Med anledning av resultat från arbetet med informationssäkerhetsuppdraget har föl-jande åtgärdsbehov identifierats, förutom specifika tekniska åtgärder.
Uppdateringar och utökningar av befintliga vägledningar
Det finns ett behov av att utöka och uppdatera Svenska kraftnäts befintliga vägled-ningar inom säkerhetsområdet avseende rutiner och funktioner för säkerhetskopiering och återställning av system som är kritiska för elförsörjningen (inklusive exempel på logg- och larmhantering i system). Åtgärder behöver också vidtas för att ytterligare förtydliga och exemplifiera hur Svenska kraftnäts föreskrifter kan uppfyllas av elföre-tagen.
Vidare finns det ett behov av att ta fram ny stödjande dokumentation som riktar sig till aktörer inom elförsörjningen, exempelvis en vägledning för drift- och styrcentraler som adresserar hela säkerhetsproblematiken omfattande säkerhet, beredskap och säkerhetsskydd.
Under 2015 har Svenska kraftnät tagit fram en vägledning för IT-säkerhetsarkitektur för elsektorn24 som syftar till att stödja säkerhetsarbetet hos elföretagen i Sverige så att risken för otillbörlig påverkan på kritiska system kan minimeras. Vägledningen ger exempel på hur en IT-arkitektur kan utformas för att uppnå en god säkerhetsnivå.
24 Svenska kraftnät: IT-säkerhetsarkitektur. En vägledning för elbranschen med typexempel på referenslösningar. 2015.
Genomförande av säkerhetshöjande åtgärder
Det behövs utbildningsinsatser och andra typer av informativa insatser gentemot såväl anställda på myndigheten som aktörer inom elförsörjningen för att höja kunskapsni-vån inom områden informationssäkerhet och säkerhetsskydd, exempelvis när det gäl-ler kravställning avseende säkerhet vid utformning av kritiska systemlösningar. Sär-skild uppmärksamhet bör riktas mot åtgärder för att säkerställa att eventuell fjärrad-ministration sker på ett säkerhetsmässigt acceptabelt sätt. Det finns även ett behov av att informera elföretagen om risker kopplade till brister i säkerhetsprövning av perso-nal som tar del av skyddsvärd information eller kan påverka skyddsvärda resurser.
Under 2015 har Svenska kraftnät i samverkan med Svensk energi och Energimyndig-heten arbetat med vidarutveckling av Energisäkerhetsportalen som är en samlings-plats för nyheter, information och dokumentation vad avser företagens bete. Syftet är att höja säkerhetsmedvetandet och stödja ett systematiskt säkerhetsar-bete hos företag genom att tillhandahålla styrdokument, vägledningar, mallar och checklistor samt på sikt även ett webbaserat utbildningsverktyg för området säkerhet.
Genomförande av tillsynsinsatser
Tillsyn genomförs för att kontrollera att elsektorns aktörer efterlever de regler som följer av säkerhetsskyddslagen med tillhörande förordning och föreskrifter. Under 2015 har Svenska kraftnät genomfört kontroll av säkerhetsskyddet på ett urval av pro-duktionsanläggningar, samt inlett ett mer omfattande planeringsarbete med kompe-tenshöjande åtgärder för de kommande åren.
8.2 Reparationsberedskap
Reparationsberedskap har identifierats som en samhällsviktig verksamhet. I detta avsnitt följer exempel på åtgärder som genomförs för att upprätthålla denna verksam-het.
För att öka förmågan till samverkan mellan företagens egen personal, frivilligresurser och Svenska kraftnäts insatsstyrka, samt öka kompetensen i förmågan att hantera en större störning på elnätet, genomfördes under 2015 en övning tillsammans med Jämt-kraft Elnät och Skellefteå Kraft Elnät. Övningen var tredelad, och bestod av en skriv-bordsövning, en fältövning och en diskussionsövning.
Totalt övades över 70 personer varav mer än 60 under fältövningsdelen. En stor del av övningsmålen uppfylldes men det framkom även en del behov och förslag av förbätt-ringar. Efter övningen och utvärderingen har en åtgärdsplan tagits fram. Vissa åtgär-der kommer genomföras unåtgär-der år 2015 och 2016, åtgäråtgär-der kopplade till övning, ut-bildning och organisation genomförs på längre sikt.
Årligen genomförs utbildningsinsatser för montörer och frivilligorganisationer. Föru-tom de årliga utbildningsinsatserna så genomfördes under 2015 även en repetitions-övning där ett flertal repetitionsutbildningar för montörer och resurser från frivilligor-ganisationerna kombinerades för att bättre testa samarbetet mellan de olika grupper-na.
För att förstärka elförsörjningens förmåga till att hantera omfattande haverier i för-delningsstationer har Svenska kraftnät två stycken mobila förför-delningsstationer, Skal-man och Bamse. SkalSkal-man övades under 2015 i en gemensam övning tillsamSkal-mans med E. ON Elnät. Övningen var mycket lyckad och anläggningen, instruktioner och rutiner anses vara i bra skick. Det framkom ett antal förbättringsförslag som ska utredas un-der 2016.
I maj 2015 genomfördes en regional samverkansutbildning under ledning av Frivilliga flygkåren. Här övades piloter i att patrullera ledningar samt i rekognosering tillsam-mans med bandvagnsförare. I utbildningen deltog även Frivilliga automobilkåren, Bilkåren och Frivilliga radioorganisationerna.
Årligen genomförs utbildningar för elsamverkansledningarna med tillhörande elnätfö-retag i syfte att öka förutsättningarna för att kunna vidta åtgärder för att säkra verk-samhet, driftledning och verksamhetssamordning samt åtgärder för att möjliggöra reparationsarbete. För att säkerställa en kontinuitet i utbildningsverksamheten togs under 2015 fram en treårig utbildningsplan i samarbete med elsamverkansledningar-na.
8.3 Ödrift
För att minimera konsekvenserna för samhället och för att underlätta en driftåterupp-byggnad efter ett totalt elbortfall kan drift av delsystem vara en lösning i en krissituat-ion. Ett sådant driftläge innebär att ett regional-, lokalnät eller en enskild anläggning försörjs med elkraft från en eller flera produktionsanläggningar inom ett avgränsat ödriftområde utan elektrisk förbindelse med stamnätet. Eftersom hela försörjningsbe-hovet oftast inte kan tillgodoses vid ödrift krävs prioriteringar av i första hand sam-hällsviktig verksamhet, där de framtagna prioriteringarna i Styrel används som un-derlag i ödriftplaneringen.
Svenska kraftnät arbetar aktivt med att skapa och upprätthålla möjligheter till ödrift i några av Sveriges större städer. Detta innebär tekniska installationer som till exempel installation av dieselaggregat för att möjliggöra dödnäststart, anpassningar i styr- och reglersystem för frekvensreglering samt anpassningar i distributionsnät, dokumentat-ion, instruktioner, organisatdokumentat-ion, utbildning och övning. När de tekniska
installationer-na har genomförts krävs det också provning och övning för att säkerställa funktioinstallationer-nal- funktional-iteten i anläggningarna.
Det genomförs även utredningar om tekniska och ekonomiska möjligheter för ödrift på andra platser i landet.
8.4 Elektroniska kommunikationer
För att öka förmågan till kommunikation även i störningssituationer har Svenska kraftnät infört Rakel i egen organisation och detta är ett krav även för de underhålls- och serviceentreprenörer som verket anlitar. Svenska kraftnät verkar också för att öka användningen av Rakel i elsektorn, och Rakelutrustningar har installerats i elförsörj-ningens mest betydelsefulla driftcentraler och stationer. För att säkra kommunikation-en inom och mellan elsamverkansledningarna har personalkommunikation-en i organisationkommunikation-en utrus-tats med Rakelmobiler. Under 2015 slutfördes ett projekt där ägandeskapet av Ra-kelmobiler och tillhörande abonnemang inom Elsamverkan överläts till respektive företag för att öka möjligheten att synkronisera fabrikat och utbildning med övrig verksamhet.
2015 startades ett projekt för att inventera, komplettera och implementera Rakel hos de produktionsledningar som omnämns i Elförsörjningens riktlinjer för samverkan i Rakel (som fastställdes 2014). Syftet är att säkerställa att berörda verksamheter har en fullgod implementering av Rakel vad gäller dokumentation, hårdvara och utbildning.
Svenska kraftnät har även tagit fram material för och genomfört en utbildning med aktörer inom elförsörjning gällande Programmeringsunderlag (PU) för Rakel.
8.5 Reservkraft
Svenska kraftnät genomför installation av reservkraft i syfte att stärka stationers lokal- och hjälpkraft vid långvariga och omfattande avbrott för att snabbare kunna återgå till normaldrift, och därigenom öka förmågan att motstå och hantera allvarliga störningar i elförsörjningen. Myndigheten delfinansierar även installation samt inköp av reserv-kraft till elbolag för el- och kommunikationsdriftsmässigt särskilda viktiga stationer.
Under 2015 installerades reservkraft i form dödnätstartsutrustning i två anläggningar.
Under 2015 genomförs två stycken förstudier för installation av reservkraft med ge-nomförande 2016.
I tidigare genomförda förmågebedömningar har ett behov av att öka kompetensen för att underhålla och köra reservkraft inom branschen identifierats. Med anledning av detta har en komplett utbildningsmiljö för reservkraft anskaffats. Två kurser har
ge-nomförts under oktober 2015 där personal från elnätsbolag deltog. Kurser kommer att fortsätta genomföras de närmaste åren och vi arbetar på att få in fler deltagare även från produktionsföretag.
Det finns också behov av att se över bränsleförsörjningen till installerad reservkraft under störda förhållanden för att förbättra reservkraftens funktionalitet och uthållig-het vid krissituationer.
8.6 Dammsäkerhet
Rapportering till regeringen om utvecklingen avseende dammsäkerheten i landet görs årligen25. Rapporteringen avser genomförda, pågående och planerade åtgärder sedan föregående år. Vid behov lämnas även förslag på åtgärder för regeringen att vidta.
Under 2015 har Svenska kraftnät även redovisat ett regeringsuppdrag avseende att identifiera behov och ta fram en handlingsplan för att stimulera utvecklingen av sam-ordnad och övad beredskap för dammhaverier26. Utvecklingen avseende beredskapen för dammhaverier och utförda aktiviteter i enlighet med handlingsplanen kommer att ingå i den årliga rapporteringen om dammsäkerhetsutvecklingen.
8.7 Övning- och utbildning
Övning och utbildning är viktigt för att höja en verksamhets förmåga att förebygga, motstå och hantera störningar. Särskilt viktigt är detta för företag med koppling till samhällsviktig verksamhet eller som på annat sätt är viktiga för elförsörjningen.
Svenska kraftnät arbetar med övning och utbildning inom flera sakområden. Under 2013 påbörjades ett arbete med att samordna och tydliggöra denna verksamhet som omfattar både interna och externa aktiviteter, och skapar förutsättningar för en mer effektiv och inriktad övnings- och utbildningsverksamhet. Detta arbete har fortsatt under 2014 och 2015. Nedan följer exempel på de utbildnings- och övningsaktiviteter som genomförs.
Svenska kraftnät erbjuder i samverkan med Svensk Energi och PTS en serie utbild-ningar i krishantering. Utbildutbild-ningarna ska medvetandegöra kursdeltagarna om egna möjligheter och begränsningar i krissituationer, öka kunskapen om vanliga reaktioner vid ovanliga arbetssituationer och öka handlingsberedskapen när kriser uppstår. Kur-sen ges till aktörer både från elsektorn och telesektorn.
25Se Sammanställning av rapportering avseende dammsäkerhet år 2014, Dnr: 2014/2343
26 Handlingsplan för utveckling av beredskap för dammhaverier, Dnr: 2014/1936
Svenska kraftnät erbjuder en elberedskapskurs till små och medelstora elnätföretag.
Syftet med kursen är att öka deltagarnas förståelse för elektriska egenskaper vid svaga nät och för driftverksamhet inom produktion och distribution vid svåra påfrestningar.
Vid utbildningen ges också information om samhällets krisberedskap. Utbildningen består av en teoridel och en simuleringssövning med hjälp av kraftsystemsimulatorn ARISTO och Rakel. Under 2015 har kursen genomförts vid fyra tillfällen för totalt sex företag. Ytterligare utbildningar planeras under 2016.
Utbildning och övning för Svenska kraftnäts egen krisledningsorganisation genomförs kontinuerligt enligt fastställd utbildnings- och övningsplan.
Svenska kraftnät medverkar även i samverkansövningar som anordnas av andra myn-digheter, som övade och/eller motspel/referensgrupp. Under 2015 påbörjas arbetet med planering för deltagande i MSB:s övning SAMÖ som genomförs under 2016.
9 Behov av ytterligare åtgärder med an-ledning av risk- och sårbarhetsanalysens resultat
I detta kapitel ska redovisas ytterligare identifierade åtgärdsbehov som ligger utanför myndighetens mandat eller uppdrag.
Svenska kraftnät har i årets arbete inte identifierat sådana åtgärder som ligger utanför myndighetens ansvar, utan har fokuserat på att identifiera och redovisa åtgärder som ligger inom myndighetens ansvarsområde.
Bilaga 1: Formulär för bedömning av myndighetens generella krisbered-skap (bifogas separat)
Bilaga 2: Riskurvalet (Uppdrag Informationssäkerhet)
Bristande förmåga till återställning av SCADA system, eller andra kritiska system, efter haveri/störning eller annat avbrott.
Extrema grupper eller främmande makts cyber warfare units eller ensamagerande infil-trerar viktiga funktioner för styrning och kontroll (SCADA DC/SC eller andra kritiska system/resurser – tekniskt perspektiv).
Ökad, felaktig eller inte tillräckligt säker, integration mellan anläggningar, styrsystem och övrig IT-miljö samt Internet.
Extrema grupper, organiserad kriminalitet, ensamagerande eller främmande makt infiltrerar viktiga funktioner för styrning, kontroll, elhandel eller motsvarande. (social engineering, klassisk infiltration). Informationsstöld.
Information om sårbarhet i produkt/teknologi som används inom den egna organisat-ionen utnyttjas av angripare.
Skadlig kod inkommer/förekommer/exekverar i styrsystemen hos DC/SC eller i annan kritisk funktion.
Avsaknad av tillgänglig nationell hotbild för energibranschen.
Dokumentation (skriftlig eller digital) saknas eller är oriktig på anläggning eller annan plats där den behövs för att stödja kritiska funktioner.
Samlokalisering av viktiga system och anläggningsresurser medför problem vid diver-gerande syn på säkerhet.
Utbildning, uppföljning och kontroll av personal som arbetar med kritiska moment i DC/SC eller motsvarande kritisk funktion är bristande.
Hantering, avveckling och avyttring av informationsbärande utrustning sker på ett okontrollerat och felaktigt sätt som kan medföra att obehörig får del av skyddsvärda uppgifter.
Stor divergens i branschen avseende kunskap och förmåga inom säkerhetsskydd samt hot, risker och sårbarheter.
Angrepp på personal som är kritisk för verksamheten.
Bristande kompetensförsörjning inom kritiska ansvarsområden.
Epidemi eller pandemi påverkar personal inom kritiska verksamhetsområden.
Kvalificerad fysisk attack mot komponent eller anläggning.
Den ekonomiska resultatorienteringen, avkastningskraven, i sig självt medför en ökad säkerhetsmässig hotbild.
Extremväder som påverkar kritiska resurser, främst datahallar och/eller DC SC.
Okända komponenter förekommer i IT-miljön.
Beroenden till leverantörer vad avser driftförmåga och hållning av reservdelar.
Ensamarbete förekommer i viktiga funktioner.
Det förekommer konflikter mellan olika regelverk, exempelvis nationellt kontra EU-regelverk (OBS, gäller även på koncernnivå).
Avbrott i datakommunikation mellan DC/SC och olika kritiska anläggningar.