Säkerhet i energisektorn
Energisektorn har alltid lagt stor vikt vid säkerhet, inte minst eftersom infrastrukturen är samhällskritisk. I takt med att sektorn har blivit mer digitaliserad har säkerhetsarbetet utvecklats från ett främst fysiskt skydd till att även omfatta allt mer avancerade cybersäkerhetsåtgärder.
I energiproduktionens tidiga skede, särskilt under olje-, gas- och kolepoken, handlade säkerhetsarbetet framför allt om att skydda infrastrukturen fysiskt. Det innebar att säkra kraftverk, rörledningar, elnät och lagringsanläggningar mot naturkatastrofer, olyckor och sabotage.
Utvecklingen av SCADA-system (Supervisory Control and Data Acquisition) under 1970- och 1980-talen innebar en viktig vändpunkt för säkerhetsarbetet i energisektorn. Systemen gjorde det möjligt att övervaka och styra energiproduktion och -distribution på distans, vilket förbättrade effektiviteten och driftsäkerheten avsevärt. Men med SCADA-systemen följde också nya sårbarheter. Till en början var systemen isolerade, men med tiden kopplades de allt oftare till företagsnätverk och internet, vilket utsatte dem för cyberrisker.
Mot slutet av 1990-talet började energisektorn möta cyberhot i takt med att operativ teknik (OT) och informationsteknik (IT) integrerades allt mer. Internets framväxt och nätverksanslutna system gjorde energiinfrastrukturen till ett mål för hackare och statsaktörer.
Med smarta elnät, IoT-enheter och en allt mer digitaliserad energiverksamhet har sektorn mött mer avancerade cyberhot. Bland aktörerna som riktar in sig på energiinfrastruktur finns både statsaktörer och cyberkriminella.
I en allt mer sammankopplad värld måste energisektorn skydda sig mot en rad olika hot – från cyberattacker till klimatförändringarnas påverkan på den fysiska infrastrukturen.
Energisektorns säkerhetsarbete har förändrats avsevärt: från att fokusera på fysiskt skydd till att omfatta en helhetsstrategi för både fysiska hot och cyberhot. Tekniken integreras allt mer och det globala energinätet blir mer komplext. Därför har cybersäkerhet blivit en högsta prioritet. Strikta regelverk och ramverk som NIS2 visar vägen framåt.
EU ramverk för säkerhet
I takt med att cybersäkerhetsarbetet blir mer komplext blir samarbetet inom EU ännu viktigare. Det ska bidra till en enhetlig beredskap i system, organisationer och processer. Energisektorn granskas särskilt noga eftersom avbrott kan få omfattande samhälleliga och ekonomiska konsekvenser.
Under de senaste åren har EU infört flera direktiv, rättsakter och förordningar för att förbereda Europa för den digitala tidsåldern. Dataskyddsförordningen (GDPR) är välkänd, men omkring 15 ytterligare regelverk väntas under de kommande åren. De omfattar både sektorsspecifika regelverk, som DORA, och mer övergripande ramverk, som AI Act.
Cybersecurity Act (CSA), som infördes 2019, ska stärka cybersäkerheten i hela EU. Förordningen inför ett certifieringsramverk – som till största delen är frivilligt – för olika digitala produkter och tjänster. Den stärker också rollen för ENISA, EU cybersäkerhetsbyrå. ENISA stöder medlemsländerna och ansvarar för att samordna incidenthantering.
NIS2 skiljer sig från CSA genom att direktiven har olika fokus. CSA handlar främst om certifiering, medan NIS2 ska stärka cybersäkerheten inom EU samhällsviktiga och viktiga sektorer. NIS2 omfattar ett brett urval av offentliga och privata verksamheter som tillhandahåller kritiska tjänster, till exempel inom energi, transport, hälso- och sjukvård, finans, vattenförsörjning och offentlig förvaltning, samt leverantörer av digitala tjänster. Direktivet ställer särskilda krav på riskhantering och incidentrapportering och innebär strängare sanktioner vid bristande efterlevnad. Huvudsyftet är att skydda de nätverk och informationssystem som kritiska branscher och tjänster är beroende av.
Tillsynsmyndigheterna får betydande befogenheter att säkerställa efterlevnaden av NIS2. De kan bland annat utdöma höga sanktionsavgifter till företag som inte uppfyller kraven. Avgifterna kan uppgå till 10 miljoner euro eller 2 procent av den globala omsättningen, beroende på vilket belopp som är högst.
NIS2-direktivet ska införas i EU-ländernas nationella lagstiftning senast i oktober 2024.
Införandet av NIS2 i Norden
Som en del av sina åtaganden enligt EES-avtalet måste Norge införa NIS2-direktivet. I december 2023 antog det norska stortinget digitalsäkerhetslagen, som därefter sanktionerades i statsrådet. Lagen och tillhörande föreskrifter ska införliva EU ursprungliga NIS-direktiv från 2016 i norsk lagstiftning. Lagen förväntades träda i kraft 2024. Samtidigt utreder Norge NIS2- och CER-direktiven med målet att så snart som möjligt uppdatera den nationella lagstiftningen så att den överensstämmer med NIS2.
I Sverige genomförs NIS2-direktivet genom en ny cybersäkerhetslag, som ska ersätta den nuvarande säkerhetsskyddslagen (2018:1174). Den nya lagen planeras träda i kraft den 1 januari 2025, efter att en slutrapport enligt planerna ska presenteras i september 2024.
Danmark arbetar med att införa NIS2-direktivet, men väntas inte hinna till tidsfristen i oktober 2024. Förseningen beror på det omfattande lagstiftningsarbetet, som har skjutit upp genomförandet till nästa parlamentsperiod i oktober 2024. NIS2 väntas nu bli fullt införlivat i dansk lagstiftning i början av 2025.
NIS2-direktivet ska införlivas i finsk lagstiftning genom cybersäkerhetslagen, ”Kyberturvallisuuslaki”, Finlands lag för genomförandet av NIS2. Lagen inför EU minimikrav för cybersäkerhet enligt NIS2-direktivet i finsk lagstiftning. Den 23 maj lade den finska regeringen fram ett förslag till lagutkast för parlamentet. Precis som i andra EU-länder väntades lagen träda i kraft i oktober 2024.
Slutsats
För energisektorn handlar efterlevnaden av NIS2 inte bara om att uppfylla regulatoriska krav. Det handlar också om att skydda kritisk infrastruktur mot det växande hotet från cyberattacker. Sektorn behöver särskilt stärka säkerheten i leverantörskedjan, incidenthanteringen, styrningen och kontinuitetsarbetet.
När så mycket står på spel behöver energisektorn arbeta proaktivt med cybersäkerhet. Organisationerna måste vara väl förberedda både på tillsyn och på ett hotlandskap i ständig förändring.
Var ska du börja med NIS2-arbetet? Läs mer här
Vill du veta mer om NIS2 och hur regelverket påverkar din verksamhet?
Våra experter hjälper dig gärna. Kontakta oss om du behöver vägledning kring efterlevnad eller vill stärka organisationens cybersäkerhet.