Cybersäkerhet för energisektorn

Många svenska energibolag omfattas. Lagen gäller relevant verksamhet inom el, fjärrvärme och fjärrkyla, olja, gas och vätgas, normalt när organisationen når tillämplig storleksgräns. Mindre bolag kan också omfattas när deras tjänster är särskilt kritiska. Varje juridisk person bör bedöma sin egen situation och registrera sig om den omfattas. Energimyndigheten utövar tillsyn över energisektorn.

Väsentliga entiteter kan få administrativa sanktionsavgifter på upp till 10 miljoner euro eller 2 % av den globala årsomsättningen, det högsta av dessa. Viktiga entiteter kan få upp till 7 miljoner euro eller 1,4 %. Ledningen måste godkänna och följa upp säkerhetsåtgärderna och genomgå lämplig utbildning. I allvarliga fall kan myndigheterna också begära begränsningar mot personer i ledande ställning.

En betydande incident kräver normalt en tidig varning inom 24 timmar, en incidentanmälan inom 72 timmar och en slutrapport inom en månad. Rapporterna lämnas till NCSC via den nationella Cyberportalen. CERT-SE kan ge stöd under en pågående incident, medan Energimyndigheten är tillsynsmyndighet för energisektorn.

Kontors-IT går oftast att patcha, starta om och ta ur drift vid behov. Systemen som styr ett elnät, en station eller ett fjärrvärmeverk går inte det, eftersom el och värme måste fortsätta flöda och även ett kort avbrott får verkliga följder. Den här utrustningen står ofta i drift i decennier, använder industriella specialprotokoll och har mycket små underhållsfönster. Skyddet kan inte bygga på täta patchar och omstarter. Det vilar mer på noggrann segmentering, nära övervakad fjärråtkomst och tätt samarbete med era tekniker.

Ja. Miljöer för vind, sol och batterilager innehåller ofta utspridda tillgångar, fjärrstyrda styrenheter, växelriktare, gateways och plattformar från tredje part. Svaga lösenord, exponerade gränssnitt, föråldrad firmware och dåligt styrd leverantörsåtkomst kan öppna vägar in i driftmiljöerna. Tillgångarna bör inventeras, segmenteras och övervakas löpande.

Exakt vilka uppgifter det rör sig om varierar mellan bolag, men det handlar ofta om mätvärden från elmätare, kund- och faktureringsuppgifter samt personaluppgifter. Mängd och känslighet varierar mellan bolag. Mätdata kan avslöja när ett hushåll är hemma och förtjänar därför verklig omsorg, även om ett energibolags största risk är störd leverans snarare än stulna data. Skyddet handlar om att styra vem som kommer åt uppgifterna, hålla dem i välskötta system och reagera på ovanlig åtkomst.

De säkerhetsloggar och den telemetri vi samlar in hanteras på infrastruktur i Sverige, utformad för att stödja GDPR och kraven på internationella dataöverföringar. Det står i tjänsteavtalet i stället för att vara ett allmänt påstående, och fullständig dokumentation av dataflödena finns för ert dataskyddsombud och för upphandlingsgranskning.

MDR bevakar systemen som ligger runt driftmiljön. Det vill säga endpoints, inloggningar, molntjänster, nätverksaktivitet och de fjärråtkomstvägar som ansluter till elnätet eller anläggningen. Målet är att fånga en angripare i affärs-IT innan hen kan röra sig mot styrsystemen som håller el och värme igång. Vad vi bevakar bestäms tillsammans med era tekniker, och inget rullas ut i OT utan en plan ni har godkänt. Analytiker utreder larm dygnet runt och lämnar det incidentunderlag ni behöver för NIS2-rapporteringen.

Nej. MDR arbetar vid sidan av era interna IT- och OT-team. Era tekniker fortsätter att sköta infrastruktur och driftsystem, medan vårt SOC fokuserar på detektering, utredning och åtgärd. Eskaleringsvägarna bestäms under uppstarten, så att alla vet vem som agerar när ett larm kommer.

Oftast inom ungefär 72 timmar. Det gäller när åtkomst, godkännanden och tekniska förutsättningar är på plats, och den exakta tiden beror fortfarande på er miljö, era integrationer och överenskommet omfång. Gränserna mot OT och eskaleringsrutinerna bestäms med ert team innan bevakningen börjar.

Nej. Uppstarten är utformad för att undvika störningar i den normala driften, och den första utrullningen sker i godkända IT-system och i de hanteringsverktyg ni redan använder. Inget förs in i OT-miljön utan en dokumenterad plan som är överenskommen med era tekniker.

MDR prissätts per endpoint och månad med en fast månadsavgift. Det tillkommer inga dolda avgifter för incidenthantering, eskalering till analytiker eller larmvolym. Det gör kostnaden förutsägbar för energibolagens budget. Efter den första genomgången får ni en tydlig skriftlig offert, utan åtaganden.

eBuilder Security kombinerar ett SOC i Sverige, namngivna analytiker och kunskap om det svenska regelverket. Energibolag får stöd med lokalt ansvar, förutsägbar kommunikation och tjänster anpassade till Energimyndighetens tillsyn och de nationella kraven på incidentrapportering. Rätt val beror på er tekniska miljö, riskprofil och krav på datahantering.