Kyberturvallisuus korostuu energia-alan murroksessa

Uusiutuvan energiatuotannon määrä kasvaa vauhdilla, ja sen mukana myös energia-alan houkuttelevuus kyberrikollisten ja geopoliittisten toimijoiden silmissä. Tuuli- ja aurinkovoimalaitokset sekä akkuvarastot verkottuvat entistä tiiviimmin sähköjärjestelmään ja toimivat pitkälti digitaalisen ohjauksen varassa. Tämä tekee niistä kriittisiä ja toisaalta myös haavoittuvia.

EU:n NIS2-direktiivi sekä vuonna 2025 voimaan astunut sitä toimeenpaneva Kyberturvallisuuslaki vastaavat toimintaympäristön muutokseen asettamalla kriittiseksi luokittelemilleen aloille aiempaa tiukempia velvoitteita. Energia-alan toimijoiden on jatkossa rekisteröidyttävä oman toimialansa valvovalle viranomaiselle ja toteutettava tekniset ja organisatoriset toimenpiteet, jotka vastaavat direktiivin asettamiin vaatimuksiin.

”Toimenpiteitä ovat esimerkiksi riskienhallintaprosessit, jatkuvuudenhallinta ja kyberturvallisuuden tekniset ratkaisut. Organisaatioilta vaaditaan myös nopeaa reagointikykyä, sillä merkittävät kyberhäiriöt on ilmoitettava viranomaisille 24 tunnin sisällä havaitsemisesta”, toteaa WSP:n kyberturvallisuuden asiantuntija Juha Manninen. 

Kybermittari työkaluna, yhteiskehittäminen avainroolissa

Kyberturvallisuuden kehittäminen edellyttää, että organisaatiolla on realistinen käsitys nykytilasta ja sen muodostamasta riskikehyksestä. WSP:llä arvioinnin ja toiminnan kehittämisen tukena hyödynnetään muun muassa Kyberturvallisuuskeskuksen kehittämää Kybermittaria.

”Olemme hyödyntäneet Kybermittaria useiden eri organisaatioiden toiminnan kehittämiseen. Esimerkiksi eräälle uusiutuvaa energiaa tuottavalle yritykselle mittaus toimi pohjana kyberturvallisuuden riskienhallinnan toimintamallille, johon sisällytimme myös kuvaukset riskienhallinnan prosessin eri vaiheista ja kehitysehdotukset turvallisuutta parantavista toimenpiteistä”, Manninen toteaa. 

Yrityksen henkilökunnan osallistuminen kyberturvallisuuden kehitystyöhön on Mannisen mukaan avainasemassa sekä kehityskohtien tunnistamisessa että yhteisen turvallisuuskulttuurin kehittämisessä.

Yhteistyö auttaa myös hahmottamaan, mitä kyberturvallisuuden eri vaatimukset esimerkiksi lainsäädännön näkökulmasta tarkoittavat organisaatiolle. 

”Vaikka kartoituksessa todettaisiin, että yrityksellä olisi useita kehityskohteita, niin se on aina lähtölaukaus kehittämiselle ja paremmalle ymmärrykselle omasta turvallisuusympäristöstä”, Manninen toteaa.  

Kyberturvallisuus haastaa toimitusketjujen hallinnan

Yritysten tulee valvoa toimittajiensa kyberturvallisuutta ja varmistaa, että riskit pysyvät hallinnassa. Energia-alalla korostuu toimitusketjun hallinta.

”Toimintaan kuuluu tyypillisesti useita eri laite- ja järjestelmätoimittajia ja muita kumppaneita, jotka on tärkeää huomioida kokonaisturvallisuuden näkökulmasta”, Manninen toteaa.

Toimitusketjun kyberturvallisuutta voidaan Mannisen mukaan hallita tunnistamalla kriittiset toimijat, asettamalla sopimuksiin selkeät vaatimukset ja valvomalla näiden vaatimusten toteutumista. 

”Toimittajilla voi olla esimerkiksi etäyhteyksiä OT-ympäristöihin, jotka voivat olla heikosti suojattuja tai laitetoimittajien ohjelmistopäivityksiä ei aina validoida riittävän huolellisesti. Lisäksi globaalit hankintaketjut lisäävät riskiä, että järjestelmiin päätyy haavoittuvia tai tarkoituksella manipuloituja komponentteja.”

Kyberturvallisuus osana kokonaisturvallisuutta

Kyberturvallisuus on keskeinen osa energia-alalla toimivien organisaation riskienhallintaa ja toiminnan jatkuvuutta. Lainsäädännön asettamat vaatimukset edellyttävät toimijoilta entistä kattavampaa riskienhallintaa, poikkeamien raportointia sekä teknisiä ja organisatorisia suojatoimia, jotka koskevat koko organisaatiota. Samalla korostuu Mannisen mukaan johdon vastuu.

Energia‑alan toimintaympäristö muuttuu nopeasti ja digitaalisten järjestelmien rooli kasvaa niin tuotannossa, jakelussa kuin asiakashallinnassa. Samalla teknologinen riippuvuus lisää altistumista uhkille, jotka voivat vaikuttaa sekä toimitusvarmuuteen että liiketoiminnan jatkuvuuteen.

”Kyberturvallisuus kytkeytyy jokaiseen liiketoiminnan osa-alueeseen. Se on strateginen kokonaisuus, joka ulottuu organisaation ylimmästä johdosta aina operatiiviseen tasoon saakka,” Manninen kiteyttää.