Driftssikkerhet i energisektoren er nasjonal beredskap

Konsekvensen måles ikke bare i kroner

I de fleste virksomheter regnes konsekvensen av et driftsavbrudd i kroner: tapt omsetning, forsinket leveranse, en kostnad som lar seg føre i et regneark. I energisektoren stopper ikke regningen der. Når kraften uteblir, stopper også vannforsyning, betalingsformidling, kjølekjeder, sykehjem og datasentre. Virksomheten er ett ledd i en kjede der andres beredskap hviler på at deres egen drift står.

Det endrer hva risiko betyr. Et tap som er akseptabelt for eierne, kan være uakseptabelt for samfunnet. Risikoappetitten i kritisk infrastruktur må derfor settes med en annen målestokk enn den rent finansielle. Det er en beslutning som hører hjemme i styret, ikke i driftsorganisasjonen: hvilke funksjoner skal aldri falle, hvor lenge kan de i verste fall være nede, og hva er virksomheten villig til å ofre for å holde dem oppe.

IT og OT er to fag med felles angrepsflate

Sikkerhetsfaget slik det er utviklet i IT-verdenen bygger på en rangering: konfidensialitet først, så integritet, så tilgjengelighet. I operasjonell teknologi, som styringssystemer, SCADA, vern og fjernkontroll, er rekkefølgen en annen. Øverst står sikkerhet for liv, helse og anlegg, deretter at prosessen kan observeres og styres. Et anlegg som ikke lar seg styre, er farlig. Et dokument på avveie er alvorlig, men sjelden livstruende. To fagmiljøer med ulik prioritering skal forsvare det samme nettverket, og de bruker ofte de samme ordene om forskjellige ting.

Sammenkoblingen har allerede skjedd. Fjernavlesning, prediktivt vedlikehold, skybasert analyse og leverandørenes fjernaksess har gjort skillet mellom kontornett og prosessnett til en strek på et arkitekturkart heller enn en fysisk realitet. Spørsmålet ledelsen bør stille er ikke om nettene er adskilt på tegningen, men hvem som faktisk kan nå frem til styringssystemene i dag, med hvilke rettigheter, og om det etterlater et spor noen leser.

Fagstandarden for industrielle styrings- og automasjonssystemer er IEC 62443. Dens mest nyttige idé for et styre er enkel: del anlegget i soner etter konsekvens, og behandle hver forbindelse mellom soner som noe som skal begrunnes, kontrolleres og overvåkes. Det er en modell ledelsen kan etterspørre uten å være ingeniør.

Utstyr som skal leve i tretti år

En kontor-PC byttes hvert fjerde år. Et vern, en styringsenhet eller en transformator står i tiår. Mye av det som i dag utgjør angrepsflaten i et energianlegg, ble spesifisert før noen forutså at det skulle stå på nett. Leverandøren finnes kanskje ikke lenger, og industriprotokoller som Modbus og IEC 60870-5-104 ble opprinnelig laget uten autentisering. De stoler i praksis på alt som får lov til å snakke med dem.

Og drift kan ikke tas ned når som helst. Vedlikeholdsvinduene er få, og styres av sesong, produksjonsforpliktelser og systemansvarlig. En sårbarhet som i IT lukkes samme kveld, kan i OT måtte leve i månedene frem til neste revisjonsstans. Det er ikke slurv. Det er et vilkår ved bransjen.

Konsekvensen for styringen er viktig: kompenserende tiltak, som segmentering, streng og tidsbegrenset tilgangskontroll, overvåking av unormal trafikk og dokumenterte manuelle fallback-rutiner, er ikke nødløsninger, men den primære strategien. Ledelsen bør derfor be om noe annet enn en liste over uinstallerte oppdateringer. Den bør be om å se hvilken risiko som bevisst bæres frem til neste vindu, hvem som har besluttet at den skal bæres, og hva som holder den i sjakk i mellomtiden.

Leverandørkjeden er en del av anlegget

Kritisk infrastruktur driftes sjelden alene. Systemintegratorer, vedlikeholdsleverandører, komponentprodusenter og skytjenester har tilgang, kunnskap og ofte permanente forbindelser inn i miljøet. Den veien inn er både tilgjengelig og tillitsbasert, og den er sjelden dekket av virksomhetens egen overvåking.

Kontrakten er derfor et sikkerhetstiltak på linje med brannmuren. Fire spørsmål avgjør mer enn resten av leverandørvurderingen til sammen:

• Hvem har stående tilgang inn i styringsmiljøet i dag, og hvordan fjernes den samme dag et oppdrag avsluttes?
• Hva utløser varsling fra leverandøren dersom leverandøren selv rammes, og innen hvor mange timer?
• Hvilke underleverandører står bak den leverandøren dere faktisk har kontrakt med?
• Hva skjer med driften dersom leverandøren er utilgjengelig i to uker?

Kravet er ikke nytt i formen, men det er blitt eksplisitt. NIS2 lister sikkerhet i leverandørkjeden som et av risikostyringstiltakene virksomheten skal ha på plass, og ISO/IEC 27001:2022 stiller tilsvarende krav gjennom leverandørkontrollene i vedlegg A. Felles for begge er at ansvaret følger virksomheten. Det kan ikke delegeres bort ved å velge en stor og velkjent leverandør.

Når beslutningsstøtten blir automatisert

Stadig mer av driftsbildet settes sammen maskinelt: lastprognoser, tilstandsovervåking, deteksjon av avvik. Det er ofte fornuftig. Men modellen blir en del av styringen, og da gjelder de samme spørsmålene som for alt annet i anlegget: hvem eier den, hvilke data er den bygget på, hva skjer når den tar feil, og hvordan ser operatøren at den tar feil?

Regelverket har innhentet dette. EUs AI-forordning regner KI-systemer som brukes som sikkerhetskomponenter i drift og forvaltning av blant annet forsyning av elektrisitet, gass, varme og vann som høyrisikosystemer, med krav til risikostyring, datakvalitet, logging og menneskelig kontroll. ISO/IEC 42001 er ledelsessystemstandarden for kunstig intelligens, og lar virksomheten styre dette med samme mekanikk som ISO/IEC 27001. Det praktiske rådet er nøkternt: kartlegg hvilke modeller som allerede påvirker driftsbeslutninger, og avklar om noen av dem faller inn under høyrisikokategorien, før noen andre gjør den vurderingen for dere.

Norge starter ikke fra null

Norske kraftselskaper er allerede regulert på beredskap. Energiloven og kraftberedskapsforskriften stiller krav til sikring, planverk og øvelser, og virksomhetene inngår i Kraftforsyningens beredskapsorganisasjon (KBO) under NVE. Virksomheter som råder over grunnleggende nasjonale funksjoner, har i tillegg plikter etter sikkerhetsloven. NIS2 er EØS-relevant og skal innlemmes i norsk rett. Direktivet erstatter ikke dette bildet, men legger et lag av styring, dokumentasjon og lederansvar oppå det.

Den vanligste feilen er å bygge et nytt og parallelt regime ved siden av det som allerede finnes. Det som gir effekt, er å kartlegge overlappet én gang: ett sett risikovurderinger, ett planverk, én øvingsplan og én rapporteringslinje til styret, med krysskoblinger til hvert regelverk. Da svarer virksomheten flere tilsyn med den samme dokumentasjonen, og slipper å øve to ganger på det samme.

Hvorfor NIS2 treffer sektoren særskilt

Energi ligger i direktivets vedlegg I, sektorene av særlig kritisk betydning. Store virksomheter i disse sektorene regnes som essensielle enheter, mellomstore som viktige enheter, og enkelte utpekes uansett størrelse. Skillet er ikke kosmetisk: essensielle enheter er underlagt løpende tilsyn, mens viktige enheter i hovedsak kontrolleres når det foreligger indikasjoner på brudd. For et energiselskap betyr det at tilsynet kan komme uten at noe har gått galt.

Varslingsfristene er korte og løper fra virksomheten blir kjent med en vesentlig hendelse: tidlig varsling innen 24 timer, hendelsesvarsel innen 72 timer og sluttrapport innen én måned. Det er ikke en oppgave for IT alene. Det forutsetter at noen har fullmakt til å vurdere en hendelse som vesentlig klokken tre om natten, at vedkommende vet hvem som skal varsles, og at ledelsen vet hvem vedkommende er.

Ansvaret er formelt, ikke retorisk. Direktivet legger til ledelsesorganet å godkjenne risikostyringstiltakene, føre tilsyn med gjennomføringen og selv gjennomgå opplæring, og medlemmene kan holdes ansvarlige ved brudd. For essensielle enheter kan tilsynsmyndigheten ved alvorlig svikt midlertidig nekte personer på daglig leder-nivå å utøve lederfunksjoner. Det praktiske utslaget er enkelt å beskrive og krevende å innfri: når tilsynet kommer, er det ikke nok å forklare hva virksomheten gjør. Det må kunne dokumenteres at styret har etterspurt status, satt krav til ledelsen, fulgt opp avvik og behandlet risiko som en egen sak med jevne mellomrom. Dokumentasjon som produseres i etterkant av en hendelse, er sjelden overbevisende.

Øvelse er den eneste ærlige testen

De fleste virksomheter i sektoren har et beredskapsplanverk. Færre har testet det under realistiske forutsetninger: at IT-systemene planen forutsetter er nede, at nøkkelpersonen er på ferie, at leverandøren ikke svarer om natten, at pressen ringer før situasjonen er forstått, og at valget om å koble ned et anlegg må tas på ufullstendig informasjon.

Øvelser avdekker sjelden at planen mangler kapitler. De avdekker at beslutningsmyndigheten er uklar, at kontaktlisten er utdatert, at ingen har avklart hvem som snakker med myndighetene, og at ledelsen aldri har trent på å ta et valg der begge alternativene er dårlige. Den treningen avgjør hvordan de første timene forløper, og de første timene former ofte resten.

En øvelse som teller, har med både drift og ledelse i samme rom, og minst ett scenario der virksomheten må gå over til manuell drift uten å vite hvor lenge. Det er der man finner ut om fallback-rutinene faktisk er trent, eller bare skrevet.

Kompetansen i toppen er en del av beredskapen

Roger Ison-Haug har forsket på sammenhengen mellom antall uønskede cyberhendelser og øverste ledelses kompetanse. Blant Norges 50 største selskaper på Kapital-listen hadde ett selskap ledere med formell utdanning innen cybersikkerhet. I Forbes Global 500 var tallet rundt ti av fem hundre.

«Det er et gap mellom toppledernes ansvar og deres faktiske kompetanse innen cybersikkerhet», sier Ison-Haug.

Historisk har IT og sikkerhet vært sett på som støttefunksjoner under økonomiavdelingen. I kritisk infrastruktur er informasjonsteknologi i dag en forutsetning for at virksomheten kan levere i det hele tatt. Ledelsen skal ikke bli teknologer. Den eier de strategiske valgene og målene, og må være god nok bestiller og kontrollør til å vite hva den skal be om, hva den skal følge opp, og hva som er et godt svar.

Berigo arbeider med rådgivere som har 20 til 30 års erfaring fra energi- og teknologisektoren, og som kjenner både styringssystemet og anlegget. Thomas Mørtsell, CSO i energiselskapet Aneo AS, sier at Berigo har gjort det enklere å kombinere regulatorisk etterlevelse med reell operativ sikkerhet i hele konsernet. Det er den kombinasjonen som er poenget: etterlevelse uten operativ effekt er en kostnad, og operativ sikkerhet uten dokumentasjon er vanskelig å forsvare når noen spør.