NVE vurderer endringer i beredskapskrav for skytjenester

– NVE ønsker nå å se nærmere på de driftsmessige fordelene ved bruk av operasjonell teknologi (OT) i sky, opp mot risikoen dette utgjør som en helhet for kraftforsyningen; spesielt i lys av den sikkerhetspolitiske situasjonen, skriver NVE i en melding.

I dag stiller kraftberedskapsforskriften ingen direkte krav som utelukker bruk av skytjenester i klassifiserte driftskontrollsystemer, konstaterer NVE, men peker samtidig på at den stiller en del indirekte krav som gjør det krevende å følge forskriften på dette området.

Et eksempel på et slikt krav er at «virksomheter skal til enhver tid ha oppdatert dokumentasjon av driftskontrollsystemet».

– Kan gi bransjen et løft

NVE publiserte torsdag en utredning fra SINTEF som tar for seg hvordan direktoratet kan legge til rette for bruk av ny teknologi, uten at risikoen for kraftforsyningen øker. SINTEF har tatt utgangspunkt i hvordan skytjenester for OT og IT-systemer vurderes brukt i andre sektorer.

– Vår gjennomgang av relevante sikkerhetskrav i denne rapporten viser at gjeldende myndighetskrav medfører at det i dag ikke er mulig for norske nettselskaper å flytte driftskontrollsystemer av klasse 1 eller 2 opp i skyen, heter det i rapporten, som samtidig påpeker at det ikke nødvendigvis er sikkerhetsmessige forhold ved skyløsninger i seg selv som forhindrer bruk av slike tjenester i driftskontrollsystemer.

– Skyløsninger er generelt svært sikre i dag, og for enkelte (mindre) aktører som sliter med IT-kompetanse vil tjenesteutsetting gjennom skydrift sannsynligvis medføre økt sikkerhet, sammenlignet med dagens situasjon, skriver SINTEF, som argumenterer for at kravene bør endres.

– Hvis det gjøres riktig, kan tjenesteutsettelse i form av skytjenester bli et løft for hele bransjen, heter det i rapporten.

– Vi vil nå ta med oss vurderingene fra SINTEF inn i fremtidig utforming av kraftberedskapsforskriften og se på behov for justeringer av dagens regelverk, sier Kristian Markegård, direktør for tilsyn og beredskap i NVE.

Bygger fagmiljø

Han understreker at digital sikkerhet for kritisk infrastruktur blir stadig viktigere uansett, på grunn av økende digitalisering, nye teknologiske løsninger og komplekse leverandørkjeder.

– Det gjør det nødvendig med mer kunnskap, og god veiledning om hvordan kraftbransjen kan møte disse mulighetene og utfordringene, sier Markegård, som er i ferd med å bygge opp et eget fagmiljø innen digital sikkerhet i NVE.

Direktoratet har også fått en utredning fra DNV, som tar for seg sikkerheten rundt innkjøp at tjenester i kraftbransjens leverandørkjeder, hvor det har vært flere alvorlige digitale angrep de siste årene.

– Sett i lys av denne utviklingen har vi nå fått hjelp av DNV til hvordan NVE kan regulere denne viktige delen av beredskapen på en bedre måte i fremtiden, og det er derfor viktig at NVE styrker kunnskapen på dette området, sier Markegård.

Digital veileder

NVE er også opptatt av at kraftbransjen øver  for å teste om beredskapsplanene fungerer, som igjen kan styrke virksomheters evne til å håndtere kriser.

– Mange synes det er utfordrende å planlegge gode beredskapsøvelser med relevante scenarioer. Derfor har Safetec, på bestilling fra NVE, lagd en rekke øvingsscenarioer på digitale hendelser. Disse har vi nå publisert i en digital veileder, som skal gjøre det enkelt for de som ønsker å ta de i bruk, sier Markegård.

Les også:

Halvparten bryr seg ikke om cybertrusler i anskaffelser