De Europese ruimtevaartsector wordt geconfronteerd met toenemende cyberrisico’s als gevolg van complexe toeleveringsketens, geopolitieke onzekerheid en steeds strengere regelgeving. PwC-experts Sachi Chakrabarty en Ewout Stoops leggen uit hoe ze een weerbare en veilige ruimtevaartinfrastructuur kunnen opbouwen.
Zoals de cyberaanval op het KA-SAT-netwerk van Viasat in 2022 aantoonde, hangt de Europese soevereiniteit in toenemende mate af van de beveiliging van onze ruimtevaartinfrastructuur. Het incident legde de kwetsbaarheid van deze kritieke infrastructuur bloot. Duizenden klanten verloren hun verbinding en meer dan vijfduizend Duitse windturbines konden niet langer op afstand worden aangestuurd. Het maakte duidelijk hoe afhankelijk onze samenleving is geworden van ruimtevaartsystemen en hoe belangrijk het is geworden om deze beter te beschermen.
De ruimtevaartsector is afhankelijk van complexe ketens met organisaties van uiteenlopende omvang. Door lessen te trekken uit vergelijkbare incidenten en bewezen maatregelen uit vergelijkbare sectoren toe te passen, hebben wij zes principes geïdentificeerd om ‘security by design’ structureel in de gehele keten toe te passen.
Het Europese ruimtevaartlandschap
Het Europese ruimtevaartecosysteem is een complex en internationaal netwerk van verschillende spelers. Het Europees Ruimteagentschap (ESA) speelt hierin een centrale rol door missievereisten vast te stellen, aanbestedingsstructuren vorm te geven en de uitvoering aan te sturen via een netwerk van hoofdaannemers, onderaannemers en gespecialiseerde leveranciers.
Daarnaast versterken nationale organisaties zoals het Franse CNES, het Duitse DLR en het Italiaanse ASI hun nationale ruimtevaartcapaciteiten en dragen zij bij aan gezamenlijke Europese missies. Een nieuwe generatie commerciële ruimtevaartbedrijven drukt ook haar stempel op de sector met innovatieve technologieën, hoge ontwikkelsnelheden en nieuwe verdienmodellen. Samen vormen deze partijen een dynamische maar sterk onderling afhankelijke keten, waarin iedere organisatie wordt geconfronteerd met eigen cybersecurityuitdagingen.
Structurele uitdagingen binnen het Europese ruimtevaartecosysteem
Het KA-SAT-incident laat zien hoe een kwetsbaarheid bij één dienstverlener, leverancier of operationeel onderdeel zich kan verspreiden door een sterk verbonden ecosysteem, met gevolgen die veel verder reiken dan het oorspronkelijke doelwit. Op basis van onze ervaring met complexe en veiligheidskritische toeleveringsketens zien wij vier belangrijke uitdagingen voor de Europese ruimtevaartsector.
Zes principes om de volwassenheidskloof te verkleinen
Het verkleinen van deze verschillen vraagt om een proactieve aanpak waarin ‘security by design’ centraal staat in de gehele keten. Door onderstaande principes toe te passen kunnen organisaties binnen de Europese ruimtevaartsector de verschillen in cybersecurityvolwassenheid verkleinen en de kans op beveiligingsincidenten aanzienlijk verminderen.
De deadline is al verstreken
Ruimtevaartbeveiliging is niet langer uitsluitend een kwestie van goed risicomanagement; het is een wettelijke verplichting. De deadline voor de omzetting van de NIS2-richtlijn naar nationale wetgeving verstreek op 17 oktober 2024. Daarmee is de ruimtevaartsector expliciet aangemerkt als essentiële sector binnen de Europese Unie, met bindende cybersecurityvereisten, verplichte incidentmeldingen en substantiële sancties voor organisaties en hun leveranciers.
Toch bestaat binnen grote delen van de Europese ruimtevaartketen nog altijd een aanzienlijke kloof tussen de huidige situatie en het vereiste beveiligingsniveau. Dat geldt in het bijzonder voor snelgroeiende commerciële spelers en leveranciers verderop in de keten. Het dichten van deze kloof vraagt om langdurige inspanningen: standaarden breed invoeren, verificatiemechanismen invoeren, incidentrespons versterken en afhankelijkheden diep in de keten inzichtelijk maken.
Wat moeten organisaties nu doen?
Het KA-SAT-incident van Viasat maakte duidelijk hoe groot de impact van één zwakke schakel kan zijn. Een kwetsbaarheid bij één leverancier, dienstverlener of operationeel onderdeel kan gevolgen hebben voor een volledige toeleveringsketen. Organisaties doen er daarom goed aan hun NIS2-gereedheid te beoordelen, kritieke leveranciersafhankelijkheden in kaart te brengen, cybersecuritymaatregelen verder dan alleen directe leveranciers te valideren en de weerbaarheid van de gehele keten structureel te versterken.
Over de auteurs
