It-sikkerhed bør implementeres med fornuft – ikke i panik

Forsyningssikkerheden i Danmark er blandt verdens bedste. Og det skal det også være fremover i en stadig mere digitaliseret verden. Derfor er en række nye, skærpede krav til virksomhederne i el- og naturgassektorerne og ikke mindst deres forsyningskritiske it-systemer på vej. De nye, omfattende krav rammer både de bevillingspligtige netselskaber og produktionsvirksomheder, men rammer – som noget nyt – også de produktionsbalanceansvarlige virksomheder, som ikke tidligere har været omfattet af beredskabsmæssige krav.

– Branchens virksomheder har haft fokus på it-sikkerhed gennem en årrække som en naturlig del af deres beredskabsarbejde. Cybertruslen er blevet stadig mere kompleks og dynamisk, og alle har i dag fokus på og taler om den. Det er derfor en helt naturlig udvikling, at vores lovgivningen også følger med og stiller krav til elsektoren, som samfundsvigtig infrastruktur, siger Peter Kjær Hansen, chefkonsulent i Dansk Energi.

Et udkast til bekendtgørelse har netop været i høring, og her bliver der lagt op til, at de nye myndighedskrav skal være implementeret og en integreret del af virksomhedernes beredskab allerede inden 1. december 2017. På nuværende tidspunkt udestår dog en del uklarheder, påpeger Dansk Energi i sit høringssvar:

– Vi må konstatere, at flere ting stadig fremstår uklart og uhensigtsmæssigt. Vi efterlyser, at nye og eksisterende beredskabskrav tænkes bedre sammen, og vi opfordrer til at den kommende implementering ikke skal hastes igennem. Branchen har i forvejen udsigt til at skulle opdatere sine beredskabsplaner senest 1. maj 2018 i henhold til gældende beredskabskrav, ligesom EU’s persondataforordning skal være implementeret inden 25. maj 2018 – så hvorfor ikke slå flere fluer med ét smæk? Jo kortere frist der gives til den kommende implementering, jo dyrere bliver det. Det kan næppe være i Energistyrelsens eller i samfundets interesse,  siger Peter Kjær Hansen.

I sit høringssvar påpeger Dansk Energi også, at det er uhensigtsmæssigt, at tilsynsrollen placeres hos Energinet.dk:

– Vi havde gerne set, og opfordrer stadig til, at der etableres vandtætte skotter mellem tilsynsmyndigheden og alle net- og systemejere. Det vil skabe en nødvendige ramme og tillid for videndeling blandet sektorens virksomheder, og er et sundt armslængde princip, siger Peter Kjær Hansen.

Dansk Energi forventer, at den endelige bekendtgørelse ligger klar omkring 1. april 2017. I maj/juni måned forventes det, at Energinet.dk offentliggør vejlednings- og skabelonmateriale til brug for risiko- og sårbarhedsvurderinger, beredskabsplanlægning mv.