Exit-strategi, IT/OT og NIS2: Tre samtaler, som energisektoren skal føre samtidigt

På Teknologioptimisternes IT-konference i september blev der drøftet flere vigtige emner. Tre af dem gik igen i forskellige sessioner: digital uafhængighed, sammensmeltningen af IT og OT samt lovgivningsmæssige krav. For mig er dette i praksis én og samme samtale.
Den handler om, hvem der egentlig har kontrol over de systemer, der leverer samfunds- og forretningskritiske tjenester.

Har du sovet i timen?

Titlen på Hafslunds CIO Jon Andreas Pretorius’ foredrag kunne ingen misforstå: Mangler du en exitstrategi nu, har du sovet i timen.
Han tog udgangspunkt i et ubehageligt tankeeksperiment: Hvad sker der, hvis de globale cloud-udbydere pludselig ikke længere er tilgængelige?
Et af pointene var, at mange virksomheder i branchen ville opdage betydelige huller i tjenesterne, hvis kritiske systemer ikke havde tilstrækkelig grad af portabilitet og fleksibilitet.
Det efterfølgende panel, der blandt andre bestod af Microsoft, Twoday, Itera og Elbits, stillede spørgsmålstegn ved, om både energibranchen og it-leverandørerne er blevet for afhængige af teknologigiganterne. Det er et legitimt spørgsmål. Men jeg mener, at vi ofte stiller det forkert.
En exitstrategi handler ikke nødvendigvis om at forlade skyen. Den handler om at kunne gøre det, eller i det mindste vide, hvad der sker, hvis vi bliver tvunget til det. For de fleste vil svaret være en kombination. Nogle tjenester kan flyttes, andre kan erstattes, mens andre igen skal kunne fungere i reduceret tilstand i en periode. Det er her, OT kommer ind i billedet.

Når IT og OT smelter sammen i driftscentralen

Eftermiddagens panel om IT/OT med Janne Hagen fra Gritera, Tommy Evensen fra Lnett og Einar Winther-Larssen fra Statkraft var efter min mening en af konferencens vigtigste diskussioner.

Elnettet bliver stadig mere automatiseret og fjernstyret. Samtidig stiller forretningsprocesserne stadig højere krav til præcision, hvilket igen kræver adgang til store mængder grundlæggende data fra OT-miljøerne, helst i realtid. Det giver bedre drift og bedre forretningsprocesser. Men det indebærer også, at vi kobler systemer sammen, som tidligere var adskilte. Dermed opstår der sårbarheder, som vi ikke havde før.

Pretorius henviste også til denne udfordring i Hafslunds basisarkitektur og samspillet mellem forretningsprocesser, dataplatforme og moderne udviklingsværktøjer.

Det, som panelet fremhævede, og som jeg genkender fra de projekter, vi arbejder med, er, at den største risiko ikke altid er teknisk. Den handler i lige så høj grad om mennesker, ansvar og regler. Har vi stadig operatører med tilstrækkelig viden om systemerne til at overtage styringen, når automatikken svigter? Og tør de gøre det, når situationen opstår?

Dagfinn Ringås fra Cegal påpegede, at de største muligheder for at forbedre forretningsprocesserne opstår, når dyb domænekompetence møder stærk teknologisk ekspertise. Det er først da, at AI – med tilstrækkelig adgang til relevante OT-data – kan bevæge sig ud over imponerende demonstrationer og begynde at skabe målbar forretningsværdi. Behovet for menneskelig viden og faglig kompetence blev også understreget af Janne Hagen.

Tre mønstre går igen

Når vi ser på IT/OT-miljøer i energisektoren, er der især tre mønstre, der går igen:
- Afhængighed af skyen sniger sig ind i OT.
Licensservere, overvågning, fjernadgang og analyse flyttes til skyen, ofte uden at nogen grundigt har vurderet, hvad der sker med den operative drift, hvis forbindelsen forsvinder.
- Ejerskabet er uklart. IT ejer netværket. OT ejer anlægget. Men hvem ejer grænsefladen mellem dem? Det er netop her, nogle af de vigtigste sårbarheder opstår.
- »Manuel tilstand« er ikke øvet. Mange har beredskabsplaner for, hvordan anlæg kan drives uden SCADA, men spørgsmålet er, hvor mange der faktisk har testet dem for nylig med de nuværende systemer og den nuværende bemanding. Det samme gælder kontinuitetsplanlægning i hybride cloud-miljøer.

Og netop her mødes IT/OT-konvergensen og diskussionen om exit-strategier.
En exit-strategi, der ikke siger noget om, hvordan driftssystemerne – med planlagte automatiseringer og algoritmer – fungerer uden cloud-tjenester, ekstern licensering eller centrale leverandører, er efter min mening ikke en reel exit-strategi.

Det er ikke nok at vide, hvor dataene befinder sig. Vi skal vide, om driften rent faktisk fortsætter, når en kritisk afhængighed forsvinder.

Ommund Øvrelid, Cegal

NIS2: Vent ikke på loven

Så til reguleringen. Loven om digital sikkerhed trådte i kraft i Norge den 1. oktober 2025 og gennemfører det første NIS-direktiv. NIS2 er endnu ikke gennemført i norsk ret. Derfor bør vi også være præcise, når vi omtaler, hvilke krav der gælder i Norge i dag, og hvilke der følger af den kommende gennemførelse af NIS2. Selvom NIS2 endnu ikke er indført i norsk lovgivning, har regeringen varslet et høringsnotat, der skal gennemføre både NIS2 og CER-direktivet. Når NIS2 vedtages i norsk lov, vil dette medføre krav om »overholdelse« (compliance), ellers risikerer man høje bøder. (på samme måde som konsekvenserne ved overtrædelse af GDPR).

NIS2 skelner ikke mellem IT og OT, men betragter samfundskritiske systemer som en helhed. For dele af energisektoren er dette måske mindre dramatisk, end det lyder. Forskriften om beredskab i energisektoren stiller allerede strenge krav, og branchen har lang erfaring med sikkerhed og beredskab.

Alligevel er der især tre områder i NIS2, der rammer lige ind i diskussionen om exitstrategi og IT/OT:

1. Ledelsesansvar
Bestyrelsen og den øverste ledelse får et klart personligt ansvar for digital sikkerhed. Exit-strategi og OT-risiko bliver dermed bestyrelsesanliggender, ikke IT-anliggender.
2. Leverandørkæden
Kravene til sikkerhed i leverandørkæden handler i praksis også om at forstå egne afhængigheder. Det er netop dette, der udgør grundlaget for en exitstrategi.
3. Håndtering af hændelser og rapportering
Korte frister og krav til håndtering forudsætter, at virksomheden ved, hvilke systemer der berøres, også på OT-siden, og har tilstrækkelig overvågning, kompetence og beredskab til at håndtere kritiske hændelser.

De, der venter, til loven er vedtaget, må gennemføre meget af det samme arbejde under større tidspres. De, der går i gang nu, kan gøre det ordentligt.

Hvor exitstrategi, IT/OT-sikkerhed og NIS2 mødes

Konferencen viste mig, at diskussionen i branchen er modnet. Skyen diskuteres ikke længere som enten løsningen eller problemet. Det langt vigtigere spørgsmål er: Hvilke afhængigheder har vi bevidst valgt, hvilke har vi blot fået, hvad er konsekvenserne, og hvordan håndterer vi kritiske afvigelser?

Exit-strategi, IT/OT-sikkerhed og NIS2 giver tre forskellige indgange til det samme svar.
Vi har brug for mennesker med relevant teknologisk og faglig kompetence.
Vi har brug for et opdateret overblik over systemer, data, leverandører og grænseflader.
Og vi har brug for en plan for, hvad der skal ske, når noget af dette ikke længere er tilgængeligt.

Fem ting, som jeg mener elselskaber bør gøre nu
1. Kortlæg afhængighederne
Lav en oversigt over, hvilke IT- og OT-funktioner der er afhængige af skyen, internettet eller eksterne leverandører. Husk også de indirekte afhængigheder, såsom licenser, identitet og tidssynkronisering.
2. Klassificer tjenesterne
Hvad skal fungere lokalt? Hvad kan flyttes? Hvad kan være utilgængeligt i en uge? Dette er kernen i både exitstrategien og beredskabsplanen.
3. Test manuel drift
Gennemfør en øvelse, hvor samfunds- eller forretningskritiske systemer skal fungere uden en eller flere cloud-tjenester. Mål, hvad der rent faktisk sker, ikke blot hvad beredskabsplanen siger, der skal ske.
4. Udpeg en ansvarlig for grænsefladen
Opret et fælles IT/OT-forum med tydelig beslutningskompetence. Brug gerne IEC 62443 og Purdue-modellen med zoner og kanaler som et fælles sprog.
5. Bring diskussionen op på bestyrelsesniveau
Præsenter afhængighedskortet og exit-scenarierne for ledelsen. Dette handler ikke kun om teknologi. Det handler om virksomhedens evne til at opretholde kritiske tjenester, når forudsætningerne ændrer sig.

Optimisme kræver en plan B

Teknologioptimisterne er, som navnet siger, optimister. Det er jeg også.
Automatisering, AI og skyen giver energisektoren enorme muligheder. Men optimisme uden en plan B er ikke en strategi.

Den gode nyhed er, at arbejdet med exitstrategi, OT-sikkerhed og NIS2 i høj grad handler om stort set det samme: at forstå vores afhængigheder, vide, hvem der har ansvaret og den faglige kompetence, og være forberedt på, hvad vi gør, når den teknologi, vi er blevet afhængige af, ikke fungerer som forventet. Så kom i gang nu, og gør det ordentligt.

Tilpas det, der er nyttigt, afvis det, der er unyttigt, og tilføj det, der er specifikt dit eget.

Bruce Lee