Olje- og energidepartementet

Transkript

1 Olje- og energidepartementet 1 Olje- og energidepartementets forvaltning og gjennomføring av budsjettet for Generelt om resultatet av revisjonen Tabell 1.1 (tall i mill. kroner)* Utgifter Inntekter Overført fra forrige år Bevilgning 2009 Samlet bevilgning Regnskap Overført til neste år Utgiftsbevilgning 2009 Inntektsbevilgning 2009 Statens egne driftsutgifter Nybygg, anlegg mv. Overføringer til andre Utlån, statsgjeld mv. Salg av varer og tjenester Inntekter i forbindelse med nybygg, anlegg mv. Overføringer fra andre Tilbakebetalinger mv. Olje- og energidepartementets ansvarsområde: Riksrevisjonen har avgitt seks avsluttende revisjonsbrev uten merknad og ett avsluttende revisjonsbrev med merknad til: 3 virksomheter Norges vassdragsog energidirektorat 4 fond 6 selskaper** * Tabellen inneholder budsjett- og regnskapstall for departementets egen kapittelnummerserie og eventuelt andre kapitler som hører inn under departementets ansvarsområde. Sirkeldiagrammets inndeling er i henhold til bevilgningsreglementet 4, jf. rundskriv R-101 Statens kontoplan. ** Resultatet av Riksrevisjonens kontroll med statsrådens forvaltning av statens interesser i selskaper framkommer av Dokument 3:2 ( ). Dokument 1 ( ) Olje- og energidepartementet 227

2 1.2 Budsjett regnskap Det er merutgifter eller mindreinntekter under noen kapitler og poster, men enten er disse av mindre betydning, eller det er tilfredsstillende redegjort for dem i forklaringene til statsregnskapet. 1.3 Styring, måloppnåelse og resultatrapportering til Stortinget i forhold til det årlige budsjettet Riksrevisjonen har gjennomført en revisjon av arbeidet med informasjonssikkerhet i Olje- og energidepartementet og Norges vassdragsog energidirektorat (NVE). Revisjonen har avdekket enkelte svakheter i departementets etatsstyring. Undersøkelsen har vist at departementet i styringsdialogen ikke har stilt krav til underliggende virksomheter om identifisering, klassifisering, risikoanalyser og beskyttelse av samfunnsog virksomhetskritisk ikt-infrastruktur. Undersøkelsen viser også at departementet ikke utarbeider egne notater for oppfølging av risikostyringsrapportene fra virksomhetene, slik departementets veileder for etatsstyring forutsetter. Olje- og energidepartementet opplyser at det vil følge opp arbeidet med ikt-sikkerhet gjennom styringsdialogen, blant annet gjennom tildelingsbrev, krav om rapportering og ved møter. I arbeidet med informasjonssikkerhet tar departementet utgangspunkt i at olje- og gassleveransene er samfunnskritisk ut fra de store økonomiske verdiene leveransene skaper. Departementet viser også til at NVE bidrar til sikring og beskyttelse av samfunnskritisk ikt-infrastruktur relatert til kraftforsyningen, damsikkerhet og flom- og skredfare. 2 Regnskaper der Riksrevisjonen har vesentlige merknader 2.1 Norges vassdragsog energidirektorat Norges vassdragsog energidirektorat (NVE) har fått avsluttende revisjonsbrev med merknad som er knyttet til følgende forhold: Riksrevisjonen hadde i 2007-regnskapet merknad til ikt-forvaltningen i NVE i Dokument nr. 1 ( ). Revisjonen av 2008-regnskapet viste at NVE har gjennomført en risiko- og sårbarhetsanalyse som avdekket en rekke forhold som vil kreve oppfølging over lengre tid. De ulike tiltakene vil inngå i et samlet program som tar inntil to år å komplettere, jf. Dokument 1 ( ). Revisjonen av 2009-regnskapet viser at NVE har identifisert de viktigste digitale aktiva, men at aktiva ikke er klassifisert. Det går heller ikke fram hvem som har eierskap til de digitale aktiva. I tillegg er det ikke henvisning til digitale aktiva i NVE sin sikkerhetspolicy. Kontrollen har også vist enkelte mangler ved beskyttelse av iktinfrastruktur. Olje- og energidepartementet opplyser at NVE har vurdert ikt-sikkerhet som en risiko mot NVEs måloppnåelse relatert til flomvarsling, kontinuerlig drift av nettverkstjenester og leveranser av data fra det hydrologiske stasjonsnettet til brukerne i rett tid. NVE har så langt ikke gjennomført en formell klassifisering i forhold til samfunnskritiske digitale aktiva, men alle systemer som er nødvendige for å holde effektiv flomvarsling i gang, har vært prioritert i arbeidet med ikt. Departementet vil påse at NVE fortsetter arbeidet med formell klassifisering, og har tildelt NVE økte bevilgninger spesielt til ikt. Departementet vil fortsette å følge opp NVEs arbeid med iktsikkerhet gjennom styringsdialogen i tildelingsbrev, krav om rapportering og ved møter. Departementet har i 2010 gitt mer detaljerte føringer om sikkerhetsadministrasjon i tildelingsbrevet. Revisjonen viser mangler ved 11 av 27 kontrollerte anskaffelser hos NVE. De avdekkede forholdene gjelder utbetalinger uten skriftlige avtaler, manglende føring av anskaffelsesprotokoll og manglende opplysninger i anskaffelsesprotokoller. I tillegg er det i enkelte tilfeller mangler ved dokumentasjonen. Olje- og energidepartementet opplyser at NVEs risikovurderinger de senere år ikke har berørt eller avdekket vesentlig risiko knyttet til anskaffelsesområdet. Med bakgrunn i Riksrevisjonens gjennomgang vil departementet ta initiativ til at det gjennomføres en særskilt risikovurdering av anskaffelsesområdet i NVE som vil bli fulgt opp av departementet. 3 Olje- og energidepartementets oppfølging av tidligere rapporterte forhold Det er ingen tidligere rapporterte forhold til oppfølging. 228 Dokument 1 ( ) Olje- og energidepartementet

3 4 Riksrevisjonens bemerkninger 4.1 Riksrevisjonen konstaterer at Olje- og energidepartementet ikke har stilt krav til underliggende virksomheter om identifisering, klassifisering, risikoanalyser og beskyttelse av samfunnsog virksomhetskritisk ikt-infrastruktur. Riksrevisjonen stiller spørsmål om departementet har sikret seg nødvendig informasjon om samfunnskritisk iktinfrastruktur innen departementets ansvarsområde. Videre stilles det spørsmål om departementet har fulgt opp at virksomhetene har klassifisert hva som er samfunnsog virksomhetskritisk informasjon og at informasjonen blir beskyttet. 4.2 Norges vassdragsog energidirektorat Revisjonen av informasjonssikkerhet i 2009 har blant annet vist mangler ved klassifisering av digitale aktiva og beskyttelse av ikt-infrastruktur. Av departementets svar går det fram at NVE har vurdert ikt-sikkerhet som en risiko mot NVEs måloppnåelse relatert til flomvarsling, kontinuerlig drift av nettverkstjenester og leveranser av data fra det hydrologiske stasjonsnettet til brukerne i rett tid. Riksrevisjonen stiller spørsmål om departementet har utarbeidet en plan for å følge opp at tiltakene for å sikre god praksis innen informasjonssikkerhet blir gjennomført. Revisjonen viser brudd på anskaffelsesregelverket i NVE. Riksrevisjonen stiller spørsmål om NVE har etablert en tilstrekkelig internkontroll for å ivareta anskaffelsesregelverkets krav, og om hvilke tiltak som er eller vil bli gjennomført for å sikre at regelverket blir fulgt. 5 Svar fra Olje- og energidepartementet Saken har vært forelagt Olje- og energidepartementet, og statsråden har i brev av 20. august 2010 svart: "Ad pkt og 4.1 Olje- og energidepartementets underliggende virksomheter er godt kjent med de Nasjonale retningslinjene for å styrke informasjonssikke r- heten Det enkelte departement er ansvarlig for å følge opp retningslinjenes innsatsområder innenfor sitt ansvarsområde. Departementene skal i samarbeid med underlagte virksomheter, sørge for sektorvis oppfølging og at tiltak i nødvendig grad blir koordinert med andre departementer. Fornyings-, administrasjons- og kirkedepartementet har et overordnet samordningsansvar for oppfølgingen. Olje- og energidepartementet arbeider sammen med sine underliggende virksomheter for å oppfylle de nasjonale retningslinjenes målsetninger. I 2008 ble det blant annet innhentet en status for arbeidet fra Oljedirektoratet og Norges vassdragsog energidirektorat som var grunnlag for en rapportering til Fornyings- og administrasjonsdepartementet om status og planer for videre oppfølging. Olje- og energidepartementet vil innhente oppdatert status på informasjonssikkerhetsarbeidet innen egen sektor og følge opp virksomhetenes planer for oppfølging innenfor respektive sektorer. Riksrevisjonen skriver at "Undersøkelsen har vist at departementet i styringsdialogen ikke har stilt krav til underliggende virksomheter om identifisering, klassifisering, risikoanalyser og beskyttelse av samfunnsog virksomhetskritisk iktinfrastruktur." Det er riktig at OED ikke har stilt så spesifikke krav, men OED har stilt krav om utarbeidelse av årlige risikovurderingsrapporter i tildelingsbrevene for 2009 og Det er videre stilt særskilt krav om at disse inkluderer risikoanalyse knyttet til IKT-området. Når det gjelder beskyttelse av samfunnskritisk IKT-infrastruktur viser OED også til tildelingsbrev til NVE hvor det er satt mål om at NVE skal ivareta sikkerhet og beredskap i kraftforsyningen og sikre samfunnet mot skred- og vassdragsulykker. Krav om beskyttelse av IKT-infrastruktur er gitt i energiloven, forskrift til energiloven, forskrift om beredskap i kraftforsyningen (BfK) og damsikkerhetsforskriften. Med hjemmel i disse lover og forskrifter bidrar NVE til sikring og beskyttelse av samfunnskritisk IKT-infrastruktur relatert til kraftforsyningen og damsikkerhet. NVE følger opp arbeidet med beskyttelse av samfunnskritisk IKT-infrastruktur gjennom både veiledning og tilsyn. NVE fører tilsyn med kraftselskapene, eiere og anlegg som er innenfor virkeområde til energiloven og vannressursloven. Slikt tilsyn inkluderer også tilsyn med IKTinfrastruktur og -sikkerhet. I årsrapporten til OED rapporterer NVE bl.a. antall gjennomførte tilsyn og eventuelle avvik. En arbeidsgruppe i departementene har utarbeidet en veileder som Olje- og energidepartementet vil benytte for å identifisere informasjonsaktiva, Dokument 1 ( ) Olje- og energidepartementet 229

4 identifisere eierskap til aktiva, klassifisere aktiva, identifisere uønskede hendelser, lage risikomatrise og identifisere tiltak. Olje- og energidepartementet vil med bakgrunn i dette arbeidet vurdere om underliggende virksomheter skal følge en slik enhetlig og standardisert metodikk for arbeidet med informasjonssikkerhet i den enkelte virksomhet når det gjelder virksomhetskritisk informasjon og informasjonssystemer. Riksrevisjonen bemerker også at departementet ikke utarbeider egne notater for oppfølging av risikostyringsrapportene fra virksomhetene, slik departementets veileder for etatsstyring forutsetter. Dette er ikke riktig. Det er utarbeidet egne notater som oppsummerer og gir en vurdering av virksomhetenes risikorapporter for Ad pkt og 4.2 Norges vassdragsog energidirektorat(nve) NVE har i tillegg til sin generelle risikovurderingsrapport som omfatter hele direktoratets virksomhetsområde, utarbeidet en egen risiko- og sårbarhetsanalyse av NVEs IKT-systemer og -tjenester. IKT-systemer er spesielt vektlagt overfor NVE i tildelingsbrevet for 2009 og Selv om NVE så langt ikke har gjennomført en formell klassifisering i forhold til samfunnskritiske digitale verdier, har generelt alle systemer som er nødvendige for å holde effektiv flomvarsling i gang vært prioritert i arbeidet med IKT i NVE. Aktiva er klassifisert etter behov for konfidensialitet/integritet og etter behov for tilgjengelighet. Videre er åpningstid tatt med i klassifiseringen. Riksrevisjonen stiller spørsmål om departementet har utarbeidet en plan for å følge opp at tiltakene for å sikre god praksis innen informasjonssikkerhet blir gjennomført. Olje- og energidepartementet viser til tidligere nevnte krav og føringer i tildelingsbrev. OED vil fortsette å følge opp NVEs arbeid med IKTsikkerhet gjennom styringsdialogen, bl.a. gjennom tildelingsbrev, krav om rapportering og møter. Departementet vil fortløpende vurdere om det er behov for å gi ytterligere føringer innen dette området og i dialog med NVE vurdere om noen av disse tema bør følges opp på annen måte, for eksempel gjennom NVEs løpende risikovurderinger og rapportering. Olje- og energidepartementet har tatt initiativ til at det blir gjennomført en særskilt risikovurdering av anskaffelsesområdet i NVE. Denne vil bli fulgt opp særskilt av departementet i styringsdialogen." 6 Riksrevisjonen uttaler Riksrevisjonen har avgitt seks avsluttende revisjonsbrev uten merknad og ett avsluttende revisjonsbrev med merknad til Norges vassdragsog energidirektorat (NVE). 6.1 Olje- og energidepartementet Riksrevisjonen er kritisk til at departementet ikke har stilt krav til underliggende virksomheter om identifisering, klassifisering, risikoanalyser og beskyttelse av samfunnsog virksomhetskritisk ikt-infrastruktur. Departementet har et ansvar for å identifisere samfunnsog virksomhetskritisk ikt-infrastruktur i sektoren, samt sørge for at det blir gjennomført risikoanalyser for å avdekke sårbare og risikoutsatte områder og at disse blir beskyttet. Identifikasjon av slik infrastruktur har betydning for utarbeidelsen av gode risikoanalyser. Riksrevisjonen har merket seg at departementet vil innhente nødvendig informasjon om samfunnskritisk ikt-infrastruktur innenfor departementets ansvarsområde. Riksrevisjonen forutsetter at departementet følger opp at underliggende virksomheter har klassifisert hva som er samfunnsog virksomhetskritisk informasjon og at informasjonen blir beskyttet. Føringer for hvordan informasjonen skal klassifiseres øker sannsynligheten for at underliggende virksomheter klassifiserer samfunnsog virksomhetskritisk informasjon på lik linje innen departementets ansvarsområde. Riksrevisjonen vil bemerke at det på revisjonstidspunktet ble opplyst at departementet ikke hadde utarbeidet egne notater for oppfølging av risikostyringsrapportene fra virksomhetene. Riksrevisjonen ser positivt på at departementet nå har endret praksis på dette punktet. 6.2 Norges vassdragsog energidirektorat Riksrevisjonen er kritisk til at det er mangler ved klassifisering av digitale aktiva og beskyttelse 230 Dokument 1 ( ) Olje- og energidepartementet

5 av ikt-infrastruktur i NVE. Riksrevisjonen forutsetter at departementet følger opp NVEs arbeid med IKT-sikkerhet gjennom styringsdialogen og at tiltakene for å sikre god praksis innen informasjonssikkerhet i NVE blir gjennomført. Riksrevisjonen ser alvorlig på at regelverket for anskaffelser i flere tilfeller ikke har blitt fulgt av NVE. Riksrevisjonen har merket seg at det vil bli gjennomført en særskilt risikovurdering av anskaffelsesområdet i NVE som et tiltak for å bedre internkontrollen. Riksrevisjonen forutsetter at departementet iverksetter nevnte tiltak for å sikre at regelverket blir fulgt. Dokument 1 ( ) Olje- og energidepartementet 231