Definition
NIS2 (Network and Information Security Directive 2) är EU:s reviderade direktiv för cybersäkerhet i kritisk infrastruktur, antaget 2022 och implementerat i EU-länder senast 2024. NIS2 utökar omfånget till att inkludera energi, vatten, digital infrastruktur och hälsa. Krav inkluderar riskbedömningar, incidentrapportering, försörjningskedjesäkerhet och ledningsansvar. För norsk energisektor är NIS2 mycket relevant.
I praktiken
I praktiken sätter NIS2 en ny lägstanivå för cybersäkerhet i norsk energisektor som är högre än vad många företag tidigare har haft. Konkreta krav: riskanalyser och incidenthanteringsplaner, säkerhet i försörjningskedjan (dina leverantörer), rapporteringsskyldighet vid säkerhetsincidenter inom 24 timmar (allvarliga) och 72 timmar (avisering). För IT-system innebär detta: åtkomstkontroll enligt minsta-privilegieprincipen, multifaktorautentisering på alla kritiska system, separering av IT och OT samt regelbunden penetrationstestning. NIS2-efterlevnad är inte primärt ett IT-problem - det är ett ledningsansvar.
TvimenningGammalnorska för 'två bundna tillsammans' - en som löser en uppgift skuldra vid skuldra med en annan. är ISO 27001Internationell standard för styringssystem för informationssäkerhet - ger ramverk för att skydda känslig information.-certifierat, standarden NIS2 själv bygger sina styrningskrav på. För förnybarbolag är den andra halvan av NIS2 lika konkret: att veta vad som faktiskt står ute i fält. RUNATvimennings komponentregister för elektriska installationer - ger struktur och spårbarhet för komponenterna som installationerna byggs av. håller koll på de fysiska anläggningstillgångarna, FRAMSYNTvimennings verktyg för tillståndsbaserat underhåll: skapar underhållsordrar utifrån hur komponenten faktiskt mår, inte hur gammal den är. varnar om underhållsbehov innan något går sönder, och LEIDANGTvimennings slutna, icke-kommersiella marknadsplats där energibolag delar beredskapsresurser sinsemellan - komponenter som transformatorer, kablar och elmätare, och kontaktpunkter till beredskapspersonal. täcker beredskapssidan - lån och delning av komponenter när en incident ändå inträffar. Tillsammans är det det dataunderlag en riskbedömning och en incidentrapportering behöver vila på.