Hoewel veiligheid een hot topic is in de ov wereld, is digitale veiligheid, cybersecurity, nog een onderbelicht thema. En dat moet veranderen, vinden Dimitri van Zantvliet, directeur cybersecurity bij NS, en Marco de Jong, chief information security officer bij Vialis. Een dubbelgesprek. Binnen de keten ben je zo sterk als je zwakste schakel.

Bij NS groeit de aandacht al jaren, trapt Van Zantvliet af. Dat moet ook wel, want: Alle aanbieders van essentiele diensten moeten voldoen aan strenge Europese wetgeving volgens de richtlijn NIS, Network and Information Security directive. Daardoor wordt de compliancedruk steeds hoger. Daarnaast moeten we een enorme inhaalslag maken, omdat de spoorwegsector slechts een paar jaar gereguleerd is op cybersecurity gebied. Het dreigingslandschap groeit de laatste jaren enorm. We investeren daarom veel in nieuw personeel en hebben een eigen Cyber Academy. Verder staat de spoorsector voor veel digitale transities, zoals de uitrol van Ertms, European Rail Traffic Management System. Digitale transities kunnen ook kwetsbaar maken.

Bij Vialis, onderdeel van VolkerWessels, heeft digitale veiligheid een hoge prioriteit en is er aandacht voor ontwikkelingen op het gebied van digitale veiligheid, maar dat kan volgens De Jong nog beter. Soms wordt nog gedacht: Zo n cyberaanval overkomt ons niet, we hebben het wel op orde. Dat is een groot risico. Wij besteden een groot deel van onze tijd aan de awareness bij onze eigen medewerkers. Ook wij hebben te maken met een grote hoeveelheid, steeds veranderende, regels vanuit verschillende opdrachtgevers. Wij ontwerpen, bouwen en onderhouden assets in de vitale infra. Dit houdt in dat ook wij aan de NIS moeten voldoen per september 2024. Op dit moment lopen er gesprekken met onze opdrachtgevers hoe en welk deel we hiervan in moeten vullen. Dat is best een ingewikkeld proces.

Bij Vialis werkt De Jong met ongeveer tien man aan cybersecurity. Daarmee heeft Vialis ten opzichte van andere partijen een relatief groot team: We werken soms alleen wel voor tien opdrachtgevers tegelijk met allen een eigen interpretatie van de normeringen en richtlijnen. Ter vergelijking: bij NS werken meer dan 130 man direct of indirect aan cybersecurity, weet De Jong. Partijen als NS, ProRail en RWS hebben hun zaakjes redelijk op orde, maar de toeleveranciers nog onvoldoende.

Deze versturen we 3-4x per jaar.