Sikkerhet i energisektoren
Energisektoren har alltid lagt stor vekt på sikkerhet, særlig fordi infrastrukturen er samfunnskritisk. Etter hvert som sektoren er blitt mer digitalisert, har sikkerhetsarbeidet utviklet seg fra å ha hovedvekt på fysisk sikring til også å omfatte stadig mer avanserte cybersikkerhetstiltak.
I energiproduksjonens tidlige fase, særlig da olje, gass og kull dominerte, var sikkerhetsarbeidet først og fremst rettet mot fysisk beskyttelse av infrastrukturen. Det innebar å sikre kraftverk, rørledninger, strømnett og lagringsanlegg mot naturkatastrofer, ulykker og sabotasje.
Utviklingen av SCADA-systemer (Supervisory Control and Data Acquisition) på 1970- og 1980-tallet markerte et viktig skifte i sikkerhetsarbeidet i energisektoren. Systemene gjorde det mulig å overvåke og styre energiproduksjon og -distribusjon på avstand, noe som ga betydelige forbedringer i effektivitet og pålitelighet. Samtidig introduserte SCADA-systemene nye sårbarheter. Systemene var først isolert, men ble etter hvert i økende grad koblet til bedriftsnettverk og internett, noe som gjorde dem utsatt for cybertrusler.
Mot slutten av 1990-tallet begynte energisektoren å møte cybertrusler i takt med at operasjonell teknologi (OT) og informasjonsteknologi (IT) ble tettere integrert. Internett og nettverkstilkoblede systemer gjorde energiinfrastrukturen til et mål for hackere og statlige aktører.
Med fremveksten av smarte strømnett, IoT-enheter og økt digitalisering av energidriften har sektoren blitt utsatt for mer avanserte cybertrusler. Blant aktørene som retter seg mot energiinfrastruktur, finner vi både statlige aktører og cyberkriminelle.
I en stadig mer sammenkoblet verden må energisektoren beskytte seg mot et bredt spekter av trusler – fra cyberangrep til konsekvenser av klimaendringer for fysisk infrastruktur.
Sikkerhetsarbeidet i energisektoren har utviklet seg betydelig: Fra å fokusere på fysisk beskyttelse til å omfatte en helhetlig tilnærming til både fysiske trusler og cybertrusler. Teknologi integreres stadig tettere, og det globale energinettet blir mer komplekst. Derfor har cybersikkerhet blitt en hovedprioritet. Strenge regelverk og rammeverk som NIS2 legger føringer for veien videre.
EUs rammeverk for sikkerhet
Etter hvert som cybersikkerhetsarbeidet blir mer komplekst, blir samarbeid i EU enda viktigere. Det skal bidra til en felles beredskap på tvers av systemer, virksomheter og prosesser. Energisektoren er under særlig streng kontroll fordi driftsavbrudd kan få omfattende konsekvenser for samfunnet og økonomien.
De siste årene har EU innført flere direktiver, lover og forordninger for å forberede Europa på den digitale tidsalderen. Personvernforordningen (GDPR) er godt kjent, men det forventes rundt 15 andre regelverk i årene som kommer. De spenner fra sektorspesifikke regelverk, som DORA, til mer generelle rammeverk, som AI Act.
Cybersecurity Act (CSA), som ble innført i 2019, skal styrke cybersikkerheten i hele EU. Regelverket innfører en sertifiseringsordning – i hovedsak frivillig – for ulike digitale produkter og tjenester. Det styrker også rollen til ENISA, EUs byrå for cybersikkerhet. ENISA støtter medlemslandene og har ansvar for å koordinere håndteringen av hendelser.
NIS2 skiller seg fra CSA ved at direktivene har ulikt hovedformål. CSA handler først og fremst om sertifisering, mens NIS2 skal styrke cybersikkerheten i samfunnsviktige og viktige sektorer i EU. NIS2 gjelder et bredt utvalg offentlige og private virksomheter som leverer kritiske tjenester, blant annet innen energi, transport, helse, finans, vannforsyning og offentlig forvaltning, samt digitale tjenesteleverandører. Direktivet stiller konkrete krav til risikostyring og rapportering av hendelser og innfører strengere sanksjoner ved manglende etterlevelse. Hovedmålet er å sikre nettverkene og informasjonssystemene som kritiske bransjer og tjenester er avhengige av.
Tilsynsmyndighetene får betydelig myndighet til å håndheve kravene i NIS2. De kan blant annet ilegge virksomheter som ikke oppfyller kravene, store bøter. Bøtene kan være på opptil 10 millioner euro eller 2 prosent av den globale omsetningen, avhengig av hvilket beløp som er høyest.
NIS2-direktivet skal innføres i nasjonal lovgivning i EU-landene innen oktober 2024.
Innføring av NIS2 i Norden
Som følge av forpliktelsene i EØS-avtalen må Norge innføre NIS2-direktivet. I desember 2023 vedtok Stortinget digitalsikkerhetsloven, som deretter ble sanksjonert i statsråd. Loven, sammen med tilhørende forskrifter, skal innarbeide EUs opprinnelige NIS-direktiv fra 2016 i norsk rett. Den var forventet å tre i kraft i 2024. Samtidig vurderer Norge NIS2- og CER-direktivene, med mål om å oppdatere nasjonalt regelverk slik at det samsvarer med NIS2 så raskt som mulig.
I Sverige gjennomføres NIS2-direktivet gjennom en ny cybersikkerhetslov, som skal erstatte den eksisterende sikkerhetsbeskyttelsesloven (2018:1174). Den nye loven er planlagt å tre i kraft 1. januar 2025, etter at en endelig utredning etter planen skal legges frem i september 2024.
Danmark arbeider med å innføre NIS2-direktivet, men ventes ikke å rekke fristen i oktober 2024. Forsinkelsen skyldes det omfattende lovarbeidet, som har skjøvet gjennomføringen til neste parlamentsperiode i oktober 2024. NIS2 ventes nå å bli fullt innarbeidet i dansk lovgivning tidlig i 2025.
NIS2-direktivet skal innarbeides i finsk lov gjennom cybersikkerhetsloven, «Kyberturvallisuuslaki», som er Finlands gjennomføringslov for NIS2. Loven innarbeider EUs minimumskrav til cybersikkerhet i finsk rett. 23. mai la den finske regjeringen frem et forslag til lovutkast for parlamentet. Som i andre EU-land var det forventet at loven skulle tre i kraft i oktober 2024.
Konklusjon
For energisektoren handler etterlevelse av NIS2 ikke bare om å oppfylle regulatoriske krav. Det handler også om å beskytte kritisk infrastruktur mot den økende trusselen fra cyberangrep. Sektoren må særlig styrke sikkerheten i leverandørkjeden, hendelseshåndteringen, styringen og arbeidet med kontinuitet i virksomheten.
Når konsekvensene kan være så store, må energisektoren arbeide proaktivt med cybersikkerhet. Virksomhetene må være godt forberedt både på tilsyn og på et trusselbilde i stadig endring.
Hvor bør du starte NIS2-arbeidet? Les mer her
Vil du vite mer om NIS2 og hva regelverket betyr for virksomheten din?
Ekspertene våre hjelper deg gjerne. Ta kontakt hvis du trenger råd om etterlevelse eller vil styrke virksomhetens cybersikkerhet.