Den 10 maj 2018 börjar nya regler gälla angående säkerhet i nätverk och informationssystem, det så kallade NIS-direktivet. De nya reglerna omfattar leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster, däribland energibolag.
NIS-direktivet som fastställer åtgärder för att uppnå en hög gemensam nivå på säkerhet i nätverk och informationssystem inom EU. Det övergripande syftet är att förbättra den inre marknadens funktion inom EU. Energisektorn är en av sju samhällssektorer som omfattas av direktivet och Energimyndigheten är tillsynsmyndighet.
– Energi är en i allra högsta grad samhällskritisk tjänst, i synnerhet eftersom alla andra samhällskritiska tjänster är beroende av en fungerande och trygg energiförsörjning. Det kan bli mycket kostsamt för samhället i perioder då vi inte har tillgång till en trygg energiförsörjning. Samtidigt har energibranschens digitalisering tagit fart på senare år, vilket bidrar till att IT-säkerhet är en strategiskt viktig fråga för såväl stora som små aktörer i branschen, säger Tommy Wahlman, projektledare för genomförandet av direktivet vid Energimyndigheten.
De främsta utmaningarna i energisektorns IT-säkerhetsarbete är, enligt Tommy Wahlman, den generella säkerhetsmedvetenheten, bristen på spetskompetens på området och en varierande medvetenhet om vikten av strategiskt IT-säkerhetsarbete. En dramatiskt ökande hotbild samt ett tungt infrastrukturellt arv där många äldre system inte har ett uppdaterat och relevant IT-skydd hör också till utmaningarna. Detta sammantaget har byggt upp en slags IT-säkerhetsskuld som i branschen kommer att behöva åtgärda för att minska sårbarheterna.
– Digitaliseringen och Internet Of Things gör att nästan allt blir uppkopplat, vilket gör det svårt att överblicka tekniken och systemen. Komplexiteten i sig bidrar till en ökad sårbarhet. Samtidigt genomgår energisektorn stora förändringar nu med ökade krav på flexibilitet, nya affärsmodeller för produktion och distribution, lagring och förbrukning, vilket också bidrar till nya och ökande IT-säkerhetskrav, säger Tommy Wahlman.
Han tillägger att energibolag med ett välfungerande strategiskt IT-säkerhetsarbete får en konkurrensfördel gentemot andra aktörer, inte minst genom ett ökat förtroende för verksamheten. Det utgör också en grogrund för den innovationskraft som blir allt mer avgörande för energibranschens aktörer.
– Informationssäkerhet som en del av ledingsystemet, ett strukturerat arbetssätt genom hela organisationen, ger resiliens och stärker förmågan att möta nya utmaningar och ta rätt risker, säger Tommy Wahlman.
2017 genomförde Energimyndigheten en studie med trafikanalys utanför brandväggarna vid ett antal svenska fjärrvärmebolag. Analysen visar att små och medelstora fjärrvärmebolag är nästan lika utsatta för informationssäkerhetsangrepp som stora aktörer. De mindre aktörerna har av naturliga skäl inte samma resurser att investera i sitt IT-säkerhetsarbete. Energimyndigheten kommer därför att prioritera arbetet med resurssvaga aktörer i samband med att NIS-direktivet implementeras.
– Energibolagen behöver definitivt inte uppfinna hjulet själva på det här området. Det finns mycket hjälp och stöd att få via branschorganisationer, Myndigheten för samhällsskydd och beredskap, Svenska Kraftnät och från oss på Energimyndigheten. Handböcker, handledningar och checklistor finns och vi sammanställer mycket av materialet nu för att göra det mer lättillgängligt för energibolagen, säger Tommy Wahlman.