuur, welke risicoklasse van toepassing is, welke beveiligings- en patchplichten fabrikanten hebben en hoe aansprakelijkheid en mogelijke statelijke betrokkenheid zijn verdeeld.

De eerdere berichtgeving over EFS en Duitse winkels liet zien dat EFS-alarmen bloedproducten beschermden terwijl vijf Duitse supermarkten voedsel moesten weggooien. De technische samenhang tussen die meldingen was niet vastgesteld.

De Cyberbeveiligingswet geldt al

De Cyberbeveiligingswet trad op 15 augustus 2026 in werking en geldt voor organisaties die essentiële of belangrijke diensten leveren in achttien sectoren, waaronder de zorg. De Rijksoverheid noemt registratie, zorgplicht, meldplicht en bestuurlijke verantwoordelijkheid. De wet geldt sinds augustus voor organisaties binnen de wettelijke scope, niet automatisch voor iedere onderneming die een koelinstallatie gebruikt.

Voor organisaties binnen die scope noemt het NCSC tien zorgplichtmaatregelen, waaronder risicoanalyse, incidentrespons, voorbereiding op uitval en beveiliging van de toeleveringsketen. Die wettelijke zorgplicht rust op de gereguleerde organisatie. Een leverancier valt niet automatisch onder dezelfde verplichting omdat die apparatuur levert, maar het risico van die leverancier moet wel in de eigen beveiligingsaanpak worden meegenomen. Het NCSC rekent leveranciersbeveiliging en voorbereiding op uitval tot onderdelen van de zorgplicht.

De vragen kunnen dus duidelijk maken hoe bestaande regels bij zorginstellingen en leveranciers uitwerken. De indiening zelf wijzigt de wet niet en legt geen nieuwe maatregel op aan bloedbanken of koeltechniekbedrijven.

De CRA heeft al een meldplicht

Op 4 november publiceerde de Europese Commissie met ENISA, Europol en Europese incidentresponsnetwerken een update over aanvallen op commerciële koelsystemen. Sinds 11 oktober waren systemen in meerdere EU-landen geraakt, met een nieuwe golf op 1 en 2 november. Lidstaten onderzoeken de incidenten en Europese diensten wisselen informatie uit. De verklaring wijst geen aanvaller aan voor het EFS-incident.

Sinds 11 september 2026 moeten fabrikanten actief misbruikte kwetsbaarheden en ernstige incidenten melden die de beveiliging van producten met digitale elementen raken. De CRA verlangt dat fabrikanten binnen 24 uur waarschuwen en binnen 72 uur volledig melden nadat zij kennis krijgen van het incident. Voor actief misbruikte kwetsbaarheden volgt uiterlijk veertien dagen nadat een herstelmaatregel beschikbaar is een eindrapport. Bij ernstige incidenten moet het eindrapport binnen een maand na de volledige melding volgen. De bredere eisen, zoals veilige productontwikkeling en ondersteuning gedurende de levenscyclus, gelden vanaf 11 december 2027.

De meldplicht geldt voor fabrikanten van producten binnen de CRA. Of de besturing van een specifieke koelinstallatie onder die productregels valt, hangt af van het product en eventuele sectorspecifieke regels. EFS noemt geen fabrikant, model of softwareversie. Een CRA-risicoklasse of individuele fabrikantenplicht aan deze installatie koppelen kan daarom nog niet.

De technische route blijft onbekend

EFS zegt dat de bloedservice niet rechtstreeks is aangevallen, maar dat een incident bij een leverancier de besturing op drie locaties raakte. De verklaring noemt geen leverancier, regelaar, softwareversie of toegangsroute. Ook is geen dader aangewezen. De vraag naar mogelijke staatsbetrokkenheid is dus onbeantwoord, geen bevestiging dat een staat achter de aanval zit.

Het Belgische CCB schreef in oktober dat beheerinterfaces van vier families koelregelaars bij Franse supermarktincidenten vermoedelijk vanaf het openbare internet bereikbaar waren. Het CCB adviseerde internettoegang te verwijderen, firmware bij te werken en configuraties te controleren. De waarschuwing noemt Copeland xweb, Danfoss AK-SC, Danfoss AK-SM en Dixell xweb, maar er is geen aanwijzing dat EFS een van die systemen gebruikte. De Europese gezamenlijke update vraagt om blootstelling te beperken, zonder één aanvalsketen vast te stellen.

De vragen brengen productbeveiliging, leveranciersbeheer en continuïteit samen. Bij EFS voorkwamen alarmen en het verplaatsen van producten verlies, terwijl apparatuur en toegangsroute onbekend blijven. De antwoorden van de bewindspersonen moeten duidelijk maken hoe de bestaande regels deze combinatie van digitale bediening en fysieke terugval afdekken.