Jernbane-OT: SCADA og signalanlegg

Jernbane-OT er blant de mest komplekse og sikkerhetskritiske OT-miljoene. SCADA-systemer styrer signalanlegg, stikkskifter, togovervakning og strom til kontaktledningsanlegget. Bane NOR drifter disse systemene for norsk jernbaneinfrastruktur, og de representerer kritisk nasjonal infrastruktur. Jernbanesektoren er eksplisitt nevnt i Digitalsikkerhetsloven som kritisk. (Bane NOR, 2025)

ERTMS (European Rail Traffic Management System), som gradvis innfores pa norsk jernbane, er et digitalt signalsystem som er mer sikkert i design enn eldre analoge systemer, men ogsa mer IT-basert og dermed utsatt for digitale angrep. Innforing av ERTMS krever parallell OT-sikkerhetsplanlegging.

Maritim OT-sikkerhet: Skip og navigasjon

Norsk maritim sektor er blant verdens storste, med over 1 700 norske rederier og 52 000 sjopersoner. Skip er i seg selv OT-miljoer med navigasjonssystemer (ECDIS, AIS, GPS), maskinroms kontrollsystemer, ballastsystemer og kargostyring. IMO (International Maritime Organization) innforte krav om cybersikkerhetsstyring i ISM Code (International Safety Management) i 2021. (IMO, 2021)

GPS-spoofing er en spesifikt norsk maritim utfordring. Gntagende GPS-forstyrrelser i Norskehavet, Barentshavet og ved Finnmark-kysten er dokumentert og attributert til russisk militarактивitet. GPS-spoofing kan sende skip pa feil kurs ved a mate falske posisjonsdata til navigasjonssystemet. Maritime OT-systemer trenger resiliensmekanismer som ikke er avhengige av GPS alene.

Luftfart og flyplassautomasjon

Luftfart er den sektoren med historisk sett strengest sikkerhet, men OT-utfordringene er reelle. Flyplassers systemer inkluderer bagasjehandteringssystemer (PLS-drevet), rullebanelys og styring, navigasjonshjelpemidler (ILS, VASI), og HVAC og energisystemer. Avinors drift av norske flyplasser inkluderer OT-systemer som er kritiske for flyoperasjoner. (Avinor, 2025)

Eurocontrols rapport fra 2024 dokumenterte okning i cyberhendelser mot luftfartsinfrastruktur, inkludert angrep pa flyplassautomatisering og ATC-systemer (Air Traffic Control). Selv om flyenes egne systemer er av en annen kategori, er bakke-OT en voksende risiko.

Regulering av OT-sikkerhet i transport

Transportsekorens OT-sikkerhet er regulert av flere myndigheter: Kystverket og Sjofartsdirektriotet for maritim sektor, Luftfartstilsynet for luftfart, Jernbanedirektoratet for jernbane, og NSM koordinerer pa tvers. Digitalsikkerhetsloven definerer transport som kritisk sektor og stiller krav om risikostyring og hendelsesrapportering. IMO-krav til maritim cybersikkerhet er ogsa bindende for norske rederier under ISM Code. (NSM, 2025)

Sjofartsdirektoratets veileder til maritim cybersikkerhet er en god praktisk ressurs, og den refererer til IEC 62443 for skips OT-systemer og ISO/IEC 27001 for generell informasjonssikkerhetsstyring.

Prioriterte OT-sikkerhetstiltak for transport

De viktigste tiltakene for transportsektorens OT-sikkerhet:

1. Eiendelsoppdagelse: Kartlegg alle OT-systemer pa tvers av transportinfrastrukturen
2. Nettverkssegmentering: Separer navigasjonssystemer, kargostyring og kontornettverk pa skip. Separer jernbane-SCADA fra forretnigssystemer
3. GPS-resiliens: Implementer alternative posisjoneringssystemer (LORAN-C, INS) og prosedyrer for GPS-bortfall
4. Havnesikkerhet: Kran-OT og TMS skal vare i isolerte soner; leverandortilgang skal MFA-beskyttes
5. IMO-samsvar: Maritim cybersikkerhetsstyring per IMO-krav innarbeidet i SMS (Safety Management System)
6. Hendelsesresponsplan: Transport-spesifikke OT-beredskapsplaner koordinert med Kystverket og Bane NOR

Ofte stilte spørsmål

Hva er IMO 2021 og hva betyr det for norske rederier?

IMO resolusjon MSC-FAL.1/Circ.3 (2017), med ikrafttredelse 1. januar 2021, krever at alle rederier inkluderer cybersikkerhetsrisikovurdering i sitt Safety Management System (SMS) under ISM Code. Det betyr at norske rederier ma ha dokumentert risikostyring for OT-systemer pa skip, inkludert navigasjons- og maskinroms OT. (IMO, 2021)

Kan GPS-spoofing faktisk forårsake ulykker?

Ja, i teorien og i dokumenterte nærulykker. GPS-spoofing som gir skip falske posisjonsdata kan fore til grunnstoting eller kollisjon om besetningen ikke oppdager avviket. Kystverket har dokumentert hendelser i norske farvann der skip mottok falske GPS-signaler. Trening i GPS-uavhengig navigasjon og installasjon av AIS/ARPA-backup er beskyttelsestiltak.

Er automatiserte havner mer utsatte enn tradisjonelle?

Pa mange mater ja, men ogsa nei. Automatiserte havner har fler OT-systemer og storre digital integrasjon, noe som oker angrepsflaten. Men de har ogsa typisk mer moderne systemer med bedre innebygde sikkerhetsfunksjoner enn de eldre analoge systemene de erstatter. Det er utformingen av sikkerhetsarkitekturen som er avgjorende. (Claroty, 2024)

Hva gjor Bane NOR med OT-sikkerhet?

Bane NOR har etablert et systematisk OT-sikkerhetsprogram som en del av Norges oppfyllelse av Digitalsikkerhetsloven. De samarbeider med NSM og deltar i sektoriell beredskap for jernbaneinfrastruktur. ERTMS-innforingen inkluderer OT-sikkerhetskrav i leverandorkontraktene. Spesifikke detaljer er ikke offentlig tilgjengelig av sikkerhetsgrunner.

Konklusjon

Norsk transportsektors OT-systemer er i sterk digitalisering, med tilhorende okt risikobilde. Fra automatiserte havner til maritim GPS-risiko og jernbane-SCADA er OT-sikkerhet en kritisk del av transportens digitale transformasjon.

Sektoren har god hjelp i IMO-kravene, Digitalsikkerhetsloven og sektoriell veiledning fra Kystverket og Bane NOR. Det avgjorende er at OT-sikkerhet prioriteres i transportens digitaliseringsprosjekter, ikke som ettertanke, men som en fundamental forutsetning for sikker og palitelig transport.