Justis- og beredskapsdepartementet Postboks 8005 Dep 0030 OSLO Vår dato: 13.09.2016 Vår ref.: 201603001-7 Arkiv: 406 Deres dato: Deres ref.: Saksbehandler: Ola Hermansen 22959205/ohe@nve.no NVEs høringssvar på forslag til EU-direktiv om sikkerhet i nettverk og informasjonssystemer (NIS-direktivet) Bakgrunn Vi viser til høring sendt 4.7.2016. NVE er positive til direktivet om sikkerhet i nettverk og informasjonssystemer (NIS-direktivet) og mener det er bra at det blir etablert et tilstrekkelig minstenivå av IKT-sikkerhet og IKThendelseshåndtering blant medlemslandene. NVE vil i dette høringssvaret gjennomgå: - krav til utpeking av myndighet for sikkerhet i nettverks- og informasjonssystemer - hvilke eksisterende regler som dekker kravene som stilles i direktivet - krav til utpeking av sektor-csirt - hvilken betydning direktivet vil ha for kraftleverandører - hvilken betydning direktivet vil ha for markedsplasser for omsetning av elektrisk energi. Krav til utpeking av myndighet for sikkerhet i nettverks- og informasjonssystemer i energiforsyningen NIS-direktivet artikkel 8 stiller krav til at det utpekes en eller flere myndigheter for sikkerhet i nettverksog informasjonssystemer, som dekker minst sektorene nevnt i direktivets Annex II og tjenestene i Annex III. Det operative ansvaret for kraftforsyningsberedskapen er delegert til NVE, som er beredskapsmyndighet etter energiloven 1 kapittel 9. NVE leder Kraftforsyningens beredskapsorganisasjon (KBO), som består av NVE og større kraftprodusenter, nettselskaper og fjernvarmeselskaper, som har klassifiserte anlegg 1 Lov om produksjon, omforming, overføring, omsetning, fordeling og bruk av energi m.m. (energiloven) 29.6.1990 nr. 50. E-post: nve@nve.no, Postboks 5091, Majorstuen, 0301 OSLO, Telefon: 09575, Internett: www.nve.no Org.nr.: NO 970 205 039 MVA Bankkonto: 7694 05 08971 Hovedkontor Region Midt-Norge Region Nord Region Sør Region Vest Region Øst Middelthunsgate 29 Vestre Rosten 81 Kongens gate 14-18 Anton Jenssensgate 7 Naustdalsvn. 1B Vangsveien 73 Postboks 5091, Majorstuen 7075 TILLER 8514 NARVIK Postboks 2124 Postboks 53 Postboks 4223 0301 OSLO 3103 TØNSBERG 6801 FØRDE 2307 HAMAR
Side 2 etter beredskapsforskriften. Som beskrevet senere om gjeldende krav i beredskapsforskriften 2, inkluderer dette også driftssystemene for anleggene i energiforsyningen. Disse driftssystemene er å regne som er nettverks- og informasjonssystemer. NVE mener det er naturlig at den utpekte myndighet for sikkerhet i nettverk- og informasjonssystemer etter NIS-direktivet for sektor 1. subsektor (a) i Annex II (Energi og elektrisitet) er den samme som beredskapsmyndighet etter energiloven kapittel 9. Hvilke eksisterende regler som dekker kravene som stilles i direktivet Krav til IKT-sikkerhet for aktører i energisystemet følger i dag hovedsakelig av energiloven 9-3 og beredskapsforskriften. Beredskapsforskriften stiller blant annet krav om Beredskapsplikt 3, Risiko og sårbarhetsanalyser 4, Beredskapsplanlegging 5, Informasjonssikkerhet 6 samt Beskyttelse av driftskontrollsystem 7. NVE har igangsatt et arbeid med å gjennomgå dette regelverket og er således positive til at direktivet innfører en minimumsstandard på flere områder. Kravene som stilles gjennom beredskapsforskriften gjelder hovedsakelig medlemmer av KBO. Derimot er verken markedsplass eller kraftleverandører medlemmer av KBO. De omfattes dermed ikke heller per i dag av de relevante bestemmelsene i beredskapsforskriften. Krav til utpeking av sektor-csirt NIS-direktivet artikkel 9 stiller krav til at det utpekes en sektor-csirt, blant annet for elektrisitet. Det er i dag ingen offisiell sektor-csirt for energiforsyningen, men i praksis er det ideelle aksjeselskapet KraftCERT AS å regne som en sektor-csirt for energiforsyningen. KraftCERT AS ble stiftet 30.10.2014 av Statnett, Statkraft og Hafslund etter initiativ fra NorCERT og Norges Vassdrags- og energidirektorat (NVE) for å være en støtte for hele kraftbransjen både i forebyggende arbeid og i håndtering av hendelser. Gruppen er spesialisert på overvåking, rådgivning og hendelseshåndtering for medlemmenes behov, og de innehar spesialisert kunnskap om digitale hendelser i bransjen som skal kunne hjelpe medlemmene. NVE vedtok 22.12.2014 å innlemme KraftCERT AS i KBO på bakgrunn av en vurdering at KraftCERT vil være av vesentlig betydning for energiforsyningen, jf. beredskapsforskriften 3-3 og energiloven 9-1. NVE vurderer det slik at det er naturlig at en sektor- CSIRT for energiforsyningen er en del av KBO fordi den vil være av vesentlig betydning for energiforsyningen, jf. beredskapsforskriften 3-3 og energiloven 9-1. De fleste store KBO-enheter er i dag tilknyttet KraftCERT på frivillig basis. NVE anser at KraftCERT kan oppfylle kravet om en sektor- CSIRT i henhold til direktivet. NVE vil videre gjøre oppmerksom på at NIS-direktivets krav medfører en forpliktelse for Norge til å sikre at CSIRTen har tilstrekkelige ressurser til å utføre sine oppgaver, i henhold til Annex I, 2 pkt., samt at det foreligger sikker og pålitelig IKT-infrastruktur egnet for CSIRTens bruk. De økonomiske konsekvensene av å utnevne en sektor-csirt er noe usikre da kostnadene og nytteeffektene knyttet til å gjennomføre oppgavene i Direktivets Annex I ikke er kjent. KraftCERT har ikke gjennomført et fullt regnskapsår, og NVE regner ikke oppstartsåret som representativt for årlige driftskostnader. FinansCERT, som er dedikert sektor-csirt for finansnæringen i Norge, ble formelt stiftet i 2013 og kan gi bedre estimering av de konkrete kostnadene. De hadde i 2015 driftskostnader på omtrent 10 MNOK. NVE vurderer et tilsvarende kostnadsnivå som et realistisk estimat for en sektor-csirt for 2 Forskrift om forebyggende sikkerhet og beredskap i energiforsyningen (beredskapsforskriften) 7.12.2012 nr. 1157 3 2-3 4 2-4 5 2-5 6 Kapitel 6 7 Kapitel 7
Side 3 energiforsyningen som dekker alle kravene i Direktivet. Dersom kostnaden dekkes gjennom medlemsavgift, tilsvarer det for energiforsyningen omtrent 50 000 NOK for hver av de 200 KBOenhetene, eller omtrent 3,5 NOK per rapporteringspunkt/sluttbruker (2014). Nytteverdien av en sektorcsirt (KraftCERT), som leverer kvalitativt gode tjenester, vil komme i form av redusert risiko for alvorlig svikt i energiforsyningen som følge av cyberhendelser, i form av bedre situasjonsforståelse og beredskap, samt leveringspålitelighet og leveringskvalitet. Grunnet energisektorens betydning for alle andre samfunnssektorer, vil den samfunnsøkonomiske nytten vil være svært høy. Det er spesielt viktig for energiforsyningen å ha en dedikert sektor-csirt med spesialkompetanse på industrielle kontrollsystemer. NIS-direktivets betydning for kraftleverandører Kraftleverandører er i dag ikke medlemmer av KBO og omfattes dermed ikke av bestemmelser i beredskapsforskriften. Dagens regulering legger til rette for at pålitelig kraftforsyning til sluttbrukere kan opprettholdes i ekstraordinære situasjoner uten kraftleverandørenes tjenester. NVE har foreløpig ingen planer om å utpeke kraftleverandører til medlemmer av KBO. Kraftleverandøren vil imidlertid få en stadig viktigere rolle i sluttbrukermarkedet for kraft i tiden fremover, også i ekstraordinære situasjoner. Blant annet jobber NVE med utformingen av en ny markedsmodell der kraftleverandøren vil overta som sluttbrukerens primærkontakt. Utvikling av et marked for kjøp og salg av fleksibilitet, aggregatortjenester og ulike styringsløsninger vil også kunne føre til at kraftleverandørene i større grad kan påvirke kraftsystemet i fremtiden. Innføring av Elhub og AMS medfører videre at kraftleverandøren vil sitte med store mengder informasjon om sine kunder. De vil blant annet ha tilgang til personnummer, kontaktinformasjon og detaljert forbruksinformasjon. Denne informasjonen er regulert under personopplysningslova og må også håndteres på en god og sikker måte. Kraftleverandørene defineres i Annex II i NIS-direktivet som operatører av essensielle tjenester, hvilket gir Norge en forpliktelse til å stille relevante sikringskrav til kraftleverandørene. NVEs oppfatning er at det konkrete innholdet i artikkel 14 er vagt formulert. NVE forutsetter at det kan utarbeides hensiktsmessige krav til IKT-sikkerheten hos norske kraftleverandører. Det må påregnes at NIS-direktivet kan ha økonomiske og administrative kostnader for kraftleverandører. Som for nyttevurderingen av KraftCERT, er sikkerhet og beskyttelse mot cybertrusler en forutsetning for å kunne drive forretningsvirksomhet uten å oppleve informasjonslekkasje eller bli utsatt for digital sabotasje. NIS-direktivets betydning for markedsplasser for omsetning av elektrisk energi Markedsplasser for omsetning av elektrisk energi for fysisk levering er, etter NVEs forståelse av direktivet, en digital tjenesteyter, jf. art. 4(5). Markedsplassene er «online marketplace», jf. Annex III nr 1 og art. 4(17), og som yter tjenester i samsvar med direktiv 2015/1535 art. 1(1) bokstav b. Som digital tjenesteyter er markedsplassene underlagt bestemmelsene i direktivets art. 16. Etter bestemmelsen skal medlemsstatene sørge for at aktørene identifiserer og gjør de nødvendige organisatoriske og tekniske tiltak for å håndtere risikoen forbundet med virksomheten. Kommisjonen vil gjennom implementerende rettsakter presisere sikkerhetskravene ytterligere, jf. art. 16(9). Med unntak for «essential State functions», kan ikke medlemsstatene fastsette strengere sikkerhets- eller meldekrav for digitale tjenesteytere jr. art. 16(10). Slik situasjonen i Norge er i dag, er Nord Pool AS eneste aktør med konsesjon til å drive markedsplass. Markedsplassen har en viktig rolle i det norske kraftsystemet, blant annet ved at resultatene fra
Side 4 markedsklareringen (pris og flyt av elektrisk kraft) benyttes i planleggingen av neste driftsdøgn. Fordi markedsplassen står for mesteparten av omsetningen av den totale kraften i Norge, samt 80 90 % i Norden, har markedsplassen en stor betydning for systemdriften og forsyningssikkerheten i Norge og Norden. I tillegg er den nordiske systemprisen (det vil si den prisen man ville fått dersom det ikke var noen begrensninger i overføringskapasiteten/flaskehalser mellom budområdene) viktig fordi den benyttes som referansepris for finansielle kraftkontrakter i Norden, samt som referanse for det øvrige kraftmarkedet. Et utfall av markedsplassen vil innebære utfordringer både for systemdriften og for markedsaktørene. Om det ikke er mulig for markedsplassene å fastsette pris basert på aktørenes bud, kan det gi store utfordringer med å opprettholde balansen i kraftsystemet. Dette fordi den fysiske flyten i systemet er avhengig av hvilke produsenter som produserer og hvor det er høyt eller lavt forbruk. Systemansvarlig kan i slike scenarier følge tidligere driftsplaner, men hvis forutsetningene endrer seg, kan systemansvarlig få store problemer med å holde kraftsystemet i balanse. Forutsetningene for driftsplanene er avhengig av flere faktorer som kan endres drastisk fra dag til dag. Et raskt fall i temperatur vil påvirke strømforbruket og tekniske feil i produksjons- eller nettanlegg kan påvirke hvilke produksjonsanlegg som er tilgjengelige. Videre vil en langvarig bruk av samme driftsplan kunne føre til at tilgjengelig produksjonskapasitet endres slik at systemansvarlig må gjøre flere manuelle tilpasninger for å balansere systemet. Organisering og drift av markedsplass er regulert i energiloven og energilovforskriften, samt gjennom konsesjon utstedt av NVE. Markedsplassen skal etter regelverket ha hensiktsmessige handelssystemer og infrastruktur som sikrer tillit og forutberegnelighet, samt rapportere til NVE ved spesielle hendelser. Virksomheten følges også opp gjennom beredskapsøvelser i regi av NVE. NIS-direktivet vil ikke nødvendigvis innebære en reell innstramming av markedsplassens IKT-sikkerhet, men vil gi en spesifisering og formalisering sammenlignet med dagens krav. NVE er i utgangspunktet positive til en tydeliggjøring av kravene. Dagens situasjon med kun én markedsplass i Norge vil snarlig endres ved gjennomføring av Kommisjonsforordning 2015/1222 (CACM). Forordningen legger opp til europeisk konkurranse mellom markedsplasser og harmonisering av regelverket. I tillegg skal markedsplassene samarbeide om markedskoblingsfunksjonen. Forordningen medfører at Nord Pool ikke lenger vil være eneste markedsplass i det norske kraftmarkedet, og regelverket vil i hovedsak fastsettes på europeisk nivå. Etter CACM skal en markedsplass (NEMO) ha den nødvendige informasjonsteknologi og sørge for sikker drift, men kravene er ikke nærmere konkretisert. Kravene til IKT-sikkerhet i NIS-direktivet går lenger, og vil derfor etter NVEs forståelse være førende for markedsplassenes IKT-sikkerhet, jf. NIS-direktivet art. 1(7). NVE er positive til at NIS-direktivet fastsetter like sikkerhetskrav til alle markedsplassene. Forutsatt at NIS-direktivet gir det nødvendige nivå av IKT-sikkerhet for markedsplasser, er det etter NVEs mening positivt med harmoniserte regler. Det reduserer risikoen for at IKT-sikkerhet blir saldert til fordel for priskonkurranse på tjenestene som markedsplassene leverer. Artikkel 16 i NIS-direktivet setter krav til varsling av alvorlige hendelser til myndighet eller CSIRT. I situasjoner der allmenheten trenger informasjon, gir NIS-direktivet det også rett til å informere allmennheten. En slik åpenhet er positivt for sikkerheten til markedsplassene generelt sett og bidrar til bedre kunnskap på tvers av organisasjoner. Når det gjelder krav til forsyningssikkerhet i Norge, er dette indirekte regulert gjennom beredskapsforskriften, som setter en rekke krav til sikkerhet og beredskap i KBO-enheter, inklusive IKT-systemer. Beredskapsforskriften har ikke spesifikke krav til forsyningssikkerhet, men har krav til beredskap og varsling og at KBO-enheter skal gjøres selvstendige vurderinger av hva som er akseptabel risiko for forsyningssikkerheten. Et eksempel på endringer som
Side 5 NIS-direktiver medfører her er at varslingskravet i beredskapsforskriften kun gjelder varsling til myndighetene og ikke CSIRT som også er et krav i NIS-direktivet. Det må påregnes at NIS-direktivet kan ha økonomiske og administrative konsekvenser for markedsplassen. Med hilsen Per Sanderud Vassdrags- og energidirektør Karin Margrethe Bugge Avdelingsdirektør Dokumentet sendes uten underskrift. Det er godkjent i henhold til interne rutiner. Vedlegg: Kopi til: Olje- og energidepartementet