Yutong, de grootste busfabrikant van China, gevestigd in Zhengzhou, die elektrische bussen heeft geleverd aan Noorwegen, Denemarken en Nederland, heeft een op afstand bedienbare ‘kill switch’ in zijn voertuigen ingebouwd.

Dit mechanisme geeft de fabrikant digitale toegang tot systemen voor software-updates en diagnostiek. In theorie is het echter ook mogelijk om de e-bus of touringcar op afstand uit te schakelen of te beïnvloeden via digitale toegang.

Tot nu toe zijn er geen aanwijzingen of incidenten die wijzen op een dergelijke uitschakeling, maar de autoriteiten waarschuwen vanuit het oogpunt van cyberveiligheid dat er dringend strengere veiligheidseisen nodig zijn.

Theorie versus praktijk

Huawei, TikTok of de bewakingscamera's van Hikvision – nog een Chinees bedrijf? In de EU, die streeft naar strategische autonomie, woedt een steeds heviger debat over digitale veiligheid en nationale soevereiniteit tegen de achtergrond van technologische afhankelijkheid van China. Het hele verhaal rond Yutong-bussen past ook in deze context.

Eind oktober heeft de Noorse openbaarvervoersmaatschappij Ruter tests uitgevoerd met e-bussen van Yutong en de Nederlandse fabrikant VDL in een faciliteit in een bergtunnel, een maatregel om externe connectiviteit te voorkomen en worstcasescenario's te simuleren.

Tijdens deze tests ontdekte Ruter dat de Chinese fabrikant Yutong via een mobiele netwerk-simkaart (een Roemeense simkaart) toegang had tot de besturingssystemen voor software-updates en diagnostiek, en tot het besturingssysteem voor de accu en de stroomvoorziening. “In theorie kan deze bus dus door de fabrikant worden stilgelegd of onbruikbaar worden gemaakt”, aldus het rapport.

Risico op hacking of sabotage

Vanuit het oogpunt van cyberveiligheid luidde het rapport van Ruter onmiddellijk alarmbellen in de EU-landen waar de e-bussen van Yutong rijden. Dergelijke toegang brengt immers een potentieel risico met zich mee van hacking, sabotage of ongeoorloofde toegang tot vitale functies van het voertuigsysteem.

In Noorwegen zijn er bijvoorbeeld nu 850 Yutong-e-bussen in gebruik. In Denemarken heeft vervoersbedrijf Movia 262 Yutong-bussen in zijn wagenpark.

In Nederland hebben busmaatschappijen zoals Qbuzz, Keolis en Transdev Yutong-bussen in gebruik of in bestelling – een kwart van de meer dan 9.000 bussen in het Nederlandse openbaar vervoer komt uit China.

Volgens de krant De Standaard rijden er momenteel tien Yutong-bussen in België bij particuliere bedrijven, waaronder een onderaannemer van De Lijn. Tegelijkertijd heeft het openbaarvervoerbedrijf ook orders geplaatst bij BYD.

Hoewel er geen exacte cijfers beschikbaar zijn voor het Verenigd Koninkrijk, worden Yutong-bussen onder andere gebruikt in Bristol, Essex, Leicester, Nottingham, Zuid-Wales en Zuid-Yorkshire.

En een dergelijk rapport voedt natuurlijk de vrees dat afhankelijke infrastructuur kwetsbaar zou kunnen zijn voor een buitenlandse fabrikant of autoriteit die toegang heeft tot voertuigen die worden gebruikt in het openbaar vervoer.

Systemen voldoen aan lokale wetgeving

Yutong, een van 's werelds grootste busfabrikanten, heeft niet onmiddellijk gereageerd op het nieuws dat zijn bussen kwetsbaar zijn voor interferentie.

Het bedrijf heeft echter eerder verklaard dat zijn systemen voldoen aan de lokale wetgeving, dat gegevens worden versleuteld en opgeslagen op Amazon-servers en dat toegang alleen wordt verleend na toestemming van de klant. Met andere woorden, de functies zijn bedoeld voor onderhoud, optimalisatie en service, niet voor de operationele controle van de bus door de fabrikant.

Het benadrukt ook dat draadloze updates en digitale connectiviteit nu standaard zijn in moderne EV's, niet alleen bij Yutong.

Strengere veiligheidseisen

Uit voorzorg zal Ruter echter strengere veiligheidseisen stellen in toekomstige aanbestedingen. Het bedrijf heeft ook firewalls ontwikkeld die lokale controle garanderen en bescherming bieden tegen hacking.

Movia werkt hard aan het herzien van risicobeoordelingen en zoekt naar manieren om kwetsbare gebieden beter te beveiligen tegen ongewenste toegang of uitschakeling.

In het Verenigd Koninkrijk onderzoeken de regering en het National Cyber Security Center of Chinese bussen, zoals die van Yutong, een risico vormen voor de nationale veiligheid. Volgens de NRC wordt er momenteel in Nederland onderzoek gedaan naar de mogelijke risico's van externe manipulatie van slimme bussen en vrachtwagens.

Hoewel er nog geen kwaadaardige ‘kill switch’ is aangetoond en het nieuws op het gebied van economische spionage een zekere John le Carré-achtige sfeer heeft, wakkert de Yutong-zaak het debat over de betrokkenheid van Peking bij Europese infrastructuur opnieuw aan.

China heeft wetten die bedrijven verplichten om gegevens met de overheid te delen wanneer dit in het nationaal belang is. Dit maakt het voor Europese landen uiteraard riskant om Chinese technologie te gebruiken, en de EU zal ongetwijfeld, onder het motto ‘Vertrouw maar controleer’, meer eisen stellen aan digitale transparantie en toegang tot broncode voor buitenlandse technologie in haar aanbestedingsregels.