‘en cybercrirne
,—:‘
jj.)
NICC
Weerbaarheid van de drinkwatersector tegen uitval van elektriciteit en telecommunicatie Rapportage
In opdracht van de ministeries van Veiligheid en Justitie/DG Veiligheid en Economische Zaken, Landbouw en Innovatie/DG Energie en Telecom
Rubricering: Code Geel Capaciteitsadvies Elektriciteit en Telecom November 2010
0
NICC
Het Traffic Light Protocol (TLP) is ontworpen om sensitieve informatie op basis van vertrouwen te delen met andere personen en organisaties. Uitgangspunt is dat de eigenaar van de informatie bepaalt in welke mate de ingebrachte informatie geopenbaard mag worden door de ontvangende personen c.q. organisaties. De rubricering TLP GEEL geeft een beperkte distributie aan. Op basis van need-to-know mag informatie binnen een beperkte kring gedeeld worden. De eigenaar van de informatie kan eventueel extra restricties aangeven omtrent de verspreiding.
Datum 24-08-2010 25-08-2010 06-09-2010 18-10-2010 10-11-2010 12-11-2010 24-11-2010 30-11-2010 13-01-2011
Auteur NICC NICC NICC NICC NICC NICC NICC NICC NICC
0 91
18—01—2011
NICC
1.0
08-02-2011
NICC
Versie 0.1 0.2 0.3 0.4 0.5 0.6 0.7 0.8 0 9 .
Opmerkingen
Opmerkingen en aanvullingen van drinkwaterbedri]ven en Vewin verwerkt. Op verzoek van Vewin nog een kleine aanpassing gedaan.
© 2010 NICC. De informatie in dit document mag noch geheel noch gedeeltelijk op enigerlei wijze worden aangepast, gewijzigd of verveelvoudigd zonder voorafgaande toestemming van NICC.
@
gen
ybercrime
NICC
INHOUDSOPGAVE MANAGEMENTSAMENVATTING
3
TOELICHTING ONDERZOEK
5
1.1 1.2 1.3 1.4 1.5 1.6 1.7 1.8
INLEIDING EN ACHTERGROND DOELSTELLING VRAAGSTELLING UITGANGSPUNTEN ONDERZOEKSMETHODEN AFBAKENING VERTROUWELIJKHEID LEESWIJZER
2
TYPERING SECTOR
3
KRITISCHE PROCESSEN 3.1 3.2
3.3 3.4 4
INLEIDING KRITISCHE PROCESSEN AFHANKELIJKHEID VAN TELECOMMUNICATIE AFHANKEUJKHEID VAN ELEKTRICITEIT
GENOMEN MAATREGELEN 4.1
WEERBAARHEID TEGEN TELECOMMUNICATIE UITVAL
4.1.1 4.1.2 4.2
WEERBAARHEID TEGEN ELEKTRICITEITUITVAL
4.2.1 4.2.2 5
Aansluiting openbare elektriciteitsnet Noodstroomaggregaten
MOGELIJKE AANVULLENDE MAATREGELEN 5.1
TEN AANZIEN VAN UITVAL TELECOMMUNICATIE
5.1.1 5.1.2 5.1.3 5.2
5.3
Procesautomatisering Noodcommunicatiemiddelen Algemeen
TEN AANZIEN VAN ELEKTRICITEITUITVAL
5.2.1 5.2.2 6
Kantoor- en procesautomatisering Spraak- en dataverkeer via vaste en mobiele telefonie
Dubbele aansluiting openbare elektriciteitsnet Noodstroomaggregaten
OVERKOEPELEND
CONCLUSIE 1. RESPONDENTEN INTERVIEWS (AUGUSTUS-SEPTEMBER 2010) II. DEELNEMERS SECTORALE WORKSHOP (28 SEPTEMBER 2010) III. DEELNEMERS INTERSECTORALE WORKSHOP (26 OKTOBER 2010) REFERENTIES CAET PROJECT IV. V. VRAGEN AAN EN ANTWOORDEN VAN NATIONAAL CONTINUÏTEITSOVERLEG TELECOM (NCO-T) VI. VRAGEN AAN EN ANTWOORDEN VAN ELEKTRICITEITSECTOR
5 5 5
6 6 7
8 8
9 11 11 11 11 12
13 13 13 13 14 14 14 16 16 16 17 18 18 18 18 19 20 22 22 22 23
24 28
2
encvhercr;ri:
NICC Managementsamenvatting Elektriciteit en telecommunicatie vormen het motorblok van de Nederlandse samenleving. Zonder een adequate werking van beide of één van beide diensten werkt er in Nederland niet veel meer. Dit betekent dat de beide sectoren zelf en andere vitale sectoren zich terdege moeten voorbereiden op een mogelijke grootschalige en/of langdurige uitval van elektriciteit en/of telecommunicatie. Vanuit het programma Nationale Veiligheid van de rijksoverheid is het project Capaciteitsadvies Elektriciteit en Telecom/ICT (CAET) gestart. Het CAET project heeft als doel de weerbaarheid van alle vitale sectoren tegen verstoringen in elektriciteitsvoorziening respectievelijk de telecommunicatievoorzieningen inzichtelijk te maken en zo nodig te vergroten. Het project dient inzicht te geven in kansrijke aanvullende maatregelen. Aanvullend is de doelstelling ‘een proces op gang brengen’. Het is belangrijk dat vitale sectoren zich bewust zijn van de afhankelijkheden van elektriciteit en telecom, nadenken over de genomen maatregelen en in discussie gaan over mogelijke aanvullende maatregelen. Opdrachtgevers zijn de ministeries van Economische Zaken, Landbouw en . Opdrachtnemer is het 1 Innovatie (EL&I) en Veiligheid en Justitie (VenJ) programma Nationale Infrastructuur Cybercrime (NICC). Het projectteam van het NICC voert samen met de sector het project uit. Deze rapportage richt zich op de weerbaarheid van de sector drinkwater tegen ernstige verstoringen in de elektriciteit- en telecommunicatievoorziening. De drinkwatersector kan worden getypeerd als een sector waar leveringszekerheid sinds het bestaan van de sector hoog op de agenda staat. Continuïteit is gewaarborgd door ingebouwde redundantie. Tevens zijn in het geval van nood strategische voorraden aanwezig (zoals dieselolie en chemicaliën) en is een nooddrinkwatervoorziening voorhanden. De kritische processen winning, zuivering, kwaliteitscontrole, distributie en transport zijn
afhankelijk van elektriciteit en telecommunicatie. Zonder elektriciteit wordt drinkwater niet geproduceerd en/of gedistribueerd. Als terugvaloptie hebben alle drinkwaterbedrijven noodstroomaggregaten. Dit is noodzakelijk om conform het nieuwe Drinkwaterbesluit voor tien dagen volledig onafhankelijk te zijn van externe leveranties. Het ontbreken van telecommunicatie voor besturing en monitoring van de procesautomatisering, spraak en dataverkeer via vaste en mobiele telefonienetwerken is vervelend, maar niet onoverkomelijk. Voor spraakverkeer hebben de drinkwaterbedrijven verschillende noodcommunicatiemiddelen als terugvaloptie. Bij uitval van de procesbesturingssystemen kan het drinkwaterproces voor het grootste deel ook met de hand worden bestuurd. Het crisis-, storings- en onderhoudsproces is er echter niet op ingericht zonder telecommunicatie te draaien. Op basis van geïnventariseerde mogelijke aanvullende maatregelen heeft het NICC aanbevelingen ten aanzien van de weerbaarheid van drinkwaterbedrijven tegen uitval en elektriciteit en/of telecommunicatie opgesteld. Tevens heeft het NICC op basis van de bevindingen enkele aanbevelingen voor het ministerie van Economische Zaken, Landbouw en Innovatie. 2 en Vewin hebben de opdracht te bespreken hoe Het ministerie van VROM opvolging te geven aan de aanbevelingen. Vewin vertegenwoordigt de drinkwaterbedrijven en bespreekt de rapportage binnen Vewin in de Stuurgroep 1
Ten tijde van het project zijn de ministeries van de opdrachtgevers van naam veranderd in respectievelijk Economische Zaken, Landbouw en Innovatie (EL&l) en Veiligheid en Justitie (V&J). Bij de start van het project van waren de namen van de ministeries van de opdrachtgevers EZ en BZK. Ten tijde van het project is het ministerie van Volkshuisvesting, Ruimtelijke Ordening en Milieubeheer (VROM) van naam veranderd in het ministerie van Infrastructuur en Milieu. In dit rapport zal nog worden verwezen naar het oude’ ministerie VROM. -
3
NICC Beveiliging en Crisismanagement en het Vewin-Bestuur. Binnen VROM is het rapport voorgelegd aan de Stuurgroep Security en Vitaal. Na instemming van de Stuurgroep Security en Vitaal (VROM) en het Vewin-Bestuur wordt dit rapport door de opdrachtgevers (V&J en EL&I) ter kennisneming aan de Stuurgroep Nationale Veiligheid voorgelegd.
4
tç’cn cyhercrrne
LL) 1
NICC
Toelichting onderzoek
1.1 Inleiding en achtergrond Elektriciteit en telecommunicatie vormen het motorblok van de Nederlandse samenleving. Zonder een adequate werking van beide of één van beide diensten werkt er in Nederland niet veel meer. Dit betekent dat de beide sectoren zelf en andere vitale sectoren zich terdege moeten voorbereiden op een mogelijke grootschalige en/of langdurige uitval van elektriciteit en/of telecommunicatie. Vanuit het programma Nationale Veiligheid van de rijksoverheid is het project Capaciteitsadvies Elektriciteit en Telecom/ICT (CAET) gestart. Het CAET project heeft als doel de weerbaarheid van alle vitale sectoren tegen verstoringen in elektriciteitsvoorziening respectievelijk de telecommunicatievoorzieningen inzichtelijk te maken en zo nodig te vergroten. Aanvullend dient het project inzicht te geven in kansrijke aanvullende maatregelen. Het project is in 2009 gestart met de sectoren telecommunicatie, energie (elektriciteit en gas) en financiën (fase 1). Op 1 juni 2010 is fase 2 gestart met de sectoren drinkwater, keren en beheren oppervlaktewater, openbare orde en veiligheid, openbaar bestuur en olie. Opdrachtgevers zijn de ministeries van Economische Zaken, Landbouw en . Opdrachtnemer is het 3 Innovatie (EL&I) en Veiligheid en Justitie (Ven]) programma Nationale Infrastructuur Cybercrime (NICC). Het projectteam van het NICC voert samen met de sectoren het project uit. Deze rapportage richt zich op de weerbaarheid van de sector drinkwater tegen ernstige verstoringen in de elektriciteit- en telecommunicatievoorziening.
1.2 Doelstelling De ministeries van EL&I en Ven] hebben de doelstelling als volgt geformuleerd: de weerbaarheid van de vitale sector drinkwater tegen ernstige verstoringen in de elektriciteit respectievelijk de telecommunicatie sector inzichtelijk maken en . Na fase 1 is een tweede doelstelling toegevoegd: ‘een 4 zo nodig te vergroten proces op gang brengen’. Het is belangrijk dat vitale sectoren zich bewust zijn van de afhankelijkheden van elektriciteit en telecom, nadenken over de genomen maatregelen en in discussie gaan over mogelijke aanvullende maatregelen. 1.3 Vraagstelling De centrale vragen van het onderzoek zijn: 1. Wat zijn de kritische processen binnen een vitale dienst in de sector waarvoor het gebruik van elektriciteit en/of telecommunicatie van wezenlijk belang is? 2. Zijn er voor deze processen maatregelen getroffen bij uitval van elektriciteit en/ of telecommunicatie? 3. Zo ja, hoelang wordt het volgehouden? 4. Welke aanvullende maatregelen kunnen worden getroffen? Hierbij wordt uitgegaan van totale uitval van elektriciteit en/of telecommunicatie voor drie dagen.
Ten tijde van het project zijn de ministeries van de opdrachtgevers van naam veranderd in
respectievelijk Economische Zaken, Landbouw en Innovatie (EL&l) en Veiligheid en Justitie (V&J). Bij de start van het project van waren de namen van de ministeries van de opdrachtgevers EZ en BZK. In de voortgangsbrief Nationale Veiligheid aan de Tweede Kamer van 5juni 2009 is de volgende passage opgenomen: “Het kabinet zet zich er voor in dat de vitale sectoren eind 2010 zich volledig bewust zijn van de mate van afhankelijkheid van energie (m.n. elektriciteit) en ICT. Bij die sectoren waar deze afhankelijkheid van wezenlijk belang is voor het kunnen blijven leveren van hun vitale diensten is dan in continuïteitsplannen aandacht gegeven aan de weerbaarheid tegen verstoring van elektriciteit en ICT.” 5
@ 1.4
eri CyP2rChrT1e
NICC
Uitgangspunten
Bij de uitvoering van dit project zijn de volgende uitgangspunten gehanteerd:
Maatwerk per sector Niet elke sector is op dezelfde manier georganiseerd en niet elke sector is op dezelfde manier met business continuïteit bezig. Daarom is binnen dit project gekozen voor maatwerk per sector. Maatwerk betekent in de praktijk vooral: het vinden van de juiste aanspreekpunten en sleutelpersonen binnen een sector en het afstemmen van de relevantie van de onderzoeksvragen met deze sleutelpersonen. Aansluiting bij bestaande structuren Voor het verkrijgen van draagvlak binnen de sectoren en het beperken van de belasting voor de sectoren is er in dit project voor gekozen zoveel mogelijk gebruik te maken van bestaande (overleg)structuren. Betrokkenheid bronsectoren telecommunicatie en elektriciteit Belangrijk voor dit traject is de betrokkenheid van de elektriciteit en telecommunicatie sector. De kennis van deze sectoren helpt bij het verkrijgen van inzicht in de weerbaarheid van vitale sectoren tegen elektriciteit en! of telecommunicatie uitval. Intersectorale aanpak Dit project is er nadrukkelijk op gericht sectoren met elkaar in contact te brengen en informatie-uitwisseling te stimuleren met als doel de weerbaarheid ten aanzien van uitval te vergoten. Veel kennis over weerbaarheid is aanwezig binnen een sector maar ook de bronsectoren kunnen een rol spelen bij het vergroten van het inzicht in afhankelijkheden en de mogelijkheden voor het vergroten van de weerbaarheid. Vooral de bronsectoren elektriciteit en telecommunicatie spelen hierbij een belangrijke rol. Sector-sector benadering Er is gekozen voor een sector-sector benadering. Dat betekent dat het contact tussen sectoren wordt gestimuleerd. De overheid treedt hierbij op als facilitator. Specifieke klant-leverancier gesprekken vallen hierbuiten. De consequentie van een sector-sector benadering is dat niet altijd de benodigde diepgang kan worden bereikt. Daarom is er daarnaast ruimte om overleg tussen klanten en leveranciers verder te faciliteren als wordt geconstateerd dat meer diepgang is vereist. Het faciliteren van deze vormen van overleg is dus mogelijk, maar valt wel buiten de scope van dit project.
1.5
Onderzoeksmethoden
5 en Vewin opgesteld en tevens Het plan van aanpak is gezamenlijk met VROM goedgekeurd door respectievelijk de Stuurgroep Security en Vitaal (VROM) en de Stuurgroep Beveiliging en Crisismanagement (Vewin). Met behulp van bureaustudie, interviews, een sectorale workshop en een intersectorale workshop is de weerbaarheid van de drinkwatersector tegen uitval van elektriciteit en/of telecommunicatie in kaart gebracht. Relevante documenten betreffen beleidsstukken en eerdere onderzoeken naar wederzijdse afhankelijkheden tussen vitale sectoren. Interviews zijn gehouden met een vertegenwoordiging van vijf drinkwaterbedrijven en de VROM-Inspectie (zie bijlage).
Ten tijde van het project is het ministerie van Volkshuisvesting, Ruimtelijke Ordening en Milieubeheer (VROM) van naam veranderd in het ministerie van Infrastructuur en Milieu. In dit rapport zal nog worden verwezen naar het oude’ ministerie VROM.
6
NICC Tijdens de sectorale workshop zijn met de vijf geïnterviewde drinkwaterbedrijven, Vewin en de VROM-Inspectie de resultaten van de interviews gevalideerd. Tevens zijn vragen geformuleerd voor de telecom- en elektriciteitsector. Tijdens de intersectorale bijeenkomst stonden de onderlinge afhankelijkheden centraal. Vertegenwoordiging van zowel de telecom- als elektriciteitsector alsmede acht drinkwaterbedrijven waren aanwezig (zie in bijlagen de lijst van respondenten, de deelnemers aan de workshops en de vragen aan en antwoorden van de telecom- en elektriciteitsector). Tot slot is deze rapportage aan de Stuurgroep Security en Vitaal (VROM), de Vewin-Stuurgroep Beveiliging en Crisismanagement en aan het Vewin-Bestuur ter accordering voorgelegd. Tevens zullen de resultaten van het onderzoek door de opdrachtgevers (EZ en VROM) in overleg met VROM en Vewin worden gerapporteerd aan de Stuurgroep Nationale Veiligheid.
1.6 Afbakening Het CAET traject richt zich op de weerbaarheid van de tien drinkwaterbedrijven in Nederland. Het project beperkt zich tot het geven van voorstellen tot verbetering en niet tot het maken van keuzes voor de realisatie van deze voorstellen. Dat laatste is voorbehouden aan de sector in afstemming met het vakdepartement VROM. Drinkwaterbedrijven in Nederland
1. Waterbedrijf Groningen 2. Waterleidingmaatschappij Drenthe
6. Oasen 7. Vitens
3. PWN 4. Waternet 5. Dunea
8. Evides 9. Brabant Water 10. WML
Wa[erbedrf Groningen
Wate[eiding rniach.r pij Ore nthe
PWN Wteriihnj
bedrijf NcordioIind
1 l.rn.it
..L Ç
Oasen
ViFl L
Figuur 1. Voorzieninggebieden drinkwaterbedrijven anno 2010 (bron: wwwvewin.nl)
7
cgi cybrcrrne
LL/
NICC
1.7 Vertrouwelijkheid Vanwege het onderwerp van dit project ‘de weerbaarheid van de drinkwatersector’ verdient het thema vertrouwelijkheid van informatie extra aandacht. Rapportage met hoog abstractieniveau In verband met veiligheidseisen heeft de rapportage een hoog abstractieniveau. In de drinkwaterwet is opgenomen dat de gegevens die betrekking hebben op het voorkomen van een verstoring, de voorbereiding op een verstoring dan wel het optreden in geval van een verstoring informatie is als bedoeld in artikel 10, eerste lid, aanhef en onderdeel b, van de Wet openbaarheid van bestuur (Wob). Artikel 10, eerste lid, onderdeel b, geeft aan dat het verstrekken van informatie ingevolge de Wob achterwege blijft indien de veiligheid van de Staat geschaad zou kunnen worden. Op grond van deze bepalingen is overeengekomen een rapportage met hoog abstractieniveau op te stellen. Borging vertrouwelijkheid projecttea m NICC borgt de vertrouwelijkheid van het projectteam door middel van screening en geheimhoudingsverklaring van betrokken medewerkers. Borging vertrouwelijkheid workshop Het traffic light protocol (TLP) wordt gehanteerd tijdens workshopsrondes. Dit is een geaccepteerd informatie-uitwisseling reglement bij publiek-private informatiedeling. De informatievertrekker bepaalt welke kleur de informatie heeft: rood, geel, groen of wit. 6 Rubricering: code geel Deze rapportage is gerubriceerd als code geel. Dit houdt in dat de dit rapport mag worden gedeeld binnen de organisatleonderdelen van de drinkwaterbedrijven (hetzij directe medewerkers, adviseurs, opdrachtnemers, hetzij binnen de organisatie werkzaam, gedetacheerd personeel) die deze informatie nodig hebben om maatregelen te treffen. 1.8 Leeswijzer Hoofdstuk 2 typeert de drinkwatersector en beschrijft de kritische processen die afhankelijk zijn van telecommunicatie en/of elektriciteit. De genomen maatregelen tegen uitval zijn in hoofdstuk 3 uiteengezet. De mogelijk aanvullende maatregelen, conclusies en aanbevelingen volgen respectievelijk in hoofdstuk 4 en 5.
Rode informatie betreft geheime informatie uitsluitend ter kennisname van de aanwezigen. Gele informatie betreft informatie dat door de aanwezigen mag worden gedeeld binnen hun Organisatie (hetzij directe medewerkers, adviseurs, opdrachtnemers, hetzij binnen de Organisatie werkzaam, gedetacheerd personeel) die deze informatie nodig hebben om maatregelen te treffen. Groene informatie is informatie die met andere organisaties, informatiefora of personen werkzaam in netwerkbeveiliging, informatiebeveiliging of de vitale infrastructuurgemeenschap in bredere zin, mag worden gedeeld, maar die niet mag worden gepubliceerd of op het web geplaatst. Witte informatie is bedoeld voor publieke, onbeperkte verspreiding, publicatie, plaatsing op het web of uitzending. Elke aanwezige mag deze informatie openbaar maken, met inachtneming van het auteursrecht.
8
NICC 2
Typering sector
Drinkwater is voor de mens een primaire levensbehoefte. Naast consumptie voor de mens wordt drinkwater tevens gebruikt voor sanitatie en overige huishoudelijke doeleinden, proceswater, bluswater en consumptiewater voor dieren. De continuïteit en kwaliteit van de levering van drinkwater zijn volgens 7 gewaarborgd. Met de nieuwe Drinkwaterwet, die naar eerdere onderzoeken verwachting gelijktijdig met het drinkwaterbesluit op 1 juli 2011 in werking treedt, wordt het opstellen van leveringsplannen wettelijk geregeld. In de leveringsplannen tonen drinkwaterbedrijven aan dat ze voldoen aan de 8 Daarnaast wettelijke eisen ten aanzien van leveringszekerheid en continuïteit. is binnen de sector een basisniveau van beveiliging afgesproken, het zogenoemde GoedHuisVaderschap. Basis voor deze aanpak was het project Beveiliging Nederlandse Watersector (Benewater) waarin enerzijds reële bedreigingen voor waterbedrijven in kaart zijn gebracht en anderzijds haalbare en proportionele beveiligingsmaatregelen zijn geformuleerd. Op grond van het project Benewater voorziet de sector in een lokale beveiligingsaanpak waarbij een samenhangend pakket van technische, personele, organisatorische en ICT maatregelen is geïmplementeerd. De leveringsplannen en het afgesproken niveau van beveiliging dekken volgens eerdere onderzoeken de vitale belangen 9 van de drinkwatervoorziening voldoende af. De kern van de verantwoordelijkheidsverdeling is dat de overheid zorg draagt voor de drinkwatervoorziening en de drinkwaterbedrijven belast zijn met de feitelijke uitvoering daarvan (aanleg en beheer van infrastructuur, productie en distributie). Deze uitvoering moet in overeenstemming zijn met de wettelijke eisen ten aanzien van drinkwaterkwaliteit, leveringszekerheid, continuïteit en doelmatigheid. Het rijk heeft hierbij het eerstelijns toezicht. Voor bestuursorganen van de overheid geldt dat de duurzame veiligstelling van de drinkwatervoorziening een dwingende reden van groot openbaar belang is. Wettelijke eisen ten aanzien van leveringszekerheid hebben betrekking op niet verstoorde en verstoorde omstandigheden. De nieuwe Drinkwaterwet regelt ook
Aan deze conclusie liggen meerdere onderzoeken ten grondslag, o.a. uitgevoerd in opdracht van het Strategisch Overleg Vitale Infrastructuur (SOVI). TNO (2007), Onderlinge Afhankelijkheid Vitale Sectoren: afhankelijkheidsonderzoek elektriciteit (SOVI intern gebruik). NAVI (2009), ICT en vitale infrastructuur: quickscan van afhankelijkheden en kwetsbaarheden (SOVI besloten gebruik). Er bestaan vijf prestatieniveaus waar drinkwaterbedrijven mee hebben te maken, deze zijn beschreven in de zogenaamde leveringsplannen: 1) De eigenaar van een drinkwaterbedrijf draagt er zorg voor dat de levering van deugdelijk drinkwater aan consumenten en andere afnemers in het voor zijn drinkwaterbedrijf vastgestelde distributiegebied gewaarborgd is in een zodanige hoeveelheid en onder een zodanige druk als in het belang van de volksgezondheid vereist is. 2) Enkelvoudige storingen en calamiteiten (uitval van één zelfstandig onderdeel) dienen binnen 24 hersteld te zijn; binnen 24 uur moet een hoeveelheid drinkwater worden geleverd die op dagbasis ten minste 75% bedraagt van de hoeveelheid die wordt geleverd op de maximumdag. 3) Bij uitval van externe leveranties (elektriciteit, chemicaliën etc.) dient het drinkwaterbedrijf 10 dagen zelfvoorzienend te zijn om de continue levering van deugdelijk drinkwater gedurende ten minste tien dagen op basis van een gemiddeld dagverbruik te waarborgen. 4) Bij grote calamiteiten (uitval van meerdere zelfstandige onderdelen) geldt een inspanningsverplichting om de drinkwatervoorzienig in het door uitval getroffen distributiegebied zo veel mogelijk in stand te houden. S) Bij uitval langer dan 24 uur dient het drinkwaterbedrijf nooddrinkwater te leveren (31/pp/pd). 9 Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (2009). 2de inhoudelijke analyse bescherming vitale infrastructuur. 9
NICC de nooddrinkwatervoorziening en de noodwatervoorziening, zoals die door 10 drinkwaterbedrijven en gemeenten gezamenlijk moet worden ingericht. De drinkwatersector kan worden getypeerd als een sector waar leverings zekerheid sinds het bestaan van de sector hoog op de agenda staat. Continuïteit is gewaarborgd door ingebouwde redundantie. Tevens zijn in het geval van nood strategische voorraden aanwezig (zoals dieselolie en chemicaliën), om de gevolgen van uitval van externe leveranties zo veel mogelijk te beperken. Daarnaast is een nooddrinkwatervoorziening voorhanden.
10
Ministér-ie van Binnenlandse Zaken en Koninkrijksrelaties (2009 analyse bescherming vitale infrastructuur.
2ihoudijke 10
NICC 3
Kritische processen
3.1 Inleiding Vitale infrastructuren zijn ‘die producten, diensten en processen die, als zij uitvallen, maatschappelijk of economische ontwrichting van (inter-)nationale omvang kunnen veroorzaken, doordat er veel slachtoffers kunnen vallen en/of omdat het herstel zeer lang gaat duren en er geen reële alternatieven . 11 voorhanden zijn, terwijl we deze producten en diensten niet kunnen missen’ 12 Binnen de sector drinkwater is de dienst ‘drinkwatervoorziening’ als vitaal aangemerkt. Om de weerbaarheid van de dienst drinkwatervoorziening te kunnen beoordelen is het van belang de kritische processen te onderscheiden die hieraan ten grondslag liggen en per proces te kijken wat de afhankelijkheid van telecommunicatie en elektriciteit is. 3.2 Kritische processen Met betrekking tot drinkwatervoorziening onderscheidt de drinkwatersector de , kwaliteitscontrole en distributie. 3 onderdelen ruwwaterwinning, waterzuivering’
i4r coord1atte Voor bijzondere situaties hebben de drinkwaterbedrijven een onderhouds-, storings- en een crisisproces ingericht. Het onderhoudsproces wordt ingezet als er iets dreigt mis te gaan. Indien het storings- en/of crisisproces wordt ingezet is er reeds iets misgegaan of is er sprake van een dreiging.
3.3 Afhankelijkheid van telecommunicatie Het gehele proces (winning tot en met distributie) is in hoge mate geautomatiseerd. De drinkwaterinfrastructuur wordt voor een groot deel bediend en bewaakt door middel van procesbesturingssystemen. In productieprocessen dient de procesautomatisering voor het verzamelen van informatie, het aansturen van machines en het transport. De besturing en bewaking vinden op afstand plaats waarbij de communicatie 4 Het functioneren van plaatsvindt via kabels van telecommunicatieaanbieders) de procesautomatisering is afhankelijk van telecommunicatie. Hierbij dient onderscheid te worden gemaakt tussen afhankelijkheid van externe telecommunicatie infrastructuur en interne infrastructuur. Dit betekent aan de ene kant afhankelijkheid van telecommunicatieaanbieders (extern) en aan de andere kant afhankelijkheid van de eigen telecommunicatielijnen (intern). Vaak
Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (2009). 2de inhoudelijke analyse bescherming vitale infrastructuur. Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (2009). 2de inhoudelijke analyse bescherming vitale infrastructu ur. 3 Drinkwater wordt gewonnen vanuit grond- en/of oppervlaktewater. Het zuiveringsproces van oppervlaktewater bevat meer stappen dan het zuiveringsproces van rond water. Aan deze conclusie liggen meer onderzoeken ten grondslaq, o.a. uitgevoerd in opdracht van t t Strategisch Overleg Vitale Infrastructuir (SOVT’I T .
/
-LL_---bX L__a
-
___Ifl
-
_-‘—
—
—-
—
11
tug:n cyher
NICC hebben drinkwaterbedrijven interne lijnen per locatie en is de communicatie tussen locaties afhankelijk van externe lijnen. Een drinkwaterbedrijf heeft minder goed zicht op het proces bij uitval van dataverkeer. Centraal is er geen zicht op wat er in het drinkwaternetwerk , op lokaal niveau mogelijk wel. Mogelijke storingen zijn op centraal 5 gebeurt’ niveau niet meteen in beeld. Bovendien geldt voor het storingsproces dat onderhoudsmedewerkers per telefoon of email op de hoogte worden gesteld van storingen. Tevens is het crisisproces van de drinkwaterbedrijven afhankelijk van spraakcommunicatie. Het is belangrijk om uit elkaar te houden op welke onderdelen de drinkwaterbedrijven afhankelijk zijn van de continuïteit van externe telecommunicatieaanbieders aan de ene kant en het interne dataverkeer over eigen lijnen aan de andere kant. Dit verschilt per drinkwaterbedrijf. Bij de meeste drinkwaterbedrijven is het zo dat de procesbesturingssystemen op locatie autonoom (kunnen) werken en dus niet afhankelijk zijn van externe datacommunicatie. De communicatie tussen locaties en tussen medewerkers is echter wel afhankelijk van externe telecommunicatieaanbieders. Dit onderzoek richt zich van oorsprong op de afhankelijkheid van externe telecommunicatieaanbieders. De afhankelijkheid van interne telecommunicatie infrastructuur is echter ook deels in dit onderzoek meegenomen.
3.4
Afhankelijkheid van elektriciteit
De winning en zuivering zijn sterk afhankelijk van het functioneren van elektrisch aangedreven pompen en procesbesturingssystemen.’ 6 Daarnaast is het handhaven van een constante druk op het waterleidingnet essentieel voor de waterkwaliteit en dat het water continu bij elke afnemer uit de kraan komt. Zo zijn opvoerpompen in het veld opgesteld om een optimale druk te regelen bij lange distributieafstanden (voornamelijk platteland). Wanneer er geen maatregelen zouden zijn genomen om elektriciteitstoring te voorkomen, zouden de pompen wegvallen met als gevolg dat er vrijwel direct geen drinkwater beschikbaar is. Zowel de winning, zuivering, transport en distributie komen stil te vallen. Bovendien kan het wegvallen van de druk in de leidingen eventuele ernstige gevolgen hebben voor de volksgezondheid. Water kan dan terugvloeien waarbij lucht en grondwater- en daarmee verontreinigingen- in de leidingen kunnen komen. Om de situatie te herstellen dient het water vervolgens gechioreerd en doorgespoeld te worden, een kookadvies afgegeven te worden en/of moet een gedeelte van het net handmatig ontlucht worden. Dit laatste is een arbeidsintensief en langdurig proces (afhankelijk van de omvang oplopend tot drie weken). 17
Met uitzondering van een grote lekkage. Deze kan wel worden opgemerkt door een semafoonmelding dat er een (veel) groter debiet uitgaat dan verwacht. 6 Op enkele locaties wordt nog gebruik gemaakt van dieselpompen (die functioneren ook zonder elektriciteit). 12
tgQn c ‘:.tcrirne
LL/ NICC 4
Genomen maatregelen
4.1 4.1.1
Weerbaarheid tegen telecommunicatie uitval Kantoor- en procesautomatisering
De afgelopen decennia is de drinkwatersector in grote mate geautomatiseerd. Kantoorautomatisering is het geheel aan correspondentie van zowel, administratieve als financiële en human resource processen binnen de kantooromgeving en is vaak gekoppeld aan een documentmanagementsysteem. Procesautomatisering houdt de geautomatiseerde besturing van de drinkwaterprocessen in. Binnen de procesautomatisering zijn verschillende lagen van besturing, zoals Supervisory Control and Data Acquisition (SCADA), procescontrolenetwerken, Programmable Logic Controller (PLC) en hun fysieke en organisatorische omgevingen. De netwerken van kantoor- en procesautomatisering zijn vaak aan elkaar gekoppeld. Kantoorautomatisering is in eerdere onderzoeken niet als vitaal aangemerkt. Tijdens de interviews met de drinkwaterbedrijven komt echter naar voren dat uitval van kantoorautomatisering een nadelig effect heeft op het ten uitvoer brengen van bijvoorbeeld het crisiscoördinatieproces. Crisiscoördinatie vindt over het algemeen plaats vanuit de kantooromgeving. Communicatiemiddelen zijn van groot belang bij crisiscoördinatie. De procesbesturingssystemen op locaties draaien bij de meeste drinkwaterbedrijven op een intern netwerk. De communicatie tussen locaties geschied echter via een extern netwerk. Een storing in het interne procesbesturingsnetwerk betekent dat het productieproces handmatig bediend dient te worden. Voorwaarde is dan dat er voldoende personeel aanwezig is. De drinkwaterbedrijven zijn zich bewust van de noodzaak het handmatig bedienen van het drinkwaterproces regelmatiger te beoefenen. De meeste locaties in het drinkwaterproces zijn onbemand. De procesbesturingssystemen sturen het proces aan en houden het proces in de gaten. Bij uitval van de procesautomatisering (PA) varen de drinkwaterbedrijven ‘blind’ en is handbediening het uiterste redmiddel. Er gelden echter meer niveaus van uitval. PA kan falen op centraal niveau. Dan kan er worden teruggevallen op PA op lokaal niveau. Wanneer deze PA ook faalt kan worden overgegaan op handbediening, De bemensing stelt handmatig de veilige of handdrukinstelling in. Knelpunt bij handbediening is de beschikbare menskracht (capaciteit en kwaliteit). Niet iedereen is opgeleid voor handbediening. Bovendien zijn bij enkele bedrijven sommige handelingen in het zuiveringsproces niet meer met de hand uit te voeren. Enkele drinkwaterbedrijven beschikken over vraagvoorspellingsprogrammatuur (voor de besturing van de drinkwaterproductie) dat de drinkwaterbehoefte twee dagen vooruit voorspelt. Bij langdurige uitval van telecommunicatie dient er rekening te worden gehouden met het ontbreken van de voorspelling. De impact van het niet ontvangen van de voorspelling is met alle waarschijnlijkheid niet groot, omdat het drinkwaterverbruik van dag tot dag redelijk constant is. Een gevolg bij kleine verschillen in vraag en aanbod zou ‘minder comfort’ kunnen zijn, zoals een minder harde straal in de douche. 4.1.2
Spraak- en dataverkeer via vaste en mobiele telefonie
Spraak- en dataverkeer zijn van belang voor het onderhoud-, storing- en crisisproces. Zo worden storingen bij uitval van telecommunicatie mogelijk niet opgemerkt. Indien storingen nog wel opgemerkt worden, is het doorgeven van de storingen aan de storingsmonteurs minder gemakkelijk. Tevens ontbreekt contact met ketenpartners, zoals onderhoudsmonteurs.
13
@
‘eri
v2rcrlme
NICC
Om uitval van communicatiemiddelen te voorkomen beschikken sommige drinkwaterbedrijven over een dubbel uitgevoerde glasvezelverbinding. Tevens beschikken alle drinkwaterbedrijven over de noodcommunicatiemiddelen C2000 en noodnet. Verschillende bedrijven beschikken aanvullend over satelliettelefoons, piepers en Entropia. Sommige drinkwaterbedrijven beschikken over abonnementen bij meer (mobiele) telecommunicatieproviders, in geval één telecommunicatieprovider uitvalt. Sommige drinkwaterbedrijven geven aan onvoldoende ervaring te hebben met het gebruik van C2000. Het werkproces om goed met C2000 om te gaan binnen de organisatie ontbreekt bij sommige drinkwaterbedrijven. Bovendien zijn bij sommige drinkwaterbedrijven onvoldoende C2000-randapparatuur aanwezig. Bedrijven hebben de mogelijkheid om via het ministerie van V&J aanvullende C2000-randapparatuur te bestellen. Bij het inzetten van de crisisorganisatie bij incidenten en bijvoorbeeld het opstarten van nooddrinkwatervoorziening zijn communicatiemiddelen van groot belang. Sommige drinkwaterbedrijven hebben de afspraak gemaakt met het crisisteam op het hoofdkantoor te verzamelen bij uitval van telecommunicatie.
4.2 4.2.1
Weerbaarheid tegen elektriciteituitval Aansluiting openbare elektriciteitsnet
De elektriciteitsleverancier is een belangrijke partner van de drinkwaterbedrijven. De drinkwaterproductie en -distributie vinden niet plaats zonder de elektrische aandrijving, met uitzondering van enkele locaties waar nog gebruik wordt gemaakt van dieselpompen. Sommige drinkwaterbedrijven hebben een dubbele aansluiting. Dit houdt in dat het bedrijf op twee punten elektriciteit afneemt van het elektriciteitsnet. Bij uitval van het ene punt kan de andere aansluiting het overnemen. 4.2.2
Noodstroomaggregaten
De drinkwaterbedrijven zijn zich ervan bewust dat elektriciteit kan uitvallen en beschikken over noodstroomaggregaten (NSA) om zelf elektriciteit op te kunnen 8 De kritische processen kunnen niet plaatsvinden zonder elektrisch wekken.’ aangedreven pompen en het elektrisch aangedreven zuiveringsproces. Het productie- en distributieproces gaat bij uitval van elektriciteit door omdat de NSA automatisch aanslaan. Het verschilt per drinkwaterbedrijf hoeveel procent van het productie- en distributiesysteem is gedekt met NSA: van 70% tot 100%. Deze percentages zijn (mede) afhankelijk van de wijze waarop bedrijven hun productie- en distributiesysteem hebben ingericht. Ter illustratie: voor de continue levering van drinkwater is niet op voorhand elke productielocatie of pompstation benodigd. Enkele drinkwaterbedrijven geven aan dat er per pompstation één of twee extra NSA staan, mochten de eerste NSA het begeven. Het aantal pompen dat draait in het drinkwaternetwerk verschilt per moment en is afhankelijk van de vraag op dat moment (of in de nabije toekomst). Niet altijd zijn alle pompen in gebruik. Aanname van de drinkwaterbedrijven is dat bij elektriciteituitval ook de vraag naar water afneemt. Bij uitval van elektriciteit werken de meeste veel waterverbruikende en verwarmingsapparatuur namelijk ook niet. Drukvermeerderingsinstallaties hebben niet allemaal een NSA. Door voldoende druk uit de pompstations dient het wegvallen van stroom in de distributie stations geen probleem te zijn, hooguit wordt het comfort minder (minder 8
Een enkel drinkwaterbedrijf beschikt ook over gas-NSA’s. Bij een grootschalige electriciteitsuitval zal ook de gasvoorziening waarschijnlijk wegvallen omdat die eveneens afhankelijk is van stroom. 14
gen c\rcrlme
NICC harde straal). Over het algemeen geldt dat, afhankelijk van de grootte van het uitgevallen pompstation, een ander pompstation de werkzaamheden kan overnemen. Hooguit kan drukverlies optreden in af- of hoger gelegen gebieden. 19 Omdat de betrouwbaarheid van NSA van groot belang is, testen de drinkwaterbedrijven de NSA (van één keer per week tot één keer per maand) en ondergaan de NSA regelmatig een onderhoudsprogramma. De drinkwaterbedrijven moeten volgens het huidige Waterleidingbesluit beschikken over onafhankelijke voorzieningen om de continue levering van deugdelijk drinkwater gedurende tenminste tien dagen vollast bedrijf te kunnen . De meeste drinkwaterbedrijven voldoen hieraan; de 20 waarborgen drinkwaterbedrijven die niet beschikken over dieselvoorraden waarbij de NSA tien dagen kunnen draaien zijn bezig met de aanschaf hiervan. Overigens hoeven niet alle productielocaties en pompstations te zijn voorzien van een NSA; door koppelingen kunnen andere locaties of stations de vraag opvangen. Na de tien dagen die de drinkwaterbedrijven met eigen brandstofvoorraad moeten doorkomen om de continue levering van deugdelijk drinkwater te waarborgen, zijn de drinkwaterbedrijven afhankelijk van de overheid voor de aanvoer van diesel (nationaal strategische reserve). Naast de drinkwaterproductie en —distributie is de crisiscoördinatie afhankelijk van elektriciteit. Bij sommige drinkwaterbedrijven beschikken de crisiscoördinatiecentra of het hoofdkantoor ook over NSA. Drinkwaterbedrijven geven aan dat bij langdurige stroomuitval ook kan worden uitgeweken naar lokale controlekamers waar noodstroom aanwezig is.
Het niet hebben van water op hogere verdiepingen in een gebouw, door het ontbreken van NSA bij de hydroforen, is niet de verantwoordelijkheid van de drinkwaterbedrijven, maar de verantwoordelijkheid van de gebouweigenaren. Het Drinkwaterbesluit spreekt van ‘gemiddeld dagverbruik’. 15
NICC 5 5.1 5.1.1
Mogelijke aanvullende maatregelen Ten aanzien van uitval telecommunicatie Procesautomatisering
Bij het uitvallen van procesautomatisering is handbediening een terugvaloptie. Hierbij is het van belang dat er voldoende gekwalificeerde medewerkers aanwezig zijn. Het is onvoldoende duidelijk in hoeverre de huidige capaciteit en kwaliteit toereikend is. De drinkwaterbedrijven zijn zich bewust van de noodzaak het handmatig bedienen van het drinkwaterproces regelmatiger te moeten beoefenen. Aanbeveling aan drinkwaterbedrijven: • Op basis van een risicoanalyse zorgdragen voor toereikende (externe en/of interne) capaciteit en kwaliteit van handbediening bij uitval van procesautomatisering (inclusief maatregelen ten aanzien van opleiden trainen oefenen); • duidelijk hebben welke kritische processen zich niet voor handbediening lenen (bijvoorbeeld onderdelen van zuivering) en hierop een alternatieve procesgang formuleren. Om de kans op uitval van de interne procesautomatisering te verkleinen is het wenselijk dat de procesautomatisering op een datacommunicatienetwerk draait dat onafhankelijk is van het kantoorautomatiseringsnetwerk. Houdt hierbij rekening met de verschillende lagen en locaties van procesautomatisering (het centrale SCADA systeem, procesautomatisering op lokale productlocaties) en de verbinding tussen deze lagen en locaties. Aanvullend is het aan te bevelen de kritische processen onafhankelijk te laten zijn van externe telecommunicatieaanbieders, zodat de kritische processen door kunnen blijven gaan bij uitval van externe telecommunicatieaanbieders (KPN, T mobile, Vodafone etc.). Een alternatief is het hebben van interne lijnen. Dit om de weerbaarheid tegen telecommunicatie-uitval te vergroten. Procesautomatisering werkt veelal met een lokaal netwerk. De weerbaarheid van PA/ICT-uitval is lokaal op te lossen door het drinkwaterbedrijf. Daar waar deze PA op afstand gecontroleerd/bediend wordt, maakt men gebruik van telecommunicatie. Dat is of eigen lijn of een externe telecommunicatieaanbieder (vast of mobiel). Als die communicatie ook kritisch is voor het bedrijfsproces (leveringszekerheid; drinkwaterkwaliteit), is het belangrijk om de weerbaarheid tegen telecommunicatie-uitval in deze communicatieverbinding in de eigen gebalanceerde risicoanalyseafwegingen mee te nemen en te bezien of redundantie noodzakelijk is. Een communicatieverbinding kan namelijk technisch gestoord raken door bijvoorbeeld een graver die de kabel opgraaft, een boom die omwaait waardoor de wortels de kabel meenemen of door stroomuitval. Zoals hierboven is aangemerkt de communicatie tussen verschillende locaties mogelijk een kritisch proces. Wat opvalt is dat locaties vaak beschikken over interne lijnen, maar dat de verbinding tussen verschillende locaties afhankelijk is van externe telecomaanbieders. Mits de verbinding tussen bepaalde locaties van cruciaal belang is, is het aan te bevelen dit een interne lijn te laten zijn (onafhankelijk van externe telecommunicatieaanbieders). Dit voor wat betreft de verbindingen tussen verschillende locaties. Hiernaast speelt nog dat PA van een productieomgeving is opgebouwd uit lagen. Deze lagen kunnen verspreid zijn over meerdere locaties. Om ervoor te zorgen dat alle lagen van de PA blijven draaien (ook wanneer deze over verschillende locaties is verdeeld) is het aan te bevelen dat de lijnen tussen de betreffende locaties interne lijnen zijn (onafhankelijk van externe telecomaanbieders). De alternatieve procesgang is: ervoor zorgen dat de kritisch aangemerkte processen draaien op interne 16
@
tC’2(fl
cybercrme
NICC
lijnen. Let daarbij op de verbinding tussen verschillende locaties en de verschillende lagen van PA (mogelijk verdeeld over verschillende locaties). De afhankelijkheid van de beschikbaarheid van de verbinding is minder als de PA zo is gericht dat het alleen of afstand monitort (en eventueel aan langetermijn sturing doet). Bij uitval draait het autonoom verder en kan een medewerker gestuurd worden om de werking lokaal te controleren / bij te regelen. Hierbij is de kritische afhankelijkheid is weggenomen, al vervalt het gemak bij een storing. Aanbeveling aan drinkwaterbedrijven: Om bij uitval van telecommunicatie de kans op uitval van de interne PA te verkleinen, worden bedrijven aanbevolen om de kritische processen en daarmee de kritische communicatieverbindin gen te inventariseren en deze onafhankelijk te maken van externe telecommunicatieaanbieders. Een alternatief is om de kritische communicatieverbindingen op interne lijnen te laten draaien.
5.1.2
Noodcommunicatiemiddelen
De drinkwaterbedrijven houden rekening met uitval van telecommunicatie/ICT. Zo beschikken alle drinkwaterbedrijven over C2000 en Nationaal Noodnet. Verschillende bedrijven hebben aanvullend Entropia, satelliettelefoons, semafoons en portofoons. Uit de interviews blijkt echter dat de drinkwaterbedrijven nog wel een aantal vragen hebben tav. de effecten van uitval van telecommunicatie/ICT op hun storing- en crisiscoördinatie: 21 • Hoe komt de crisisorganisatie op gang zonder telecommunicatie? • Hoe communiceert een drinkwaterbedrijf met de burgers/de klant bij 22 uitval? Wat is hierover afgesproken met gemeenten/veiligheidsregio? • Hoe verloopt het storingsproces bij uitval telecommunicatie/ICT? Hoe krijgt men het signaal bij de monteur? • Is een standaard falI-back communicatiemiddel wenselijk? • Zijn er werkafspraken gemaakt hoe te communiceren tijdens in ci de nte n/cri ses? Daarnaast zouden de drinkwaterbedrijven graag meer informatie willen hebben over het nieuwe noodnet: noodcommunicatievoorziening (NCV). De drinkwaterbedrijven willen meer duidelijkheid over de vele mogelijkheden van het NCV en de voordelen ten opzichte van de huidige communicatiemiddelen Aanvullend geven de drinkwaterbedrijven aan dat meer oefenen met noodcommunicatiemiddelen wenselijk is. Aanbeveling aan drinkwaterbedrijven: • Oefenen met het scenario telecommunicatie-uitval/ oefenen met noodcommunicatiemiddelen op cruciale locaties: op basis van risicoanalyse dient bepaald te worden wat de cruciale locaties zijn en hoeveel noodcommunicatie setjes aangeschaft dienen te worden; • afspraken maken met derden (denk aan leveranciers en onderhoudsmonteurs) die niet over noodcommunicatiemiddelen beschikken hoe met elkaar te communiceren bij uitval van telecommunicatie en afspraken maken over wat men kan verwachten van derden tijdens crisis; • bij het afsluiten van abonnementen bij tweede providers er zeker van zijn dat de pro viders niet dezelfde lijnen gebruiken;
2!
C2000-apparatuur mag enkel bij uitval van de eigen reguliere (mobiele) communicatie worden uitgereikt en ingezet. Het is de drinkwaterbedrijven niet toegestaan de apparatuur standaard bij zich te dragen en/of mee naar huis te nemen). NB: In het kader van het landelijk convenant drinkwater worden hierover momenteel afspraken gemaakt tussen drinkwaterbedrijven en veiligheidsregio’s 17
NICC • •
vast/eggen in draaiboeken wat de te doen bij telecommunicatie-uitval (bijvoorbeeld: met het crisisteam verzamelen op het hoofdkantoor); weet hoe te handelen tijdens storings- en/of crisisproces zonder telecommunicatie.
Aanbeveling aan ministeries EL&I en VenJ: • opdracht geven tot het uitvoeren van een onderzoek naar beschikbare noodcommunicatiemiddelen en bijbehorende voor- en nadelen. 5.1.3
Algemeen
Sommige drinkwaterbedrijven zijn tot het inzicht gekomen dat hun afhankelijkheid van telecommunicatie groter is dan gedacht. Drinkwaterbedrijven zijn afhankelijk van telecommunicatiediensten voor interne en externe netwerken. Voor beide typen ‘telecommunicatiediensten’ zijn maatregelen nodig om de weerbaarheid te vergroten. De drinkwatersector is geadviseerd zeer kritisch naar de huidige contracten met de telecommunicatieproviders te kijken om bij het volgende contract als vitale sector mogelijk extra eisen aan de kwaliteit te stellen en specifieke service level agreements af te spreken (inclusief boeteclausules). Aanbeveling aan drinkwaterbedrijven: • de contracten met telecommunicatieproviders kritisch bekijken en mogelijk extra eisen aan de kwaliteit van de af te nemen diensten stel/en. Oefenen blijft het sleutelwoord. Het is belangrijk om bij oefeningen kwetsbaarheden te constateren en hierop maatregelen te nemen. “Veel tijd is gestoken in fysieke beveiliging. Nu moet er tijd worden gestoken in het weerbaar zijn tegen telecommunicatie uitval.” Aanbeveling aan drinkwaterbedrijven: • oefenen met het scenario telecommunicatieuitval/ oefenen met noodcommunica tiemiddelen • op de hoogte blijven van ontwikkelingen in de telecommarkt en de gevolgen voor de drinkwatersector.
5.2 5.2.1
Ten aanzien van elektriciteituitval Dubbele aansluiting openbare elektriciteitsnet
Enkele drinkwaterbedrijven hebben een dubbele aansluiting op het elektriciteitsnet. Het is onvoldoende duidelijk wat de dubbele verbindingen zijn en in hoeverre dubbele aansluiting voor alle drinkwaterbedrijven op alle locaties wenselijk is. Aanbeveling aan drinkwaterbedrijven: • op basis van een risicoanalyse de keuze maken om al dan niet dubbele aansluitingen aan te leggen bij cruciale locaties. 5.2.2
Noodstroomaggregaten
De drinkwatersector is zich ten zeerste bewust van de afhankelijkheid van elektriciteit en ziet elektriciteitsuitval als geen probleem omdat er NSA’s zijn geregeld. Eén drinkwaterbedrijf geeft echter aan ervaring te hebben met falende NSA’s, waarvoor reeds een verbetertraject is ingezet. Sommige drinkwaterbedrijven hebben tevens ervaren dat NSA niet automatisch aanslaan bij uitval van elektriciteit ondanks het test- en onderhoudsprotocol dat wordt nageleefd. Enkele drinkwaterbedrijven hebben de wens uitgesproken de leveringszekerheid van NSA te willen verhogen en de complexiteit te willen verlagen. Aanvullende vraag is in hoeverre dit mogelijk is. Het is wenselijk dat 18
NICC drinkwaterbedrijven met de NSA-leveranciers om de tafel gaan om de bedrijfszekerheid van de NSA te kunnen waarborgen. NSA hebben diesel nodig om te kunnen draaien. De meeste drinkwaterbedrijven hebben voor tien dagen diesel in hun bezit. Afspraken met het ministerie van Economische Zaken, Landbouw en Innovatie en de veiligheidsregio’s zijn nodig over prioritaire levering van brandstof om ook na deze tien dagen in drinkwater te kunnen voorzien. Aanbeveling aan drinkwaterbedrijven: • samen met NSA leverancier leveringszekerheid van NSA verhogen; • naast de drinkwaterproductie en —distributie, ook het hoofdkantoor; en/of crisiscentrum aansluiten op NSA; • op de hoogte blijven van ontwikkelingen in de elektriciteitssector en de gevolgen voor de drinkwatersector.
5.3
Overkoepelend
Een intersectorale bijeenkomst is waardevol. De drinkwaterbedrijven realiseren zich dat zij goed op de hoogte moeten blijven van ontwikkelingen in elektriciteit en telecommunicatiesector gezien hun directe afhankelijkheid. Tot slot heeft de drinkwatersector vragen aan het ministerie van het Ministerie van Economische Zaken, Landbouw en Innovatie. Het betreft vragen om prioritering van de verdeling van middelen bij schaarste. Wie krijgt als eerste stroom? • • Wie krijgt als eerste diesel? Krijgen vitale sectoren (en met name de randvoorwaardelijke sectoren waaronder drinkwater) voorrang? • Bestaan er prioriteitenlijsten voor telecom- en/of elektriciteituitval? (De prioritering is wel gemaakt voor droogte) • Is er diesel voor monteurs en operators die moeten rondrijden (de wettelijke eis van onafhankelijke voorzieningen is gericht op de continue levering van drinkwater)? Hoe krijgen zijn ontheffing van een eventueel rijverbod? Moeten de drinkwaterbedrijven dit met de veiligheidsregio’s regelen? De drinkwatersector heeft graag antwoord op deze vragen zodat daarmee rekening gehouden kan worden in hun leverings- en calamiteitenplannen. Aanbeveling aan het ministerie van Economische Zaken, Landbouw en Innovatie: • deel met de vitale sectoren de prioriteitenlijsten t.a.v. dieselolie, zodat de vitale sectoren hiermee rekening kunnen houden bij het opstellen van de crisisplannen; • geef aan wat de verantwoordelijkheids- / bevoegheidsverdeling tussen EL&I en de veiligheidsregio’s is t.a. v. prioritering van dieselolie (wie gaat waarover/ landelijk versus regionaal niveau?); • stimuleer de Organisatie van intersectorale overleggen. Aanbeveling aan het ministerie van V&J: geef richting de veiligheidsregio’s het signaal dat zij in hun regionaal • crisisplan de prioritering van dieselolie moeten hebben geregeld (in overleg/afstemming met hun crisispartners zoals vitale sectoren).
19
NICC 6
Conclusie
De drinkwatersector kan worden getypeerd als een sector waar leveringszekerheid sinds het bestaan van de sector hoog op de agenda staat. Continuïteit is gewaarborgd door ingebouwde redundantie. Tevens zijn in het geval van nood strategische voorraden (zoals dieselolie en chemicaliën) aanwezig en is een nooddrinkwatervoorziening ingericht. De kritische processen winning, zuivering, kwaliteitscontrole, distributie en transport zijn afhankelijk van elektriciteit en telecommunicatie. Zonder elektriciteit wordt drinkwater niet geproduceerd en/of gedistribueerd. Als terugvaloptie hebben alle drinkwaterbedrijven noodstroomaggregaten. Dit is noodzakelijk om conform het nieuwe Drinkwaterbesluit voor 10 dagen volledig onafhankelijk te zijn van externe leveranties. Het ontbreken van telecommunicatie voor besturing en monitoring van de procesautomatisering, spraak en dataverkeer via vaste en mobiele telefonienetwerken is vervelend, maar niet onoverkomelijk. Voor spraakverkeer hebben de drinkwaterbedrijven meerdere noodcommunicatiemiddelen als terugvaloptie. Bij uitval van de procesbesturingssystemen kan het drinkwaterproces voor het grootste deel ook met de hand worden bestuurd. Het crisis-, storings- en onderhoudsproces is er echter niet op ingericht zonder telecommunicatie te draaien. Op basis van geïnventariseerde mogelijke aanvullende maatregelen heeft het NICC de volgende aanbevelingen aan de drinkwaterbedrijven opgesteld: Ten aanzien van weerbaarheid tegen uitval telecommunicatie: • op basis van een risicoanalyse zorgdragen voor toereikende (interne en/of externe) capaciteit en kwaliteit van handbediening bij uitval van procesautomatisering (inclusief maatregelen ten aanzien van opleiden trainen oefenen); • duidelijk hebben welke kritische processen zich niet voor handbediening lenen (bijvoorbeeld onderdelen van zuivering) en hierop een alternatieve procesgang formuleren; • om bij uitval van telecommunicatie de kans op uitval van de interne PA te verkleinen, worden bedrijven aanbevolen om de kritische processen en daarmee de kritische communicatieverbindingen te inventariseren en deze onafhankelijk te maken van externe telecommunicatieaanbieders. Een alternatief is om de kritische communicatieverbindingen op interne lijnen te laten draaien. • het ondersteunen van onderzoek naar beschikbare noodcommunicatie en bijbehorende voor- en nadelen; • oefenen met het scenario telecommunicatieuitval/ oefenen met noodcommunicatiemiddelen op cruciale locaties. Op basis van risicoanalyse dient bepaald te worden wat de cruciale locaties zijn en hoeveel noodcommunicatie-apparatuur aangeschaft dienen te worden; • afspraken maken met derden (denk aan leveranciers en onderhoudsmonteurs) die niet over noodcommunicatiemiddelen beschikken hoe met elkaar te communiceren bij uitval van telecommunicatie en afspraken over wat men kan verwachten van derden tijdens crisis; • bij het afsluiten van abonnementen bij tweede providers er zeker van zijn dat de providers niet dezelfde lijnen gebruiken; • vastieggen in draaiboeken wat de te doen bij telecommunicatie-uitval (bijvoorbeeld: met het crisisteam verzamelen op het hoofdkantoor); • weet hoe te handelen tijdens storings- en/of crisisproces zonder telecommunicatie; • de contracten met telecommunicatieproviders kritisch bekijken en mogelijk extra eisen aan de kwaliteit van de af te nemen diensten stellen; • op de hoogte blijven van ontwikkelingen in de telecommarkt en de gevolgen voor de drinkwatersector.
20
NICC Aanbeveling aan ministeries EL&I en VenJ: • opdracht geven tot het uitvoeren van een onderzoek naar beschikbare noodcommunicatiemiddelen en bijbehorende voor- en nadelen. Ten aanzien van weerbaarheid tegen uitval van elektricititeit: • op basis van risicoanalyse de keuze maken om al dan niet dubbele aansluitingen aan te leggen bij cruciale locaties; • samen met NSA leverancier leveringszekerheid van NSA verhogen • naast de drinkwaterproductie en —distributie, ook het hoofdkantoor en/of crisiscentrum aansluiten op NSA; • op de hoogte blijven van ontwikkelingen in de elektriciteitssector en de gevolgen voor de drinkwatersector. Aanbevelingen aan het ministerie van Economische Zaken, Landbouw en Innovatie • deel met de vitale sectoren de prioriteitenlijsten tav. dieselolie, zodat de vitale sectoren hiermee rekening kunnen houden bij het opstellen van de crisisplannen; geef aan wat de verantwoordelijkheids- / bevoegheidsverdeling tussen • EL&I en de veiligheidsregio’s is t.a.v. prioritering van dieselolie (wie gaat waarover / landelijk versus regionaal niveau?); • stimuleer de Organisatie van intersectorale overleggen. Aanbeveling aan het ministerie van V&J: • geef richting de veiligheidsregio’s het signaal dat zij in hun regionaal crisisplan de prioritering van dieselolie moeten hebben geregeld (in overleg/afstemming met hun crisispartners zoals vitale sectoren). Het ministerie van VROM en Vewin hebben de opdracht te bespreken hoe opvolging te geven aan de aanbevelingen. Vewin vertegenwoordigt de drinkwaterbedrijven en bespreekt de rapportage binnen Vewin in de Stuurgroep Beveiliging en Crisismanagement en het Vewin-Bestuur. Binnen VROM is rapport voorgelegd aan de Stuurgroep Security en Vitaal. Na instemming van de stuurgroep Stuurgroep Security en Vitaal (VROM) en het Vewin-Bestuur wordt dit rapport door de opdrachtgevers (V&J en EL&I) ter kennisneming aan de Stuurgroep Nationale Veiligheid voorgelegd.
21
NICC Bijlage n L
Respondenten interviews (augustus-september 2010) Organisatie
VROM-Insoectie
IL Deelnemers sectorale workshop (28 september 2010)
v1
JM-Insiectie Exoerts NICC Projectteam NICC
1
III.
Deelnemers intersectorale workshop (26 oktober 2010) Orcianisatie
L
.L VUM-Inpgçtie
.
‘
Ministerie van EL&I (telecom) Ministerie van EL&I (energie) Proiectteam NICC
NICC IV. Referenties CAET project Dunn Cavelty, M. and Suter, M., Public—Private Partnerships are no silver bullet: An expanded governance model for Critical Infrastructure Protection International Journal of Critical Infrastructure Protection. Zurich: Center for Security Studies, 27 augustus 2009. —
Ernst & Young, Afhankelijkhede vitale secte-en van de beschikbaarheid en betrouwbaarheid van de vitaleîmmunicatie en ICT) infrastructuur, Den Haag: Ernst & Young, 6 februari 2008.
-
_R
Luiijf H.A.M., Nieuwenhuijs, A.H., Kernkamp, A.C., Jong, de K.Y., Burger, H.H., Bik, AL., Hoogstraaten, J. M., Bescherming Vitale Infrastructuur: Quick-sca n naar vitale producten en diensten (managementdeel), Den Haag: TNO, rapport FEL-03-C001, 2003. Luiijf H.A.M., Nieuwenhuijs, AH., Kernkarnp, A.C., Jong, de KY., Burger, H.H., Bik, A.L., Hoogstraaten, J. M., Bescherming Vitale Infrastructuur: Quick-sca n naar vitale producten en diensten, Den Haag: TNO, FEL-03-C002, 2003. Luiijf H,A.M., Critical infrastructurdependpcies hurt, don’t they? analysis Den Haag: TNO, 2008.
-
Weak spot
-
NAVI, ICT en de vitale infrastructuur: quickscan van afhankelijkheden en kwetsbaarheden, Den Haag: Strategisch Overleg Vitale Infrastructuur (vertrouwelijk), 17 december 2008. Programma Nationale Veiligheid, Nationale Risicobeoordeling Leidraad Methode, Den Haag: ministerie van Binnenlandse Zaken en Koninkrijksrelaties, juni 2008. Programma Nationale Veiligheid, Nationale Risicobeoordeling Bevindingenrapportage, Den Haag: ministerie van Binnenlandse Zaken en Koninkrijksrelaties, 2008. Programma Nationale Veiligheid, Robuustld communicatiemiddelen tijdens crises, Den Haag: ministerie van Binnenlandse Zaken Koninkrijksrelaties, 1 juli 2009. Sutton, D., Critical information infrauctur protection Interdependency between Energy and Telecommunications, ENISA Quarterly Review Vol. 5, No. 3, September 2009.
23
‘gen cybeftx:nu (jE
V. Vragen aan en antwoorden van Nationaal Continuïteitsoverleg telecom (NCO-t) Vraag
1
Hoe robuust
Is
semafooncommunicatle? (D.w.z. Valt semafooncommunkatle
minder snel uit dan
mobiele of vaste telecomrnunicatie?), —
—
voor ven or mooiele communicatie, Wel moet de verbinding tussen de semafoonberichtverzender en de semafoniecentrale werken.
‘ITTW Antwoord
T1 r IT ‘.‘L•1 ‘ i—i4 iIl1 .r.i item Iii en ii ii lUn.i ticIeli r’T7 v Semafonie wordt alleen geleverd door KPN (klein marktaandeel); bedrijven worden geadvIseerd navraag te doen bij KPN.
Vraag 3
Hoe
Antwoord
robuust is
is niet aangemerkt als vitale telecommunicatieaanbiecler (dus ook geen lid kan bij het van het NCO-T). Informatie over de robuustheid van de hedriif ilf 1, I4VCJ worden. “‘““
.
Vraag
4
-
-
-
--
-
-
Inzicht qeven in telecom effectgebleden? (Maw. als uitvalt, valt het dan per qebied uit?) De geografische impact van een verstoring verschilt met de oorzaak van de verstoring. Impact kan beperkt zijn tot een gebied, of kan niet tot een gebied beperkt zijn maar een aantal of groep gebruikers betreffen, of kan alleen transportcapaciteit beïnvloeden of mengvormen hiervan. Kan
de
telecomsector
telecommunicatie ,inrwoora
De gelaagdheid van de netwerken maakt het voor sommige oorzaken de impact geografisch te beperken.
mogelijk
Omdat in een gebied of op een locatie meer telecommunicatieaanbieders diensten aanbieden zal een verstoring in de dienst van één telecommunicatieaanbieder niet altijd leiden tot een verstoring van diezelfde dienst bij andere aanbieders. Noot: vooral In niet-stedelijke gebieden delen telecommunicatieleveranciers en mobiele communicatlemasten. voorzieningen
5 Antwoord Vraag
over informatie bij verstoring is opgenomen in de afgesloten SLA informeert een telecommunicatieaanbieder de betreffende klant.
[ 1 Vraag
een telecommuilicatleaudit op processen mogelijk? De (vitale) organisaties zijn zelf verantwooruiij VUUI IitL vILn.iILeIlJF ITIdIÇCII VdIl U afhankelijkheid van telecommunicatie (en eventueel ICT) en de impact bij uitval hiervan (bijv. door uitval van elektriciteit). De telecommunicatiebedrijven kunnen hier waar gewenst bij ondersteunen. Alle bedrijven met een vitaal belang dienen met hun leverancier van telecommunicatie af te stemmen, welke continuïteitselsen zij stellen en wat er in dit kader aangeboden kan worden door de leverancier van tetecommunicatiediensten. Hierover dienen dan adequate (contractuele) afspraken te worden gemaakt. De financiële vergoeding, die gekoppeld Is aan het te leveren dienstverleningsniveau is in eerste Instantie een commerciële aangelegenheid. Daar waar de maatregelen het niveau van de individuele Organisatie ontstijgen, is een rol weggelegd voor de overheid als facilitator en wellicht zelfs als regelgever. Is
-
-
7
Is differentiatie mogelijk i het uitschakelen vaste teieronie/vuw
van telecommunicatie?
Per provider verschilt het of en hoeveel noodstroomvermogen er aanwezig is op welk niveau in het netwerk. In het algemeen geldt: ‘hoe dieper in de haarvaten van het netwerk, hoe lager de dienstverlening bij stroomuitval’. De klant kan daarbij speciale contractvormen afnemen om die beschikbaarheid te verhogen. Dit kan per (geografisch) gebied verschillen en is veelal afhankelijk van de beschikbaarheid van noodstroomvoorzieningen. kan toegevoegd worden: De continuiteit van de dienstverlening is bij uitval van elektriciteit, gemiddeld genomen, door middel van nooctstroomvoorziening gegarandeerd voor een periode
24
j
t
‘en geri c bercrirne
NICC van respectievelijk De continuiteit van de dienstverlening is afhankelijk van de aansluiting van de abonnee op de soort centrale:
1 1 1 1 Mobiele telefonie Een mobiel netwerk kent een aantal lagen binnen haar infrastructuur: • Op het laagste niveau verzorgt een basisstation bestaand uit een radiozender en -ontvanger een zogenoemd Base Transceiver Station (BTS), voor de leek de “mobiele antennemast” op daken en rnasten in het veld.. • Een of meer BTSen worden aangestuurd door een base station controller (BSC). In de volgende communicatielaag zitten de Mobile Switching Centers (MSCs) • en de datacenters (bijv. abonnee- en servicegegevens). Per provider verschilt het of en hoeveel noodstroomvermogen er aanwezig is op welk niveau in het netwerk (BTS, BSC, MSC, datacenter). Gemiddeld genomen beschikt het en het BSC-niveau MSC-niveau over een noodstroomvoorziening Sommige BTSen hebben noodstroomvoorziening voor een paar uur in de vorm van accu’s. BTSen die opgesteld staan bij een BTC, MSC of op een collocatie, maken gebruik van de daar aanwezige noodstroomvoorzieningen (gedurende de daar gegarandeerde duur). .
Het mobiele telefonie- en datanetwerk is ook afhankelijk vai
Vraag 8 Antwoord
omdat het
Hoe is de aansluitvolgorde (prioriteiten) geregeld welke partijen krijgen na uitval weer als eerste over telecomverbindingen en -diensten? Vaak kunnen telecommunicatieklanten verschillende niveaus van dienstverlening voor vaste telecommunicatie afnemen, waarbij een hoger dienstverleningsniveau een hogere betrouwbaarheid garandeert. Er wordt overigens nooit een 100°k betrouwbaarheid gegeven. De dienstverleningscontracten worden overeengekomen tussen klant en leverancier en zijn dientengevolge commercieel gevoelig. In grote lijnen prioriteren de telecommunicatieaanbieders op basis van de volgorde: eerst het doorgeven van toegang tot 112 daarna hetgeen contractueel in SLA’s met klanten is vastgelegd en als laatste op basis van ‘best effort’ de rest van de klanten. Klanten met een contract dat is gebaseerd op een vooraf gemaakte risicoanalyse kunnen normaliter eerder van de dienstverlening gebruik maken, doordat preventieve maatregelen zijn getroffen door de telecommunicatieaanbieder. Binnen het totaalpakket van diensten hebben bepaalde diensten (bijv. SMS) prioriteit boven andere diensten (bijv. MMS). —
Overigens is de wijze van prioritering erg afhankelijk van het type verstoring en 23 de dienstverlening van locatie. Zo was in het geval van de ‘Haaksbergen-storing’ Essent van wezenlijk belang voor het weer inschakelen van de stroomvoorziening en daarmee ook de dienstverlening van de telecommunicatieaanbieders.
Vraag 9
Antwoord
23
Wat voor zeggenschap heeft de drinkwatersector of de overheid over de prioritering (zie vraag 8)? Waar zitten mogelijkheden om het proces te beïnvloeden? In principe heeft de overheid hier geen zeggenschap. Het blijft een zaak van klant leverancier. De overheid ken wel de sector van de klant (in dit geval dus de drinkwatersector) richtlijnen geven over de af te sluiten SLA’s waarmee de prioriteit beïnvloed kan worden.
-
Haaksbergenstoring 2007: Langdurige storing naar aanleiding van een defect in de hoogspanningskabels. De communicatie werd bemoeilijkt door stroomuitval en de tijdel jke uitval van het mobiele telefoonnet.
.
L.
@ Vraag 10 Antwoora
Vraag 11 Antwoord
Vraag 12 Antwoord
Vraag 13 Antwoord
sam
egeri cyrcrlme
NICC
Is de telecommunicatiesector ook afhankelijk van het buitenland? In hoeverre heeft dit gevolgen voor de drinkwatersector? ua netwerK en aiensten is ae aienstverlening niet afhankelijK van net ouitenland. Indien een verstoring in het buitenland optreedt kan dat uiteraard wel leiden tot de onmogelijkheid communicatie bestemd voor ontvangers aldaar af te leveren of tot het niet ontvanoen van communicatie vanuit het buitenland.
Welke waarborgen biedt de telecommunicatiesector, dat de oplossingen/maatregelen die zij aanbieden ook daadwerkelijk werken? Vaak kunnen klanten verschillende niveaus van dienstverlening voor vaste telecommunicatie afnemen, waarbij een hoger dienstverleningsniveau een hogere betrouwbaarheid garandeert. Er wordt overigens nooit een 1OO% betrouwbaarheid gegeven. Prioritair gebruik van mobiele telefonie en datacommunicatie wordt voorzien binnen het NCV.
Wat ziet de telecommunicatiesector als dreigingen (oorzaken waardoor grote telecomuitval optreedt)? Algemene dreigingen zijn natuurlijk stroomuitval, explosie, aanslag, overstroming, blikseminslag en werkzaamheden (storing door bijv. graafwerkzaamheden waarbij kabels geraakt worden). Grootste risico is dat uitval door genoemde dreigingen tot een ketenuitval kan leiden wardoor bedrijven / sectoren elkaar meetrekken in een crisis.
Welke maatregelen zijn nodig (bij drinkwatersector) om schade voor de drinkwatersector te voorkomen? Vaste telefonie/VOIP Uitval van totale dienstverlening hangt mede af van de infrastructuur en voor een groot deel van de voorziening bij de klant zelf. Bij elektriciteituitval valt de actieve -apparatuur) van de ontvangende 24 apparatuur (als telefooncentrale, handsets, V01P partij (abonnee) ook uit als de klant geen eigen continuïteitsvoorzieningen heeft getroffen. Het kan dus voorkomen, dat het telecommunicatïenetwerk operationeel is terwijl de klant (bijvoorbeeld een vitaal bedrijf) geen diensten meer heeft, omdat de eigen communicatievoorzieningen niet meer werken. Daarom is het voor klanten van telecommunicatiediensten van belang om zelf ook maatregelen te treffen. De enige uitzondering hierop is het alleen door KPN nog zeer beperkt geleverde 26 netwerk, dat (nog) fantoomspanning vanuït de eind- of wijkcentrale /ISDN 25 POTS levert aan huisaansluitingen zodat de ouderwetse toestellen (zonder elektriciteitsstekker) en ISDN-toestellen (beperkte functionaliteit van één speciaal geschakeld toestel zie handleiding) nog werken. —
In het algemeen gesproken geldt dat klanten verschillende niveaus van dienstverlening kunnen afnemen, waarbij een hoger dienstverleningsniveau een hogere betrouwbaarheid garandeert. Bij een aantal aanbieders is het mogelijk een SLA af te sluiten waarbij geldt dat wanneer de klant voor een dedicated vaste verbinding heeft gekozen, de verbinding bij uitval van elektriciteit niet direct zal uitvallen op het moment dat de straatkast uitvalt. In dergelijke configuraties geldt dat dit soort verbindingen niet via een straatkast, maar rechtstreeks vanuit een centrale geleverd worden, veelal met een dubbele routering naar verschillende locaties.
Vraag 14 Antwoord
Welke maatregelen zijn nodig (bij telecommunicatiesector) om schade voor de drinkwatersector te voorkomen? De aanbieders van telecommunicatiediensten bepalen op basis van de dienstverleningsovereenkomsten met hun klanten op welke wijze een locatie van noodstroomvoorzieningen wordt voorzien. De dienstverleningscontracten worden overeengekomen tussen klant en leverancier en zijn dientengevolge commercieel gevoelig.
24
Voice over IP: hierbij wordt lntei net of een ander IP-netwerk gebru kt voor spraakcommunicatie. PSTN staat voor Public Switched Telephone Network, ook wel POTS (Plain Old Telephone Service, Post Office Telephone Service of Post Office Telephone System.) genoemd. 26 Integrated Services Digital Network. 25
26
i
ru”n tegen cyL2rcrirne
NICC Vraag 15 Antwoora
Vraag 16 Antwoord
Is er ook een wettelijk minimumniveau van dienstverlening v.w.b. de telecommunicatievoorziening aan de drinkwatersector? or is geen wetteej minimum niveau van dienstverlening voor telecommunicatiediensten vastgelegd. Het minimum niveau van dienstverlening dient vastgelegd te worden in een SLA die overeengekomen wordt tussen de individuele telecommunicatieaanbieder en de klant.
Heeft de telecommunicatieinfrastructuur single points of failure? Wat zijn hiervan de gevolgen voor de drinkwatersector? Enkele telecommunicatieaanbieders hebben aangegeven dat er onder bepaalde omstandigheden in sommige delen van hun infrastructuur een SP0F aanwijsbaar is. Deze SP0Fs gelden echter alleen binnen de eigen dienst/infrastructuur van die aanbieder en gelden niet voor de totale dienstverlening van de gezamenlijke aanbieders op nationaal niveau. De impact op de drinkwatersector mocht een SP0F optreden is ervan afhankelijk of de via die SPoTZ lopende dienst er één is die aangeboden wordt aan een drinkwaterbedrijf. Via een SLA kan vastgelegd worden in hoeverre beschermingsmaatregelen van toepassing zijn op mogelijke impact als gevolg van eventuele SP0Fs.
27
NICC VI. Vragen aan en antwoorden van elektriciteitsector Vraag 1
Kan de elektriciteitssector inzicht geven in elektriciteit effectgebieden? ctgebied verschilt per incident en is dan ook niet voorat te definiëren. Ook zal het effectgebied gedurende het herstel van de storino’’’” kleiner worden. --
-.
Vraag 2
Antwoord
Vraag 3 Antwoord
Vraag 4 r
Vraag 5
ntwoora
Vraag 6 Antwoord
Communiceren de elektriciteitsbedrijven naar de drinkwaterbedrijven over de duur van een uitval? et is onooenlIjK om naar alle vitale neorijven te communiceren. Status kan wel opgevraagd worden en bij grotere verstoringen vind coördinatie plaats vanuit de veiligheidsregio. Overigens is de duur nooit met zekerheid te bepalen. Zijn er met de netbeheerders afspraken gemaakt over de prioritaire elektriciteitsvoorziening aan de drinkwatersector? ,. algemeen bepaalt de technische configuratie de herstelvolgorde .,,. en is er geen/weinig ruimte voor prioritering van afnemers. Als er wel ruimte is wordt die naar inzicht van de netbeheerder benut en bij grotere verstoringen door het bevoegd gezag (gemeente, veiligheidsregio, ministerie) bepaald. Hoe is de aansluitvolgorde (prioriteiten) geregeld welke partijen krijgen na uitval weer als eerste elektriciteit? Waarvan is deze prioriteit(aansluit)volgorde afhankelijk? ansiuitvoigorcie wordt op Dasis van tecnnische mogelijkheoen bepaald. Daarnaast wordt bij grote storingen in overleg met het de gemeente of veiligheidsregio de prioriteit (mits technisch mogelijk) bepaald. Waterbedrijven en waterschappen staan wel op de regionale prioriteitenlijst van de veiligheidsregio, maar uitgangspunt is dat deze zich zelf kunnen redden. Alle afnemers, en zeker (vitale) bedrijven zijn zelf verantwoordelijk voor het treffen van voorzieningen in geval van uitval van openbare energievoorziening. —
Wat voor zeggenschap heeft de drinkwatersector of de overheid hierin? Zeggenschap alleen via bevoegd gezag (gemeente, veiligheidsregio, ministerie)
Vraag 7
Is de elektriciteitsector ook afhankelijk van het buitenland? In hoeverre heeft dit gevolgen voor de drinkwatersector?
Antwoord
Connecties met buitenland leveren primair stabiliteit en reservestelling, maar zeer grote verstoringen elders werken ook terug. Grootschalige uitval in het buitenland kan ook uitval in Nederland tot gevolg hebben en kan dus ook gevolgen hebben voor de drinkwatersector.
Vraag 8
Welke waarborgen biedt de elektriciteitssector dat de oplossingen? maatregelen die zij aanbieden ook daadwerkelijk werken? Waarborg is niet anders dan bij andere vitale sectoren. Er is geen garantie te geven.
Antwoord
Vraag 9
1
1 1 1 1
Kan de elektriciteitssector inzicht geven wanneer zij groot onderhoud voeren en mogelijk de kans op uitval groter is? Nee, gelet de hoeveelheid en diversiteit van onderhoud en de kleine kans op gelijktijdige uitval is dit zinloos. Ook in geval van onderhoud is er nog sprake van reserve in het hoogspanningsnet om via andere weg de energievoorziening te herstellen.
L
Antwoord
Wat ziet de elektriciteitsector als dreigingen (oorzaken waardoor grote stroomuitval optreedt)? Dreigingen zijn: weersomstandigheden als zware storm en zware sneeuwval of ijzel. Veel verstoringen lokaal worden veroorzaakt door graafschades. Ook vandalisme, koperdiefstal en mogelijke andere moedwilligheden (o.a. cybercrime) kunnen aanleiding zijn tot verstoring. Praktijk leert dat ook helikopters, kranen op schepen en landbouwwerktuigen een bedreiging vormen.
28
NICC Vraag 10 Antwoord
Vraag 11 Antwoord
Vraag 12
Antwoord
Vraag 13 Antwoord
Welke maatregelen zijn nodig (bij drinkwatersector) om schade voor de drinkwatersector te voorkomen? Zelf maatregelen treffen in noodvoorzieningen. Denk hierbij aan testen en de brandstol:voorzienino. Welke maatregelen zijn nodig (bij elektriciteitssector) om schade voor de drinkwatersector te voorkomen? Niet anders dan voor andere sectoren en dit betekent voldoen aan landelijke criterïa ten aanzien van beschikbaarheid en redundantie. Alle sectoren en klanten zijn hierbij gelijkwaardig. Is er ook een wettelijk minimumniveau van dienstverlening v.w.b de elektriciteitsvoorziening aan de drinkwatersector? Nee, voldoen aan standaard leveringsvoorwaarden en technische codes. Er is wel toezicht en regulering op de kwaliteit van de energielevering, maar ongeacht de afnemer. Vereisten hebben alle betrekking op reguliere energievoorziening en niet op noodvoorzieningen. Drinkwaterbedrijven kunnen wel een dubbele aansluiting nemen. Hoe zit het met the Single Points of Failure (SPOF) van de elektriciteitsector? Net voldoet aan landelijke criteria. Dit houdt in dat het hoogspanningsnet redundant is uitgevoerd (N-1 criteria, ook in geval van onderhoud). Het middenspanningsnet is veelal in een ring aangelegd en daardoor zijn de meeste verstoringen relatief snel op te lossen (binnen enkele uren). Op laagspanningsniveau is vaak geen redundantie en kan het oplossen meer uren bedragen; dit betreft dan een beperkt aantal klanten in een klein gebied.
29
