Maritiem transport vervoert ongeveer negen tienden van de wereldhandel in volume. De havens die deze stromen verwerken, zijn afhankelijk van steeds meer onderling verbonden digitale systemen, van terminalbeheersoftware tot automatisering die kranen en poorten aanstuurt. Deze versnelde digitalisering stelt kritieke schakels in de toeleveringsketen bloot aan cyberdreigingen waarvan de frequentie de afgelopen twee jaar duidelijk is toegenomen.
Haven OT-systemen: het nieuwe aanvalspunt
De richtlijnen voor goede praktijken die tussen 2019 en 2023 zijn gepubliceerd, concentreerden zich op de bescherming van klassieke informatiesystemen (IT): e-mail, databases, kantoornetwerken. Het speelveld is veranderd. Volgens Crisis24, 36 % van de maritieme cyberincidenten in 2024 richt zich op operationele technologieën (OT), dat wil zeggen navigatiesystemen, motorbesturing of automatisering van de kade.
Een moderne containerterminal functioneert dankzij een Terminal Operating System (TOS) dat de verplaatsing van elke container coördineert, van de laadruimte van het schip naar de leveringswagen. Deze TOS communiceert met programmeerbare logische controllers (PLC) die poorten, kranen en automatisch geleide voertuigen aansturen. Het compromitteren van slechts één van deze automatiseringen kan een hele kade stilleggen.
De convergentie van IT/OT creëert een structureel probleem: industriële havenapparatuur heeft levenscycli van vijftien tot twintig jaar, terwijl softwarebeveiligingspatches maandelijks worden uitgebracht. Deze temporele asymmetrie laat kwetsbaarheden jarenlang openstaan. Beheerders die geïnteresseerd zijn in de cyberbeveiliging van haveninfrastructuren moeten deze realiteit integreren vanaf de ontwerpfase van moderniseringsprojecten.
Cyberaanvallen op havens: sterke stijging sinds 2024
Recente gegevens bevestigen een versnelling. Nogmaals volgens Crisis24, 31 % van de professionals in de maritieme sector meldde een cyberinbraak in 2024, tegenover 17 % in 2023. De stijging is voldoende merkbaar om het onderwerp uit technische commissies te halen en naar de algemene directies te brengen.
De dominante instapvector blijft phishing, betrokken bij bijna de helft van de geregistreerde maritieme incidenten in 2024. Terminaloperators en onderaannemende KMO’s zijn voorkeursdoelen, omdat hun teams niet altijd regelmatig worden getraind in het detecteren van frauduleuze e-mails.
Domino-effect op de toeleveringsketen
Een verlamde haven schaadt niet alleen de havenautoriteit. Vervoersbedrijven, expediteurs, douanes en magazijnen in de achterhaven ondervinden een domino-effect, met mogelijke vertragingen van enkele dagen op de containerstromen.
De directe kosten van een terminalstop zijn moeilijk precies te kwantificeren, omdat ze afhankelijk zijn van het verwerkte volume, de duur van de onderbreking en contractuele boetes. De beschikbare gegevens maken het niet mogelijk om tot een betrouwbaar gemiddeld bedrag te komen. Daarentegen komen de ervaringen uit het veld overeen op één punt: de hersteltijd overschrijdt bijna altijd de oorspronkelijke schattingen.
NIS2 en maritieme cyberregelgeving: wat verandert er voor de havens
Het Europese regelgevingskader heeft een nieuwe stap gezet met de NIS2-richtlijn, die de reikwijdte van entiteiten die aan cyberbeveiligingsverplichtingen zijn onderworpen, uitbreidt. Havens en maritieme transportoperators worden expliciet genoemd. De lidstaten moesten deze tekst in hun nationale wetgeving omzetten, wat de havenautoriteiten verplicht om hun cybergovernance-structuren te herzien.
De verplichtingen zijn gericht op verschillende assen:
- Het opzetten van een risicoanalyse die alle systemen dekt, inclusief OT-apparatuur en verbindingen met logistieke partners
- De verplichte melding van significante incidenten aan de bevoegde autoriteiten binnen strikte termijnen
- De verantwoordelijkheid van het bedrijfsmanagement, dat de cyberkwestie niet langer volledig kan delegeren aan een externe dienstverlener
- De uitbreiding van de vereisten naar onderaannemers en kritische leveranciers van de digitale toeleveringsketen
Voor haven-KMO’s (afhandelingsbedrijven, scheepvaartagenten, sleepdiensten) vertegenwoordigt NIS2 een schaalverandering wat betreft documentatie- en technische vereisten. Veel hebben nog geen aangewezen cyberbeveiligingsverantwoordelijke.
Afstemming met internationale kaders
De Internationale Maritieme Organisatie had in 2017 de resolutie MSC.428(98) aangenomen, waarin werd gevraagd om cyberrisico’s te integreren in de veiligheidsbeheersystemen. In de Verenigde Staten heeft de kustwacht specifieke richtlijnen gepubliceerd met betrekking tot verbonden havenapparatuur. Deze kaders overlappen elkaar zonder altijd gecoördineerd te zijn, wat de taak van operators die in meerdere geografische gebieden actief zijn, bemoeilijkt.
Gecompromitteerde identiteiten en onderaanneming: de aanhoudende blinde vlekken
Toegangsbeheer blijft een probleem dat zelden wordt behandeld in havenbeveiligingsplannen. Een gemiddelde haven kan honderden actieve accounts hebben, verdeeld over vaste medewerkers, uitzendkrachten, onderhoudscontractanten en agenten van rederijen.
De snelle personeelsrotatie verergert de situatie. Accounts blijven actief na het vertrek van hun houder. Gedeelde wachtwoorden circuleren tussen teams om toegang te krijgen tot de containerbeheersystemen.
De schakel van apparatuurleveranciers
De industriële controlesystemen die in havens zijn geïnstalleerd, komen van een beperkt aantal fabrikanten. Een waarschuwing gepubliceerd door de Amerikaanse MARAD in 2026 heeft specifiek zorgen geuit over bepaalde havenapparatuur van Chinese oorsprong, wat de discussie over de technologische afhankelijkheid van kritieke infrastructuren opnieuw op gang bracht. De ervaringen uit het veld verschillen hierover: sommige operators beschouwen het geopolitieke risico als overschat, terwijl anderen audits van hun materieel hebben uitgevoerd.
De cyberbeveiliging van havens is niet alleen een technisch probleem dat voorbehouden is aan IT-teams. Het raakt de continuïteit van de internationale handel, de soevereiniteit over logistieke gegevens en de naleving van regelgeving door havenbedrijven.
Havens die hun cybergovernance niet hebben gestructureerd vóór de volledige implementatie van NIS2 lopen het risico op sancties en een operationeel risico dat door de toename van aanvallen steeds minder theoretisch wordt.