Cybersäkerhet allt viktigare när energisektorn ställer om

– Digitaliseringen innebär stora möjligheter, men också nya sårbarheter. För energibolag handlar cybersäkerhet i dag om att säkra både drift, leveransförmåga och förtroende, säger Juha Manninen, cybersäkerhetsspecialist i WSPs nordiska Operational Technology Cyber Security- team.

Vind‑ och solkraftsanläggningar samt energilager är i hög grad integrerade i elsystemet och styrs via digitala lösningar. Det gör dem till kritiska tillgångar – och ställer krav på ett strukturerat och verksamhetsnära säkerhetsarbete.

Från regelkrav till fungerande arbetssätt

NIS2‑direktivet och den nationella lagstiftning som nu införs i EU-länderna för implementeringen av direktivet, innebär att energibolag behöver arbeta mer systematiskt med riskhantering, kontinuitetsplanering och incidentrapportering. Kraven omfattar både tekniska och organisatoriska åtgärder och berör hela organisationen – från ledning till operativ verksamhet.

– Det räcker inte med tekniska lösningar. Organisationer behöver också tydliga processer och förmåga att agera snabbt om något inträffar. Allvarliga incidenter ska rapporteras inom 24 timmar, vilket förutsätter både beredskap och tydliga ansvarsförhållanden, förklarar Manninen.

I hans arbete på WSP kombineras regelverkskunskap med praktisk verksamhetsförståelse. Arbetet tar ofta sin utgångspunkt i en nulägesanalys, där både teknik, processer och organisation granskas i ett sammanhang.

”En nulägesanalys är inte ett betyg, utan en startpunkt”

Något som behövs för att skapa långsiktigt värde är att cybersäkerhetsarbetet är förankrat i hela organisationen, menar Juha Manninen.

– När medarbetare från olika delar av verksamheten deltar i kartläggningen skapas en gemensam bild av risker, beroenden och utvecklingsbehov. Det bidrar både till bättre beslutsunderlag och till en starkare säkerhetskultur, säger Manninen.

I praktiken kan den analys som då görs ligga till grund för allt från prioritering av åtgärder till utformning av riskhanteringsmodeller och interna arbetssätt. Även när brister identifieras ses det som ett viktigt steg framåt.

– En nulägesanalys är inte ett betyg, utan en startpunkt. Den ger organisationen bättre förståelse för sin egen säkerhetsmiljö och för vad som krävs framåt.

Leverantörskedjan – en central del av riskbilden

I energisektorn är beroendet av leverantörer ofta stort. System, utrustning och tjänster kommer från flera aktörer, vilket gör leverantörskedjan till en viktig del av den samlade cybersäkerheten.

– Det kan handla om allt från fjärråtkomst till OT‑miljöer till hur mjukvaruuppdateringar hanteras. Genom att identifiera kritiska leverantörer, ställa tydliga krav i avtal och följa upp efterlevnaden går det att minska riskerna, säger Manninen.

Globala inköpskedjor ökar samtidigt komplexiteten och ställer högre krav på överblick och styrning.

Cybersäkerhet en strategisk helhetsfråga

Cybersäkerhet är i dag en integrerad del av verksamhetsstyrning och riskhantering. Lagstiftningen tydliggör också ledningens ansvar.

– Ledningen behöver kunna fatta informerade beslut om investeringar, riskacceptans och prioriteringar. Det handlar ytterst om att säkerställa att säkerhetsarbetet stödjer verksamhetens mål och samhällets behov, säger Manninen.

När energisektorn fortsätter att digitaliseras ökar både effektiviteten och riskexponeringen. Cybersäkerhet blir därmed en strategisk helhetsfråga.

– Det är ett arbete som spänner från strategi till vardaglig drift. När teknik, organisation och kultur samverkar skapas förutsättningar för en trygg och hållbar energiförsörjning, avslutar Manninen.

Nyfiken på mer?

På vår sida om Cybersäkerhet för operativ teknik (OT) kan du upptäcka mer om hur vi arbetar för skydda systemen som driver vår värld – där OT-cybersäkerhet säkerställer motståndskraft i varje uppkoppling.