Hva er de største cybersikkerhetsutfordringene for energisektoren?

En rapport fra DNV viser at 64 % av energiselskaper globalt anser OT-sikkerhet som en av sine tre største cybersikkerhetsutfordringer (DNV, 2024). For norske energiselskaper er utfordringen særlig akutt fordi mange styringssystemer er 15-20 år gamle.

OT-sikkerhet (operasjonell teknologi)

Kraftverk, nettstasjoner og oljeplattformer styres av industrielle kontrollsystemer (ICS/SCADA). Disse systemene ble opprinnelig designet uten cybersikkerhet i tankene. Etter hvert som de kobles til IT-nettverk og internett, øker angrepsflaten dramatisk.

NIS2 krever at virksomheter sikrer alle systemer som støtter kritiske tjenester. For energisektoren betyr det at OT-sikkerhet ikke kan behandles separat fra IT-sikkerhet. En helhetlig tilnærming er nødvendig.

Økende digitalisering

Smart-grid-teknologi, digitale tvillinger og fjernstyrte anlegg øker effektiviteten, men også angrepsflaten. Hvert nytt tilkoblet punkt er en potensiell inngangsport. Energiselskaper må balansere digitaliseringsgevinster mot økt sikkerhetsrisiko.

Statlige trusselaktører

NSM har identifisert statlige aktører som aktivt kartlegger norsk energiinfrastruktur. Etter sabotasjen av Nord Stream-rørledningene i 2022 har trusselvurderingen for norsk energiinfrastruktur økt betydelig. NIS2s krav til risikostyring og hendelseshåndtering adresserer denne trusselen direkte.

Hvordan bør energiselskaper tilnærme seg NIS2?

Gartner anbefaler at energiselskaper starter NIS2-forberedelsene med en OT-sikkerhetsgjennomgang, ettersom dette typisk er det største gapet (Gartner, 2024). For norske energiselskaper som allerede har kraftberedskapsforskriften, handler det om å identifisere tilleggskravene.

Gap-analyse mot eksisterende krav

Start med å kartlegge hva som allerede er dekket gjennom kraftberedskapsforskriften, NSMs grunnprinsipper og eventuelle ISO 27001-sertifiseringer. Identifiser gapene, som typisk er hendelsesrapportering med NIS2-spesifikke tidsfrister, leverandørkjedesikkerhet med dokumenterte krav til leverandører, formelt ledelsesansvar med opplæringskrav, og registrering hos tilsynsmyndighet.

OT-sikkerhetsprogram

Etabler et dedikert OT-sikkerhetsprogram som inkluderer inventar av alle OT-systemer, nettverkssegmentering mellom IT og OT, overvåking av OT-trafikk, sikkerhetsvurdering av industrielle kontrollsystemer, og sårbarhetshåndtering tilpasset OT (der patching ofte er vanskeligere enn i IT).

Leverandørkjedesikkerhet

Energisektoren er avhengig av spesialiserte leverandører for alt fra SCADA-systemer til vedlikehold av vindturbiner. Kartlegg kritiske leverandører og still sikkerhetskrav. Inkluder cybersikkerhet i anskaffelsesprosesser.

[PERSONAL EXPERIENCE] I vårt arbeid med energiselskaper i Norden ser vi at OT-sikkerhetsgjennomgangen alene typisk avdekker 40-60 kritiske funn, alt fra usikrede fjerntilganger til manglende segmentering mellom IT og OT. Start denne gjennomgangen tidlig, den tar tid å remedierer.

Hvilken rolle har NVE under NIS2?

NVE har allerede tilsynsansvar for kraftforsyningens beredskap og gjennomfører regelmessige tilsyn. Under digitalsikkerhetsloven forventes NVE å få utvidet mandat som sektormyndighet for energi. NVE har bygget opp betydelig kompetanse gjennom tilsyn under kraftberedskapsforskriften (NVE, 2025).

NVEs eksisterende tilsynskompetanse gir energisektoren en fordel sammenlignet med sektorer der tilsynsmyndigheten må bygge opp cybersikkerhetskompetanse fra bunnen. Men NVE vil trolig måtte utvide tilsynet til å dekke NIS2-spesifikke krav som ikke finnes i dagens kraftberedskapsforskrift.

For olje- og gassektoren er tilsynsforholdet mellom NVE og Ptil under avklaring. Virksomheter som opererer i begge sektorer bør følge med på hvordan dette ansvaret fordeles.

Citatkapsel: DNV rapporterer at 64 % av energiselskaper globalt ser OT-sikkerhet som en topp-tre cybersikkerhetsutfordring, og for norske energiselskaper med 15-20 år gamle styringssystemer er NIS2-kravene til helhetlig sikring av OT og IT særlig krevende (DNV, 2024).

Ofte stilte spørsmål

Gjelder NIS2 for alle kraftselskaper uansett størrelse?

Hovedregelen er at virksomheter med over 50 ansatte eller over 10 millioner euro i omsetning er omfattet. Men sektormyndigheten kan utpeke mindre virksomheter som vesentlige dersom de har en kritisk funksjon i kraftforsyningen. Mange norske nettselskaper er relativt små men likevel kritiske.

Erstatter NIS2 kraftberedskapsforskriften?

Nei. NIS2, implementert gjennom digitalsikkerhetsloven, kommer i tillegg. Kraftberedskapsforskriften gjelder fortsatt. Der kravene overlapper, vil virksomheter oppfylle begge gjennom de samme tiltakene. Der NIS2 stiller tilleggskrav, må disse implementeres separat.

Hvordan håndterer vi OT-systemer som ikke kan patches?

Dokumenter risikoen og implementer kompenserende tiltak: nettverkssegmentering, overvåking, tilgangskontroll og fysisk sikring. Inkluder eldre systemer i risikovurderingen og planlegg for utfasing der det er mulig.

Gjelder NIS2 for vindkraft og solenergi?

Ja, kraftprodusenter uansett energikilde er omfattet. Vindkraftoperatører og solcelleparker med tilstrekkelig størrelse og kapasitet vil omfattes. Fjernstyrte anlegg har ekstra sårbarhet som bør adresseres i risikovurderingen.

Må vi rapportere til NVE innen 24 timer?

Under NIS2 skal tidlig varsel sendes til kompetent myndighet innen 24 timer etter at virksomheten blir oppmerksom på en vesentlig hendelse. For energisektoren vil dette trolig gå til NVE eller den myndigheten som utpekes i forskrift.

Viktige punkter om NIS2 energisektoren Krav til norske

Norske energiselskaper har et forsprang gjennom eksisterende regulering, men NIS2 stiller tilleggskrav som krever oppmerksomhet. OT-sikkerhet, leverandørkjedesikkerhet og formalisert ledelsesansvar er de områdene med størst gap for de fleste energivirksomheter.

Start med en gap-analyse som sammenligner nåværende etterlevelse av kraftberedskapsforskriften mot NIS2-kravene. Prioriter OT-sikkerhetsgjennomgang og leverandørkartlegging. Og sørg for at styret og ledelsen er involvert, det er nå et lovkrav.

---

Meta description: Energisektoren hadde 500+ cyberhendelser i Europa i 2024. Lær NIS2-kravene for norske kraft-, olje- og gasselskaper og OT-sikkerhet.