Slik forbereder kraftselskaper sikkerhetsinfrastrukturen til NIS2 – standardisering, dokumentasjon og plattformvalg

For kraftselskaper og nettselskaper som tar NIS2 på alvor er det første spørsmålet gjerne: hvor skal vi begynne? Direktivet er bredt og berører både digital og fysisk sikkerhet, leverandørkjeder, hendelseshåndtering og ledelsesansvar. Det kan virke overveldende.

Men mange av de viktigste forberedelsene handler ikke om å innføre noe helt nytt – de handler om å strukturere og dokumentere det som allerede gjøres, og å standardisere løsninger på tvers av anlegg slik at sikkerhetsnivået er forutsigbart og etterprøvbart.

Start med å kartlegge eksisterende tilstand

Et naturlig første steg er å gjennomføre en strukturert kartlegging av eksisterende sikkerhetstiltak på tvers av alle anlegg. For kraftselskaper med mange nettstasjoner og tekniske installasjoner geografisk spredt over et stort område er dette en oppgave som tar tid – men som er nødvendig for å vite hva man har og hva som mangler.

Kartleggingen bør dekke:

• Hvilke anlegg har adgangskontroll, og hvilken type?
• Hvilke anlegg har kameraovervåking, og er opptakene tilgjengelige sentralt?
• Hvordan håndteres nøkler og adgangskort i dag – er det sporbarhet?
• Er perimeteret sikret, og er det mekanisk sikring av inngangspartier?
• Er det dokumentasjon på hvem som har hatt tilgang til hvilke anlegg og når?

Resultatet av kartleggingen gir et tydelig bilde av gap mellom dagens tilstand og det som forventes – og et grunnlag for å prioritere tiltak.

Standardisering – én plattform på tvers av anlegg

Et av de viktigste grepene for kraftselskaper med mange anlegg er å standardisere på én plattform for adgangskontroll og nøkkelhåndtering. Mange selskaper har i dag en historisk miks av ulike låssystemer, adgangskort og nøkkeltyper – et resultat av at anlegg er etablert og utvidet over mange år uten en felles standard.

En slik miks gjør det vanskelig å:

• Trekke tilbake tilganger raskt når en ansatt slutter eller en nøkkel mistes
• Hente ut en komplett logg over hvem som har hatt tilgang til et spesifikt anlegg
• Vedlikeholde og oppdatere systemene på en kostnadseffektiv måte
• Dokumentere sikkerhetsnivået overfor tilsynsmyndigheter

Ved å standardisere på én plattform – for eksempel iLOQ for nøkkelhåndtering eller ett adgangskontrollsystem for nettverkstilkoblede dører – oppnår man forutsigbarhet, enklere administrasjon og et tydelig revisjonsspor.

iLOQ for sporbar nøkkelhåndtering i spredte anlegg

For kraftselskaper med nettstasjoner og tekniske anlegg over store geografiske områder er iLOQ en løsning som passer godt. Systemet er digitalt og sporbart, men krever ikke kabling i hver enkelt lås – noe som gjør utrulling på mange anlegg betydelig enklere og rimeligere enn tradisjonell elektronisk adgangskontroll.

Med iLOQ S50 er sylinderne nettverkstilkoblet og tilganger kan oppdateres i sanntid. Dette gir muligheten til å trekke tilbake tilgangen til et anlegg umiddelbart – uten at en tekniker må dra ut og bytte nøkkel eller sylinder.

Dokumentasjon – bygg rutinene nå

God dokumentasjon er ikke noe som kan produseres raskt i forkant av en revisjon. Det er et resultat av rutiner som er etablert og fulgt over tid. Kraftselskaper bør nå begynne å bygge dokumentasjonsrutiner for:

• Hvem som har tilgang til hvilke anlegg – og grunnlaget for denne tilgangen
• Gjennomførte servicebesøk og vedlikehold av sikkerhetsutstyr
• Hendelser og avvik, inkludert fysiske hendelser som innbruddsforsøk eller uautorisert adgang
• Tilstandsvurderinger av sikkerhetstiltakene på de ulike anleggene

Fysiske tiltak som bør prioriteres

Basert på det vi vet om retningen i NIS2 og tilsvarende regelverk er det noen fysiske sikkerhetstiltak som bør prioriteres for kraftselskaper:

• Adgangskontroll med revisjonsspor på alle anlegg der personell har tilgang
• Kameraovervåking av inngangsparti og kritiske soner på viktige anlegg
• Perimetersikring – gjerde, belysning og eventuelt bevegelsesdeteksjon for større anlegg
• Innbruddsalarm tilkoblet alarmsentral på anlegg som er ulåst og ubetjent store deler av døgnet

Solid Sikring som partner i forberedelsene

Solid Sikring bistår kraftselskaper med kartlegging av eksisterende sikkerhetstilstand, planlegging av standardiserte løsninger og installasjon av adgangskontroll, nøkkelsystemer og kameraovervåking på tvers av anlegg. Vi har erfaring med distribuerte installasjoner og forstår kravene som stilles i kritisk infrastruktur.