På Teknologioptimistenes IT-konferanse i september ble flere viktige temaer diskutert. Tre av dem gikk igjen i ulike sesjoner: digital uavhengighet, sammensmeltingen av IT og OT og regulatoriske krav. For meg er dette i praksis én og samme samtale.
Den handler om hvem som egentlig har kontroll over systemene som leverer samfunns- og forretningskritiske tjenester.
Tittelen på Hafslunds CIO Jon Andreas Pretorius' foredrag var det ingen som kunne misforstå: Mangler du en exit-strategi nå, har du sovet i timen.
Han tok utgangspunkt i et ubehagelig tankeeksperiment: Hva skjer dersom de globale skyleverandørene plutselig ikke lenger er tilgjengelige?
Et av poengene var at mange selskaper i bransjen ville oppdage betydelige hull i tjenestene dersom kritiske systemer ikke hadde tilstrekkelig grad av portabilitet og fleksibilitet.
Panelet som fulgte, med blant andre Microsoft, Twoday, Itera og Elbits, stilte spørsmål ved om både kraftbransjen og IT-leverandørene har blitt for avhengige av teknologigigantene. Det er et legitimt spørsmål. Men jeg mener vi ofte stiller det feil.
En exit-strategi handler ikke nødvendigvis om å forlate skyen. Den handler om å kunne gjøre det, eller i det minste vite hva som skjer dersom vi blir tvunget til det. For de fleste vil svaret være en kombinasjon. Noen tjenester kan flyttes, noen kan erstattes, mens andre må kunne fungere i redusert modus i en periode. Den siste delen er hvor OT kommer inn.
Ettermiddagens panel om IT/OT, med Janne Hagen fra Gritera, Tommy Evensen fra Lnett og Einar Winther-Larssen fra Statkraft, var etter min mening en av konferansens viktigste diskusjoner.
Kraftsystemet blir stadig mer automatisert og fjernstyrt. Samtidig stiller forretningsprosessene stadig høyere krav til presisjon, noe som igjen krever tilgang til store mengder grunnlagsdata fra OT-miljøene, gjerne i sanntid. Det gir bedre drift og bedre forretningsprosesser. Men det innebærer også at vi kobler sammen systemer som tidligere var adskilt. Dermed oppstår sårbarheter vi ikke hadde før.
Pretorius viste også til denne utfordringen i Hafslunds basisarkitektur og samspillet mellom forretningsprosesser, dataplattformer og moderne utviklingsverktøy.
Det panelet løftet frem, og som jeg kjenner igjen fra prosjektene vi jobber med, er at den største risikoen ikke alltid er teknisk. Den handler vel så mye om mennesker, ansvar og regulativer. Har vi fortsatt operatører med tilstrekkelig kunnskap om systemene til å ta over når automatikken svikter? Og tør de å gjøre det når situasjonen oppstår?
Dagfinn Ringås i Cegal poengterte at de største mulighetene for å forbedre forretningsprosessene oppstår når dyp domenekompetanse møter sterk teknologiekspertise. Det er da KI, med tilstrekkelig tilgang til relevante OT-data, kan bevege seg forbi imponerende demonstrasjoner og begynne å skape målbar forretningsverdi. Behovet for menneskelig kunnskap og fagkompetanse ble også understreket av Janne Hagen.
Når vi ser på IT/OT-miljøer i energisektoren, er det særlig tre mønstre som går igjen:
- Skyavhengighet sniker seg inn i OT.
Lisensservere, overvåking, fjernaksess og analyse flyttes til skyen, ofte uten at noen har vurdert grundig hva som skjer med den operative driften dersom forbindelsen forsvinner.
- Eierskapet er uklart. IT eier nettverket. OT eier anlegget. Men hvem eier grensesnittet mellom dem? Det er nettopp her noen av de viktigste sårbarhetene oppstår.
- «Manuell modus» er ikke øvd. Flere har beredskapsplaner for hvordan anlegg kan kjøres uten SCADA, men spørsmålet er hvor mange som faktisk har testet dem nylig, med dagens systemer og dagens bemanning. Det samme gjelder kontinuitetsplanlegging i hybride skymiljøer.
Og nettopp her møtes IT/OT-konvergensen og exit-diskusjonen.
En exit-strategi som ikke sier noe om hvordan driftssystemene, med planlagte automatiseringer og algoritmer, fungerer uten skytjenester, ekstern lisensiering eller sentrale leverandører, er etter min mening ikke en reell exit-strategi.
Det holder ikke å vite hvor dataene ligger. Vi må vite om driften faktisk fortsetter når en kritisk avhengighet forsvinner.
Ommund Øvrelid, Cegal
Så til reguleringen. Digitalsikkerhetsloven trådte i kraft i Norge 1. oktober 2025 og gjennomfører det første NIS-direktivet. NIS2 er ennå ikke gjennomført i norsk rett. Derfor bør vi også være presise når vi omtaler hvilke krav som gjelder i Norge i dag, og hvilke som følger av den kommende gjennomføringen av NIS2. Selv om NIS2 ennå ikke er innført i norsk lov, har regjeringen har varslet et høringsnotat som skal gjennomføre både NIS2 og CER-direktivet. Når NIS2 blir vedtatt i Norsk lov, vil dette gi krav til «etterlevelse» (compliance), om ikke risikeres høye bøter. (i likhet med konsekvenser ved brudd for GDPR).
NIS2 skiller ikke på IT og OT, men ser på samfunnskritiske system som en helhet. For deler av kraftbransjen er dette kanskje mindre dramatisk enn det høres ut. Kraftberedskapsforskriften stiller allerede strenge krav, og bransjen har lang erfaring med sikkerhet og beredskap.
Likevel er det særlig tre områder ved NIS2 som treffer rett inn i diskusjonen om exit-strategi og IT/OT:
1. Ledelsesansvar
Styret og toppledelsen får et tydelig personlig ansvar for digital sikkerhet. Exit-strategi og OT-risiko blir dermed styresaker, ikke IT-saker.
2. Leverandørkjeden
Kravene til sikkerhet i leverandørkjeden handler i praksis også om å forstå egne avhengigheter. Det er nettopp dette som er grunnmuren i en exit-strategi.
3. Hendelseshåndtering og rapportering
Korte frister og krav til håndtering forutsetter at virksomheten vet hvilke systemer som berøres, også på OT-siden, og har tilstrekkelig overvåking, kompetanse og beredskap til å håndtere kritiske hendelser.
De som venter til loven er vedtatt, må gjennom mye av det samme arbeidet under større tidspress. De som starter nå, kan gjøre det skikkelig.
Det konferansen viste meg, var at diskusjonen i bransjen har modnet. Skyen blir ikke lenger diskutert som enten løsningen eller problemet. Det langt viktigere spørsmålet er: Hvilke avhengigheter har vi valgt bevisst, hvilke har vi bare fått, hva er konsekvensene, og hvordan håndterer vi kritiske avvik?
Exit-strategi, IT/OT-sikkerhet og NIS2 gir tre ulike innganger til det samme svaret.
Vi trenger mennesker med relevant teknologi- og fagkompetanse.
Vi trenger et oppdatert bilde av systemer, data, leverandører og grensesnitt.
Og vi trenger en plan for hva som skjer når noe av dette ikke lenger er tilgjengelig.
Fem ting jeg mener kraftselskaper bør gjøre nå
1. Kartlegg avhengighetene
Lag en oversikt over hvilke IT- og OT-funksjoner som er avhengige av sky, internett eller eksterne leverandører. Husk også de indirekte avhengighetene, som lisenser, identitet og tidssynkronisering.
2. Klassifiser tjenestene
Hva må fungere lokalt? Hva kan flyttes? Hva kan være utilgjengelig i en uke? Dette er kjernen i både exit-strategien og beredskapsplanen.
3. Test manuell drift
Gjennomfør en øvelse der samfunns- eller forretningskritiske systemer må operere uten én eller flere skytjenester. Mål hva som faktisk skjer, ikke bare hva beredskapsplanen sier skal skje.
4. Gi grensesnittet en eier
Etabler et felles IT/OT-forum med tydelig beslutningsmyndighet. Bruk gjerne IEC 62443 og Purdue-modellen med soner og kanaler som et felles språk.
5. Løft diskusjonen til styret
Presenter avhengighetskartet og exit-scenariene for ledelsen. Dette handler ikke bare om teknologi. Det handler om virksomhetens evne til å opprettholde kritiske tjenester når forutsetningene endrer seg.
Optimisme trenger en plan B
Teknologioptimistene er, som navnet sier, optimister. Det er jeg også.
Automatisering, KI og sky gir kraftbransjen enorme muligheter. Men optimisme uten en plan B er ikke strategi.
Den gode nyheten er at arbeidet med exit-strategi, OT-sikkerhet og NIS2 i stor grad handler om mye av det samme: å forstå avhengighetene våre, vite hvem som har ansvar og den faglige kompetanse, og være forberedt på hva vi gjør når teknologien vi har gjort oss avhengige av, ikke fungerer som forventet. Så start nå, og gjør det skikkelig.
Adapt what is useful, reject what is useless, and add what is specifically your own.
Bruce Lee