Statnetts svar på høring - Samling for sikkerhet - NOU 2016:19

Transkript

1 Forsvarsdepartementet Levert elektronisk på Glacisgata Saksbeh./tlf.nr.: Kjetil Sørli/ Deres ref./deres dato: 2015/3139-7/FD V 3/MAY / Vår ref.: 16/ Vår dato: Statnetts svar på høring - Samling for sikkerhet - NOU 2016:19 Det vises til Forsvarsdepartements høring på forslag til endringer i sikkerhetsloven. Departementets høringsbrev er datert med høringsfrist til Statnett SF er en av høringspartene. I det følgende gis Statnetts høringssvar. Innledning Statnett stiller seg tvilende til at forsyningssikkerheten bedres med en dobbeltregulering og et delt myndighetsansvar for sikkerhet i sektoren. Forslaget vil ha en kostnadsdrivende effekt for Statnett, og dermed for våre kunder. Det er Statnetts syn at den beste måten å ivareta god sikkerhet på er ved å ha en helhetlig tilnærming til risiko, og ikke avgrense denne til risiko for tilsiktede uønskede hendelser. En helhetlig tilnærming til risiko er i dag ivaretatt i energilovens beredskapsforskrift. Det gis innledningsvis en kort beskrivelse av Statnett før det gis tilbakemelding på NOU 2016:19. Generelt om Statnett Statnett SF eier og driver hoveddelen av transmisjonsnettet (hovednettet i strømforsyningen, tidligere betegnet som sentralnettet) i Norge. I tillegg er Statnett systemansvarlig i det norske kraftsystemet, og i det nordiske sammen med de nasjonale systemansvarlige. Statnetts anlegg og systemer er kritisk infrastruktur. Selskapet er ikke underlagt sikkerhetsloven, men energilovens beredskapsforskrift på blant annet områder som informasjons - og objektsikkerhet. Statnett er et statsforetak opprettet i henhold til statsforetaksloven og eid av staten ved Olje - og energidepartementet. Generelt om sikkerhet og beredskap i Statnett Statnett har en helhetlig tilnærming til å forebygge og håndtere risiko knyttet til ekstraordinære hendelser som kan true eller gå ut over forsyningssikkerheten i strømforsyningen. Det vurderes scenarioer knyttet til uhell, teknisk svikt, naturgitte hendelser, og til terror og sabotasje. Statnett har dedikerte avdelinger for sikkerhet, beredskap og informasjonssikkerhet som stiller krav internt, og som følger opp planlagte og iverksatte tiltak. Virksomheten har flere hundre ROS-analyser og beredskapsplaner for de enkelte anlegg, systemer og kritiske funksjoner. I tillegg gjennomføres det overordnede ROS-analyser. Statnett er også en av eierne og brukerne av KraftCERT. KraftCERT er spesialisert på overvåking, rådgivning og hendelseshåndtering, og innehar spesifikk kunnskap om digitale hendelser i kraftsektoren. Det er videre jevnlig kontakt med myndighetsorganer som gir Side 1 av 10

2 oppdaterte trusselbilder samt hyppig kontakt med energisektorens beredskapsmyndighet, NVE. Sistnevnte gjennomfører ofte og regelmessig tilsyn med Statnetts etterlevelse av energilovens beredskapsforskrift. Siden 2009 har NVE gjennomført 28 slike tilsyn, hvorav seks i Det er også jevnlig kontakt med politiet i forbindelse med objektsikring, og jevnlig kontakt med ulike avdelinger i Forsvaret i forbindelse med objektsikring og opplæring. Statnett legger vekt på egenkompetanse, eierskap og tilgjengelighet til kritiske systemer, anlegg og reservedeler. Dette gir en robust organisasjon med hensyn til forebygging og til beredskap, uavhengig av årsak. Statnett er en beredskapsorganisasjon i det daglige, og har erfaring med rask heving av beredskap for å håndtere ekstraordinære hendelser så som store strømutfall. Det øves systematisk og jevnlig, også relatert til tilsiktede uønskede hendelser. I dette ligger blant annet øvelser knyttet til digital og fysisk inntrenging. For 2016 ble det gjennomført et stort antall øvelser, helt fra små redningsøvelser, til større øvelser hvor store deler av organisasjonen ble involvert. Ledelsen i Statnett har også planlagte og jevnlige øvelser. Selskapet har et eget landsdekkende sambandssystem for tale, administrative data og driftskontroll. Dette skyldes at Statnett har fjernstyrte anlegg og administrative funksjoner i hele landet. Sambandet er uavhengig av kommersielt tilgjengelige leverandører, og har robust nødstrømsforsyning. I tillegg har sambandssystemet et stort antall grensesnitt mot andre selskaper i Norge, og ut mot Norden og Europa. Integrasjonen mot Europa vil øke i årene fremover. Det er videre høy grad av sikkerhet og redundans i elektriske komponenter og i digital infrastruktur. Tiltak er etablert etter krav i energilovens beredskapsforskrift, ut fra egne vurderinger i ROS-analyser, ut fra erfaringer og ut fra ulike internasjonale og norske standarder. I tillegg til å drifte, vedlikeholde og ha beredskap for kritisk infrastruktur, er Statnett inne i en periode med store investeringer i nye anlegg og oppgradering av eksisterende anlegg. Dette gjelder både for elektriske anlegg og i digital infrastruktur. De store investeringene er avgjørende for god forsyningssikkerhet, også fremover. Som en følge av de store investeringene er Statnett avhengig av et stort antall leverandører, inkludert utenlandske. Dette innebærer høy grad av informasjonsdeling med eksterne leverandører og innleide ressurser. Informasjonssikkerheten ivaretas ved sikkerhetsavtaler, mens den enkelte hos leverandør og underleverandør underskriver taushetserklæringer. Uten denne informasjonsdelingen vil det ikke være mulig å gjennomføre nødvendige investeringer i elektrisk og digital infrastruktur for å sikre forsyningssikkerhet, samfunnets behov for å tilrettelegge for ny aktivitet basert på elektrisitet og behovet for å tilrettelegge for ny fornybar energi. Generelt om kraftsystemet og økende integrasjon med Norden og Europa Kraftsystemet i Norge er sammenkoblet med de andre nordiske landene i et synkronsystem. Dette innebærer at feil i ett av våre naboland kan få konsekvenser for strømforsyningen i Norge. De nordiske land har derfor i mange år samarbeidet om systemdriften, og samarbeidet er regulert i en nordisk systemdriftsavtale. Avtalen og endringer i denne godkjennes av sektormyndigheten (NVE). Det nordiske samarbeidet forutsetter at kraftsensitiv informasjon utveksles. Økt behov for samhandling i den nordiske regionen vil forsterke dette behovet ytterligere i tiden fremover. Gjennom EØS-avtalen er det norske energisystemet en del av det europeiske, indre markedet for energi. Dette stiller krav til å følge indre markedsregler, herunder utveksling av sensitiv informasjon, basert på konkurranse og som gir god forsyningssikkerhet. Statnett er medlem i den europeiske organisasjonen av systemoperatører ENTSO-E, et pliktig samarbeidsorgan for Side 2 av 10

3 systemoperatører etter EUs tredje energimarkedspakke. ENTSO-E er i ferd med å ferdigstille forslag til regelverk knyttet til drift og markedsløsninger for energisektoren. Dette regelverket vil om kort tid være ferdig behandlet i EU. Regelverket er EØS-relevant og implementeres i Norge. Dette gjelder for eksempel forordning om henholdsvis Operational guidelines og Emergency restoration som stiller krav til arbeid for å hindre en krisesituasjon, samarbeid mellom de nasjonale systemoperatørene og planer for å gjenopprette forsyningen etter feil. Det er viktig for Statnett at nasjonalt regelverk for sikkerhet og beredskap ses i sammenheng med det kommende europeiske regelverket som forutsetter og pålegger til dels betydelig utveksling av sensitiv informasjon for å ivareta hensynet til ett felles energimarked med god forsyningssikkerhet for alle. Tilbakemelding på NOU 2016:19 Innledende betraktninger Ved underleggelse av sikkerhetsloven vil kritisk infrastruktur i energisektoren bli underlagt to lovverk som i stor grad er overlappende. Forvaltningsansvaret vil ligge i to ulike departementer, og med to ulike tilsynsmyndigheter. Statnett stiller seg positiv til at forslaget vil gi større muligheter for å håndtere gradert informasjon, og til å gi mulighet for å adgangsklarere personell. Det vil etter Statnetts syn bidra til bedre sikkerhet. Samtidig mener vi at andre deler av forslaget vil skape uklarheter i reguleringen av energisektorens sikkerhet og beredskap, og at det etter vår vurdering er et potensial for etablering av et regelverk som ikke bygger opp under en god forsyningssikkerhet, og som går på tvers av den digitale og markedsmessige integrasjonen med Europa. Og det reises spørsmål ved om det i tilstrekkelig grad er vurdert hvilke konsekvenser underleggelse av sikkerhetsloven vil få for innovasjon, kost og kvalitet i drift og den videre utviklingen av kraftsystemet. Statnetts primære syn er at svakheter ved reguleringen av sikkerhet og beredskap i energiforsyningen best lar seg løse ved justeringer i energilovens beredskapsforskrift. Sekundært er det vårt syn at sikkerhetsloven kun skal anvendes der det er mangler i energilovens beredskapsforskrift som håndtering av gradert informasjon og adgangsklarering av personell. Formål og virkeområde energilovens beredskapsforskrift og sikkerhetsloven (kommentarer til kapittel 1) Det er lang tradisjon for å sikre kraftforsyningsanlegg i Norge. Med tidligere lov om forsvarsmessig sikring av kraftanlegg fra 1948 var det særlig beskyttelse mot krigshandlinger og sabotasje som la føringer for tiltak. Med energilovens beredskapsforskrift fra 2003 ble tiltak forskriftsfestet og det ble lagt til grunn en helhetlig tilnærming mot ulike ekstraordinære hendelser, inkludert tilsiktede uønskede hendelser. I 2013 ble forskriften fornyet, og er i dag på om lag 30 sider med en veiledning på om lag 300 sider. I forskriftens formål og virkeområde fremkommer det at den skal sikre at energiforsyningen opprettholdes og at normal forsyning skal gjenopprettes på en effektiv og sikker måte i og etter ekstraordinære situasjoner for å redusere de samfunnsmessige konsekvensene. Forskriften gjelder forebygging, håndtering og begrensning av virkningene av ekstraordinære situasjoner som kan skade eller hindre produksjon, omforming, overføring og fordeling av elektrisk energi eller fjernvarme. Side 3 av 10

4 Forskriftsteksten innehar bestemmelser om ansvar, organisasjon, plikter, ROS-analyser, beredskapsplanlegging, varsling og rapportering, øvelser, informasjonsberedskap, evaluering, internkontrollsystem for dokumentasjon av etterlevelse, organisering av et eget apparat for hele energiforsyningen under kriser, reparasjonsberedskap og ressurser, fysisk sikring av anlegg og funksjoner, klassifisering av anlegg, vakthold fra politiet og Forsvaret, informasjonssikkerhet, beskyttelse av driftskontrollsystemer, bruk og drift av mobile radionett, og avsluttende bestemmelser knyttet til kontroll, pålegg, tvangsmulkt, overtredelsesgebyr og straff. I forslaget til ny sikkerhetslov ser vi at formål og virkeområde er å motvirke tilsiktede uønskede hendelser som kan skade grunnleggende nasjonale funksjoner, og at loven skal gjelde for virksomheter som alene eller sammen med andre råder over informasjon, informasjonssystemer, objekter eller infrastruktur, eller som driver aktivitet, som er av kritisk betydning for grunnleggende nasjonale funksjoner. Det fremgår at formål og virkeområde med hensyn til forslaget til ny sikkerhetslov allerede er ivaretatt i beredskapsforskriften for energisektoren, men at beredskapsforskriften går ut over formålet til ny sikkerhetslov ved å ha en all hazard-tilnærming. FFIs rapport til utvalget (FFI-rapport 16/00702) understreker dette forholdet da det i rapporten blant annet står: Dagens sektorregelverk er i stor grad dekkende for forebyggende sikkerhet. Regelverket sikrer god håndtering av sektorens leveringssikkerhet. [...] Regelverket regulerer tydelige ansvars- og myndighetsroller i beredskapsorganisasjonen. Dette er viktig og må beholdes. Det er derfor naturlig å reise spørsmålet om ny sikkerhetslov er nødvendig for sektoren, om den vil virke reparerende, eller om den vil gripe inn og overstyre eksisterende sektorlovverk. Og videre, hvordan eventuelle uklarheter og gråsoner som følge av dette vil bli håndtert. Tvisteorgan og forholdet mellom sektormyndighet og Sikkerhetsmyndigheten (kommentarer til 2-1, 2-6 og 2-7) Statnett stiller seg tvilende til om energisektorens særegne forhold vil bli ivaretatt i forslaget til et tvisteorgan. Statnett reiser videre spørsmål om ansvaret og myndigheten som tillegges tvisteorganet er forenlig med den myndighet og ansvar som den enkelte statsråd og det enkelte sektordepartementet har for egen sektor. I forslaget står det at Sikkerhetsmyndigheten har det sektorovergripende ansvaret for at gjennomføring av forebyggende sikkerhet i virksomhetene skjer i samsvar med loven. De skal blant annet påse at det føres tilsyn med krav som følger av loven, og de skal føre tilsyn med sektormyndigheter som er tillagt tilsynsansvar ( 2-2 og 3-1). I de tilfeller hvor det ikke kommer til enighet mellom sektormyndighet og Sikkerhetsmyndigheten vil slik Statnett forstår det et vedtak fra Sikkerhetsmyndigheten rettet mot sektormyndigheten kunne påklages til et tvisteorgan. I utvalgets forslag til 2-7 om tvisteorgan står det at det skal legges vekt på sikkerhetsfaglig og juridisk kompetanse med fem medlemmer. Det er Statnetts vurdering at det nettopp er i de tilfeller hvor det er uenighet om lovforståelse mellom sektormyndighet og Sikkerhetsmyndigheten at det er viktig å inneha sektorkompetanse i tillegg til sikkerhetsmessig og juridisk kompetanse. Ikke minst gjelder dette i forhold til energilovens beredskapsforskrift som langt på vei er overlappende med forslaget til ny sikkerhetslov. Dette understrekes ytterligere ved at forvaltningsansvaret for loven tillegges Forsvarsdepartementet, og ikke en sivil myndighet. Side 4 av 10

5 I utvalgets vurderinger står det blant annet følgende med hensyn til konsekvenser for virksomheter som tidligere ikke har vært underlagt sikkerhetsloven (side 113): Utvalget erkjenner at økte krav til sikkerhet også vil innebære økte kostnader, som kan virke tyngende for den enkelte virksomhet sett ut fra et bedriftsøkonomisk perspektiv. Utvalget mener likevel at de sikkerhetsmessige gevinstene i et samfunnsperspektiv overstiger de ulempene en utvidelse av lovens virkeområde vil kunne få for enkelte virksomheter. Konsekvensene kan etter Statnetts syn ikke reduseres til kun et bedriftsøkonomisk perspektiv. For Statnett med et stort antall leverandører og samarbeidspartnere både utenlands og innenlands, vil problemstillingen like mye handle om nødvendige investeringer, innovasjon og integrasjon med Europas kraftsystemer og energimarked i det hele tatt vil la seg gjennomføre. Sammensetningen av et eventuelt tvisteorgan må derfor inneha kompetanse til å vurdere andre sider enn kun sikkerhetsfaglige, juridiske og bedriftsøkonomisk forhold. Sammensetningen av et tvisteutvalg må etter Statnetts syn være sammensatt for å ivareta sektorspesifikke utfordringer inkludert samfunnsøkonomien ved pålagte tiltak. Samtidig ønsker Statnett å reise spørsmålet om et tvisteutvalg slik det er foreslått er forenlig med den myndighet og ansvar som sektordepartementet og den enkelte statsråd har for egen sektor. Det er derfor Statnetts primære syn hvis energiselskaper underlegges sikkerhetsloven at vedtak etter loven ikke skal kunne bringes inn for et tvisteorgan, men til Kongen i statsråd. Sekundært at et eventuelt tvisteorgan må inneha bredere kompetanse og sammensetning enn det legges opp til i lovforslaget. Varsling av hendelser (kommentarer til 4-6) Energilovens beredskapsforskrift har varslingsbestemmelser, både med hensyn til varsling under en hendelse, og med hensyn til rapportering i ettertid til NVE. Under en hendelse vil NVE samle inn og koordinere informasjon fra ulike selskaper, dele denne med eget departement, relevante myndigheter i andre sektorer og melde tilbake til selskaper i egen sektor. Det rapporteres samordnet til faste tidspunkter. Varslingsbestemmelsene gir informasjonsgrunnlag for å vurdere om hele sektoren skal underlegges kraftforsyningens sentrale ledelse (KSL) bestående av beredskapsmyndigheten (NVE) med deltagelse fra Statnett. Statnett og andre større selskaper har jevnlig erfaring med varsling under pågående hendelser. En felles erfaring er at det er arbeidskrevende, og at det må settes av særskilte ressurser for å følge opp varsling. Erfaringsmessig er det også kontakt med NVE mellom de faste rapporteringstidspunktene. Ved ekstraordinære hendelser er det som regel også dialog med andre selskaper, og for enkelte hendelser kontakt med politiet og Forsvaret. Samlet sett er varsling, koordinering av informasjon internt og dialog med andre myndigheter og virksomheter under en hendelse krevende. Selv med dedikerte ressurser for varsling under ekstraordinære hendelser, utfordrer eksterne krav til varsling og dialog selskapets ressurssituasjon og evne til å håndtere hendelsen internt. I utvalgets forslag til 4-6 Varsling, står det blant annet at: "I samfunnssektorer der sektormyndigheter er gitt tilsynsansvar i medhold av 3-1, skal Sikkerhetsmyndigheten varsles parallelt." Med bakgrunn i at varsling og dialog under ekstraordinære hendelser allerede er krevende å håndtere, og med bakgrunn i at det allerede er etablerte rutiner for videre varsling ut Side 5 av 10

6 mot andre sektorer, vurderer Statnett at en utvidet varslingsplikt ikke er hensiktsmessig. Formålet med bestemmelsen (side 260) er å legge til rette for at myndighetene kan ivareta sitt overordnede ansvar. Ved å følge etablerte varslingsrutiner vil formålet med bestemmelsen allerede være ivaretatt. Sikkerhetsmyndigheten vil kunne få en samlet fremstilling for hele sektoren fra NVE, og ikke stykkevis og delt fra den enkelte virksomhet. Statnett ber derfor om at forslaget om at selskapenes plikt om umiddelbar varsling og rapportering til Sikkerhetsmyndigheten endres til en plikt for sektormyndigheten om å varsle og rapportere. Dette kan gjennomføres uavhengig av om selskaper i energisektoren underlegges sikkerhetsloven eller ikke. Informasjonssikkerhet og verdivurdering (kommentarer til kapittel 5) Beredskapsforskriftens kapittel 6 har egne bestemmelser om hva som er sensitiv informasjon i energiforsyningen (kraftsensitiv informasjon), og hvordan denne skal beskyttes. Med sensitiv informasjon menes spesifikke og inngående opplysninger om energiforsyningen som kan brukes til å skade anlegg eller påvirke funksjoner som har betydning for energiforsyningen. Hensikten med bestemmelsen er overlappende med både dagens sikkerhetslov og forslaget til ny sikkerhetslov. Informasjon som kan misbrukes av ondsinnede aktører skal beskyttes. Det store skillet i denne sammenheng er styrken i barrierene, og at beredskapsforskriften ikke har flere graderinger av sensitiv informasjon. Der hvor sikkerhetsloven har sin styrke med høy grad av teknisk og organisatorisk konfidensialitet, legger beredskapsforskriften i større grad til rette for en balanse mellom konfidensialitet, integritet og tilgjengelighet. Deling av informasjon med entreprenører, leverandører og faste ansatte over hele landet er en forutsetning for å ivareta forsvarlig drift av kraftsystemet, og en forutsetning for å gjøre nødvendige investeringer for fremtidens kraftsystem. Økt deling av informasjon med europeiske transmisjonsselskaper og markeder er videre en utvikling drevet av endringer i EUs energilovgivning. Selv mindre endringer i verdivurderingen av informasjon for det som i dag faller inn under taushetsbestemmelsene i beredskapsforskriften, vil kunne føre til at Statnett må etablere et nytt landsdekkende gradert samband med tilhørende behov for et stort antall sikkerhetsklareringer. Det må legges til at Statnetts landsdekkende nett anses å ha høy grad av konfidensialitet, integritet og tilgjengelighet. En endring av verdivurdering av informasjon i dette informasjons- og kommunikasjonssystemet vil etter Statnetts syn kunne utfordre nødvendig tilgjengelighet, og bremse tiltak knyttet til sikkerhet og beredskap. Eksempelvis behandles ROS-analyser og beredskapsplaner på anlegg og administrative kontorer rundt om i landet, og en gradering etter sikkerhetsloven av disse dokumentene vil måtte føre til ombygging og godkjenning av flere hundre sambandspunkter for å ivareta behovet for å behandle disse etter sikkerhetslovens krav. Det reises også spørsmål om dette vil medføre behov for etablering av et stort antall rom over hele landet som er godkjent for å behandle sikkerhetsgradert informasjon. En eventuelt endring av verdivurdering fra energiloven til sikkerhetsloven vil også kunne gjøre Statnetts og Norges deltagelse i utviklingen av det europeiske energimarkedet svært krevende. Usikkerhet vil kunne oppstå ved verdivurdering av sensitiv informasjon. For de første hos den som utarbeider og produserer informasjon i det enkelte selskap som er underlagt to lovverk med samme formål. For det andre mellom to ulike myndigheter som forvalter hvert sitt lovverk med samme formål. For å skape et tydelig og forutsigbart skille, og dermed en tydelig og forutsigbar Side 6 av 10

7 forvaltning av informasjon i energiforsyningen, må informasjon om kraftforsyningsanlegg med tilhørende systemer reguleres etter energiloven. Dette vil også gi nødvendig fleksibilitet med hensyn til nødvendig deling av informasjon med norske og utenlandske leverandører og samarbeidsparter. Informasjonssystemsikkerhet (kommentarer til kapittel 6) Statnett ser fordeler med å dele skjermingsverdige informasjonssystemer mellom (1) de som er kritiske for grunnleggende nasjonale funksjoner, og (2) de som behandler sikkerhetsgradert informasjon. Det legges dermed opp til å kunne differensiere mellom ulike systemer med ulike typer tiltak. I forslaget stilles det krav til sikkerhetsgodkjenning for systemer som er kritiske for grunnleggende nasjonale funksjoner, mens det stilles krav om forhåndsgodkjenning for informasjonssystemer som behandler gradert informasjon. Et skjermingsverdig system som er kritisk for grunnleggende nasjonale funksjoner (1) vil kunne ha digitale grensesnitt opp mot andre nasjonale og internasjonale selskaper. For energisektorens del vil det ikke være mulig å drifte kraftsystemet uten slike digitale grensesnitt. Dette gjelder eksempelvis mot et større antall regionale nettselskaper, kraftprodusenter og kraftkrevende industri i Norge. Det gjelder også med hensyn til utenlandsforbindelser til Finland, Sverige, Danmark og Nederland, og for de planlagte forbindelsene til Storbritannia og Tyskland. Ikke minst gjelder dette i grensesnittene mot energimarkeder i Norge og Europa. I utvalgets merknader (side 263) vises det til at det åpnes opp for å etablere flere ulike godkjenningsprosesser og godkjenningsmyndigheter. For Statnett fremstår det uklart hva en godkjenning vil innebære. Det understrekes derfor viktigheten av at en ordning må legge avgjørende vekt på sektorens særegne forhold, og at en ordning og metodikk må være tilrettelagt for å ivareta overnevnte grensesnitt innenlands, utenlands og markedsmessig. En slik ordning må etter Statnetts syn tillegges sektormyndigheten og sektorlovgivningen for å sikre at sektorens særegne forhold ivaretas. Objekt- og infrastruktursikkerhet (kommentarer til kapittel 7) Det er gjennom energilovens beredskapsforskrift utpekt, klassifisert og etablert oversikt over sektorens objekter og infrastruktur. Sikkerhetsloven er således også her langt på vei overlappende med beredskapsforskriften. Samtidig ser Statnett de sikkerhetsmessige gevinstene ved å kunne adgangsklarere personell til kritiske objekter og infrastruktur. Dette er en mangel i energilovens beredskapsforskrift. Elektriske anlegg og driftskontrollsystemer er delt i tre ulike sikkerhetsklasser ut fra viktighet for energiforsyningen. Anlegg og systemers sikring etableres ut fra sikkerhetsklassen, og er et veletablert system som gir detaljerte krav til fysisk sikring av anlegg, og ikke minst til robustheten i de elektriske og digitale komponentene. Det fremstår derfor som viktig at en ny sikkerhetslov ikke griper inn og overstyrer energiloven. Det vil etter Statnetts syn være uheldig hvis ny sikkerhetslov griper inn og toner ned viktigheten av elektrisk og driftsmessig robusthet. Statnett stiller derfor spørsmål om det vil bringe noen sikkerhetsmessig merverdi å bli underlagt den nye sikkerhetslovens bestemmelser slik de er presentert i forslagets kapittel 7, med unntak av hjemmelen til å adgangsklarere personell som får adgang til kritiske objekter og infrastruktur. Det er Statnetts syn at adgangsklarering er et tiltak som best lar seg løse innenfor rammene av dagens sektorlovverk. Side 7 av 10

8 Sikkerhetsgraderte anskaffelser og leverandører (kommentarer til ) Statnett eier og driver et større antall objekter og systemer med potensial til å underlegges bestemmelsene om sikkerhetsgraderte anskaffelser. Dette gjelder driftssentraler, datahaller, anleggsdokumentasjonssystemer, driftskontrollsystemer, sambandssystemer, og transformator- og koblingsstasjoner over hele landet. Felles for disse er også i denne sammenheng en avhengighet av utenlandske leverandører. Det finnes ikke norske leverandører for en rekke produkter til disse anleggene og systemene. Det store antallet utenlandske leverandører fører til et sett med utfordringer knyttet til forslaget som kan gå direkte ut over forsyningssikkerheten. Utfordringene er særlig knyttet til anskaffelser til det som kan defineres som et skjermingsverdig objekt eller infrastruktur jf Vil for eksempel krav i kapittel 9 til leverandører føre til et redusert leverandørmarked som igjen vil gå ut over pris og nødvendig kvalitet på produktene? Utfordringene knytter seg også til leverandører som i dag leverer infrastruktur og systemer som på sikt kan tenkes å falle inn under 7-1. Hva vil skje hvis en eksisterende leverandør av et omfattende system/infrastruktur i drift ikke ser seg i stand til å inngå en sikkerhetsavtale i henhold til kapittel 9 ved innføringen av ny sikkerhetslov? For flere av Statnetts systemer vil det ikke være mulig å avvikle raskt og reetablere med ny leverandør, eksempelvis med en leverandør av et driftskontrollsystem. Statnett registrerer at utvalget fremhever at kostnadene ved sikkerhetstiltak etter loven skal stå i et rimelig forhold til det som oppnås med tiltakene. Videre skriver utvalget i sine vurderinger at: "Det er en fare for at dersom virksomheten ikke gis anledning til å gjøre kost-/nyttevurderinger i forhold til hvilke sikkerhetstiltak som bør og skal iverksettes, kan dette medføre at kostnadene ved å etablere sikkerhetstiltak blir uforholdsmessig høye." (s ). Statnett er av den oppfatning at selve lovforslaget i for liten grad legger til rette for at virksomheter med kritisk infrastruktur selv kan vurdere om sikkerhetstiltak vil stå i et rimelig forhold til det som oppnås med tiltakene. Det understrekes i denne sammenheng at vi også anser at sikkerhetstiltak ikke kun skal vurderes opp mot kostnader, men også opp mot langsiktige effekter knyttet til kvalitet, innovasjon og forsyningssikkerhet. Det er også her Statnetts primære syn at sikkerheten knyttet til leverandører og anskaffelser best reguleres i energiloven, og at eventuelle svakheter i dagens energilov best løses ved endringer i denne. Varslingsplikt ved anskaffelser (kommentar til 9-4) I Forsvarsdepartementets høring datert 19. mai 2015 på de nå vedtatte endringene i dagens sikkerhetslov, ga Statnett et høringssvar på det daværende forslaget til ny 29a (Statnetts referanse 15/ ). I forslaget til ny sikkerhetslov er bestemmelsen videreført i 9-4. I vårt høringssvar til 29a var Statnett positiv til at det gis anledning til å vurdere en leverandørs sikkerhetsmessige skikkethet, og at det på lovmessig grunnlag gis anledning til å nekte en anskaffelse i kritisk infrastruktur. Samtidig fant Statnett det da som mer hensiktsmessig å la energiloven ivareta formålet med det daværende forslaget til 29a. Dagens 29a ble gjort gjeldende fra , og det er således ikke gjort praktiske erfaringer med regelverket. Vi ser derfor de samme overordnede utfordringene med 29a og videreføring av denne i ny 9-4. Dette er knyttet til: at mulige forsinkende tilleggsprosesser vil kunne øke kostnadene uforholdsmessig mye på allerede store og kostbare anskaffelser Side 8 av 10

9 uforutsigbarhet for leverandørene og mulig økte kostnader i tilbudsutarbeidelse at det må ansettes ekstra personell for å håndtere tilleggskrav I tillegg er det en reell utfordring at manglende funksjonalitet og reservedeler i aldrende systemer vil gjøre det kritisk å anskaffe nye systemer uten tidshemmende faktorer. Videre ser Statnett at nekting av en leverandør kan: frata Statnett muligheter for å få ny og nødvendig funksjonalitet, og at dette må utvikles hos en annen leverandør fra bunnen av med tilhørende økte kostnader og økt tidsbruk frata Statnett muligheten til å reforhandle og videreutvikle et allerede implementert system, noe som igjen vil føre til store utviklingskostnader og manglende funksjonalitet inntil et alternativt system er på plass Vurdering av trussel i risikovurderingen I første ledd i forslaget til 9-4 står det innledningsvis: Ved anskaffelser til skjermingsverdig objekt eller infrastruktur skal virksomheten foreta en risikovurdering. Det skal tas stilling til om anskaffelsen medfører en ikke ubetydelig risiko for at tilsiktede uønskede hendelser kan inntreffe mot eller ved bruk av objektet eller infrastrukturen. Statnett er usikker på i hvilken grad en virksomhet med kritisk infrastruktur vil være i stand til å vurdere den konkrete risikoen for et konkret objekt eller en infrastruktur. Hvis vi legger trefaktormodellen til grunn (side 44) hvor risiko ses på som forholdet mellom trusler, verdier og sårbarhet, vil en virksomhet kunne angi verdi og sårbarhet. Samtidig vil kunnskap og kompetanse om truslene rettet mot konkrete objekter og infrastrukturer kunne variere. Etter Statnetts syn må virksomhetens risikovurdering derfor kunne avgrenses til hvilken konsekvens bortfall av planlagt anskaffelse har for formål og virkeområde i 1-1 og 1-2, eksempelvis om bortfall vil kunne skade grunnleggende nasjonale funksjoner. Samtidig er det fremdeles Statnetts primære syn at det er mer hensiktsmessig å la energiloven ivareta formålet med 29a. Ikrafttredelse (kommentar til kapittel 12) Hvis energisektoren underlegges sikkerhetsloven, vil det av nødvendighet ta lang tid å bli i stand til å etterleve en rekke av bestemmelsene. Leverandører og entreprenører er i all hovedsak heller ikke kjent med eller vant til å håndtere krav til sikkerhetsavtale og leverandørklarering slik de er omtalt i dagens sikkerhetslov kapittel 7. Hvis energisektoren med tilhørende norske og utenlandske leverandører skal være i stand til å etterleve ny sikkerhetslov, understrekes det at det i lov og/eller forskrifts form må gis vide overgangsbestemmelser. Eksempelvis vil det kunne ta flere år å fullt ut erstatte et eksisterende system som ikke blir godkjent med et nytt for en landsdekkende virksomhet som Statnett. I tillegg til at konsekvensene knyttet kvalitet, innovasjon, forsyningssikkerhet og bedrifts- og samfunnsøkonomi vil kunne være omfattende, er det av praktiske hensyn ikke mulig med raske skifter av leverandører for en rekke systemer. Side 9 av 10

10 Forskrifter Statnett registrerer at det gis hjemler til forskrifter for mange av bestemmelsene i sikkerhetsloven. For å sikre at særegne sektorforhold blir ivaretatt, understrekes viktigheten av at sektorinteresser blir involvert før endelige forskrifter blir vedtatt. Det må ligge til grunn god involvering fra energisektoren inn i arbeidet med forskrifter til ny sikkerhetslov. Samtidig er det vårt primære syn at god sikkerhet og beredskap best ivaretas ved at eventuelle svakheter i reguleringen av sikkerhet og beredskap ivaretas ved å endre energiloven. Konklusjon Statnett stiller seg tvilende til at forsyningssikkerheten bedres med en dobbeltregulering og et delt myndighetsansvar for sikkerhet i sektoren. Forslaget vil ha en kostnadsdrivende effekt for Statnett, og dermed for våre kunder. Det er Statnetts syn at den beste måten å ivareta god sikkerhet på er ved å ha en helhetlig tilnærming til risiko, og ikke avgrense denne til risiko for tilsiktede uønskede hendelser. En helhetlig tilnærming til risiko er i dag ivaretatt i energilovens beredskapsforskrift. Statnett stiller seg positiv til at forslaget vil gi større muligheter for å håndtere gradert informasjon, og til å gi mulighet for å adgangsklarere personell. Det vil etter Statnetts syn bidra til bedre sikkerhet. Samtidig mener vi at andre deler av forslaget vil skape uklarheter i reguleringen av energisektorens sikkerhet og beredskap, og at det etter vår vurdering er et potensial for etablering av et regelverk som ikke bygger under en god forsyningssikkerhet, og som går på tvers av den digitale og markedsmessige integrasjonen mot Europa. Hensynet til god forsyningssikkerhet, effektivitet og internasjonale forpliktelser (EØS-avtalen) innebærer plikt til å utveksle kraftsensitiv informasjon mellom systemoperatører og andre relevante aktører. Dette må nasjonalt regelverk ta høyde for. God forsyningssikkerhet i et integrert marked forutsetter informasjonsutveksling i betydelig grad, og mer enn det vi frem til nå har vært vant til. Vår vurdering er at det ikke i tilstrekkelig grad er vurdert hvilke konsekvenser underleggelse av sikkerhetsloven vil få for innovasjon, kost og kvalitet i drift og den videre utviklingen av kraftsystemet. Statnetts primære syn er at svakheter ved reguleringen av sikkerhet og beredskap i energiforsyningen best lar seg løse ved endringer og justeringer i energilovens beredskapsforskrift. Sekundært er det vårt syn at sikkerhetsloven kun skal anvendes der det er klare mangler i energilovens beredskapsforskrift. Med vennlig hilsen Øivind K. Rue (sign.) Konserndirektør Drift og marked Kjetil Sørli (sign.) Seksjonsleder Sikkerhet og beredskap Side 10 av 10