Definition
NIS2 (Network and Information Security Directive 2) er EU's reviderede direktiv om cybersikkerhed i kritisk infrastruktur, vedtaget i 2022 og implementeret i EU-lande inden 2024. NIS2 udvider anvendelsesområdet til at inkludere energi, vand, digital infrastruktur og sundhed. Kravene omfatter risikovurderinger, hændelsesrapportering, forsyningskædesikkerhed og ledelsesansvar. For den norske energisektor er NIS2 meget relevant.
I praksis
I praksis sætter NIS2 et nyt bundniveau for cybersikkerhed i den norske energisektor, der er højere end hvad mange virksomheder tidligere har haft. Konkrete krav: risikoanalyser og hændelseshåndteringsplaner, sikkerhed i forsyningskæden (dine leverandører), rapporteringspligt ved sikkerhedshændelser inden 24 timer (alvorlige) og 72 timer (varsling). For IT-systemer betyder dette: adgangsstyring efter mindste-privilegie-princippet, multifaktorgodkendelse på alle kritiske systemer, adskillelse af IT og OT samt regelmæssig penetrationstest. NIS2-overholdelse er ikke primært et IT-problem - det er et ledelsesansvar.
TvimenningGammelnorsk for 'to bundet sammen' - en der løser en opgave skulder ved skulder med en anden. er ISO 27001International standard for styringssystem for informationssikkerhed - giver ramme for at beskytte følsom information.-certificeret, standarden NIS2 selv bygger sine styringskrav på. For fornybare energiselskaber er den anden halvdel af NIS2 lige så konkret: at vide, hvad der faktisk står ude i marken. RUNATvimennings komponentregister for elektriske installationer - giver struktur og sporbarhed for de komponenter, som installationerne bygges af. holder styr på de fysiske anlægsaktiver, FRAMSYNTvimennings værktøj til tilstandsbaseret vedligehold: laver vedligeholdsordrer ud fra, hvordan komponenten faktisk har det, ikke hvor gammel den er. varsler om vedligeholdelsesbehov, før noget fejler, og LEIDANGTvimennings lukkede, ikke-kommercielle markedsplads, hvor energiselskaber deler beredskabsressourcer indbyrdes - komponenter som transformere, kabler og fjernaflæste målere, og kontaktpunkter til beredskabsmandskab. dækker beredskabssiden - lån og deling af komponenter, når en hændelse alligevel sker. Tilsammen er det det datagrundlag en risikovurdering og en hændelsesrapportering skal hvile på.