Cybersikkerhed og NIS2 i forsyningssektoren

Sikkerhedslandskabet i forsyningssektoren er under forandring. Med NIS2- og CER-direktiverne har EU indført regler, der udvider forståelsen af, hvad der regnes som sikkerhed i kritisk infrastruktur. Hvor fokus tidligere har været rettet mod digitale risici, omfatter lovgivningen nu også fysiske forhold.

Det betyder, at elementer som adgangskontrol, overvågning og logning indgår i vurderingen af den generelle sikkerhed. Direktiverne træder i kraft i Danmark d. 1. juli 2025

I forsyningssektoren gælder bestemmelserne for enheder med funktioner af kritisk infrastruktur. Forhold omkring både digitale netværk og fysiske anlæg kan dermed være omfattet af krav til yderligere sikring og dokumentation.

Trusselsbilledet og ansvar for sikkerhed

Sikkerhedstrusler i forsyningssektoren har ændret karakter i takt med øget digitalisering og global usikkerhed. Infrastruktur, der tidligere blev betragtet som lukket og robust, er i stigende grad forbundet til netværk, eksterne leverandører og digitale styringssystemer. Det skaber afhængigheder, der øger risikoen for både digitale og fysiske hændelser.

Udviklingen har betydet, at der i EU-lovgivningen er lagt vægt på, at sikkerhed ikke alene er et teknisk anliggende. Direktiverne stiller krav til overblik, dokumentation og organisatorisk ansvar. Det betyder, at sikkerhed i forsyningssektoren i dag også omfatter procedurer, adgangsforhold og beskyttelse af fysiske installationer.

Trusselsbilledet dækker i dag både tilsigtede og utilsigtede hændelser. Det kan være sabotage, klimarelaterede hændelser, eller driftsforstyrrelser, som påvirker forsyningssikkerheden. Den samlede forståelse af risici har derfor ændret sig – fra udelukkende systemteknik til også at omfatte cyber- og strukturel sikkerhed.

Overblik over krav og dokumentation

NIS2- og CER-direktiverne stiller en række krav til sektorer med ansvar for kritisk infrastruktur. Kravene omfatter både organisatoriske foranstaltninger og dokumentation, som skal sikre, at både digitale og fysiske risici håndteres i overensstemmelse med de gældende bestemmelser.

I relation til fysisk sikkerhed kan kravene blandt andet omhandle:

• Risikovurderinger af adgangsforhold, bygninger og tekniske anlæg
• Dokumentation og logning af procedurer for kontrol, adgang og overvågning
• Sikring af driften ved fysiske hændelser
• Hændelseshåndtering herunder beredskabsplaner og rapportering
• Implementering af passende tiltag uden at kravene er løsningsspecifikke

Overholdelse af direktiverne og lovgivningen skal kunne dokumenteres i tilfælde af tilsyn. Det gælder uanset, om risikoen er relateret til digitale systemer eller fysiske enheder.