På Teknologioptimisternas IT-konferens i september diskuterades flera viktiga ämnen. Tre av dem återkom i olika sessioner: digital oberoende, sammansmältningen av IT och OT samt regulatoriska krav. För mig handlar det i praktiken om en och samma diskussion.
Den handlar om vem som egentligen har kontroll över de system som levererar samhälls- och affärskritiska tjänster.
Titeln på Hafslunds CIO Jon Andreas Pretorius föredrag kunde ingen missförstå: Om du saknar en exitstrategi nu, har du sovit under lektionen.
Han utgick från ett obehagligt tankeexperiment: Vad händer om de globala molnleverantörerna plötsligt inte längre är tillgängliga?
En av poängerna var att många företag i branschen skulle upptäcka betydande luckor i tjänsterna om kritiska system inte hade tillräcklig portabilitet och flexibilitet.
Panelen som följde, med bland andra Microsoft, Twoday, Itera och Elbits, ifrågasatte om både energibranschen och IT-leverantörerna har blivit alltför beroende av teknikjättarna. Det är en berättigad fråga. Men jag anser att vi ofta ställer den på fel sätt.
En exitstrategi handlar inte nödvändigtvis om att lämna molnet. Den handlar om att kunna göra det, eller åtminstone veta vad som händer om vi tvingas till det. För de flesta kommer svaret att vara en kombination. Vissa tjänster kan flyttas, vissa kan ersättas, medan andra måste kunna fungera i reducerat läge under en period. Det är i den sista delen som OT kommer in i bilden.
Eftermiddagens paneldiskussion om IT/OT, med Janne Hagen från Gritera, Tommy Evensen från Lnett och Einar Winther-Larssen från Statkraft, var enligt min mening en av konferensens viktigaste diskussioner.
Elsystemet blir alltmer automatiserat och fjärrstyrt. Samtidigt ställer affärsprocesserna allt högre krav på precision, vilket i sin tur kräver tillgång till stora mängder underlagsdata från OT-miljöerna, helst i realtid. Det ger bättre drift och bättre affärsprocesser. Men det innebär också att vi kopplar samman system som tidigare var åtskilda. Därmed uppstår sårbarheter som vi inte hade tidigare.
Pretorius pekade också på denna utmaning i Hafslunds basarkitektur och samspelet mellan affärsprocesser, dataplattformar och moderna utvecklingsverktyg.
Det som panelen lyfte fram, och som jag känner igen från de projekt vi arbetar med, är att den största risken inte alltid är teknisk. Den handlar lika mycket om människor, ansvar och regelverk. Har vi fortfarande operatörer med tillräcklig kunskap om systemen för att ta över när automatiken sviker? Och vågar de göra det när situationen uppstår?
Dagfinn Ringås på Cegal påpekade att de största möjligheterna att förbättra affärsprocesserna uppstår när djup domänkompetens möter stark teknikexpertis. Det är då AI, med tillräcklig tillgång till relevanta OT-data, kan gå bortom imponerande demonstrationer och börja skapa mätbar affärsvärde. Behovet av mänsklig kunskap och fackkompetens betonades också av Janne Hagen.
När vi tittar på IT/OT-miljöer inom energisektorn är det framför allt tre mönster som återkommer:
- Molnberoendet smyger sig in i OT.
Licensservrar, övervakning, fjärråtkomst och analys flyttas till molnet, ofta utan att någon noggrant har utvärderat vad som händer med den operativa driften om anslutningen bryts.
- Ägarförhållandena är oklara. IT äger nätverket. OT äger anläggningen. Men vem äger gränssnittet mellan dem? Det är just här som några av de viktigaste sårbarheterna uppstår.
- ”Manuellt läge” har inte övats. Många har beredskapsplaner för hur anläggningar kan drivas utan SCADA, men frågan är hur många som faktiskt har testat dem nyligen, med dagens system och dagens personalstyrka. Detsamma gäller kontinuitetsplanering i hybridmolnmiljöer.
Och det är just här som IT/OT-konvergensen och diskussionen om exit möts.
En exitstrategi som inte säger något om hur driftsystemen, med planerade automatiseringar och algoritmer, fungerar utan molntjänster, extern licensiering eller centrala leverantörer, är enligt min mening ingen verklig exitstrategi.
Det räcker inte att veta var data finns. Vi måste veta om driften faktiskt fortsätter när ett kritiskt beroende försvinner.
Ommund Øvrelid, Cegal
Sedan till regleringen. Lagen om digital säkerhet trädde i kraft i Norge den 1 oktober 2025 och genomför det första NIS-direktivet. NIS2 har ännu inte införlivats i norsk rätt. Därför bör vi också vara noggranna när vi talar om vilka krav som gäller i Norge idag och vilka som följer av den kommande införlivningen av NIS2. Även om NIS2 ännu inte har införlivats i norsk lag har regeringen aviserat ett samrådsunderlag som ska genomföra både NIS2 och CER-direktivet. När NIS2 antas i norsk lagstiftning kommer detta att medföra krav på ”efterlevnad” (compliance), och om dessa inte uppfylls riskerar man höga böter. (På samma sätt som konsekvenserna vid överträdelser av GDPR).
NIS2 gör ingen åtskillnad mellan IT och OT, utan betraktar samhällskritiska system som en helhet. För delar av kraftbranschen är detta kanske mindre dramatiskt än det låter. Förordningen om beredskap inom kraftsektorn ställer redan stränga krav, och branschen har lång erfarenhet av säkerhet och beredskap.
Ändå är det framför allt tre områden i NIS2 som träffar rakt in i diskussionen om exitstrategi och IT/OT:
1. Ledningens ansvar
Styrelsen och den högsta ledningen får ett tydligt personligt ansvar för digital säkerhet. Exitstrategi och OT-risk blir därmed styrelsefrågor, inte IT-frågor.
2. Leverantörskedjan
Kraven på säkerhet i leverantörskedjan handlar i praktiken också om att förstå sina egna beroenden. Det är just detta som utgör grunden för en exitstrategi.
3. Incidenthantering och rapportering
Korta tidsfrister och krav på hantering förutsätter att verksamheten vet vilka system som berörs, även på OT-sidan, och har tillräcklig övervakning, kompetens och beredskap för att hantera kritiska incidenter.
De som väntar tills lagen har antagits måste genomföra mycket av samma arbete under större tidspress. De som börjar nu kan göra det ordentligt.
Konferensen visade mig att diskussionen inom branschen har mognat. Molnet diskuteras inte längre som antingen lösningen eller problemet. Den långt viktigare frågan är: Vilka beroenden har vi valt medvetet, vilka har vi bara fått, vilka är konsekvenserna och hur hanterar vi kritiska avvikelser?
Exit-strategi, IT/OT-säkerhet och NIS2 ger tre olika ingångar till samma svar.
Vi behöver människor med relevant teknisk och fackmässig kompetens.
Vi behöver en uppdaterad översikt över system, data, leverantörer och gränssnitt.
Och vi behöver en plan för vad som ska hända när något av detta inte längre är tillgängligt.
Fem saker som jag anser att kraftbolag bör göra nu
1. Kartlägg beroendena
Skapa en översikt över vilka IT- och OT-funktioner som är beroende av molnet, internet eller externa leverantörer. Tänk också på de indirekta beroendena, som licenser, identitet och tidssynkronisering.
2. Klassificera tjänsterna
Vad måste fungera lokalt? Vad kan flyttas? Vad kan vara otillgängligt under en vecka? Detta är kärnan i både exitstrategin och beredskapsplanen.
3. Testa manuell drift
Genomför en övning där samhälls- eller affärskritiska system måste fungera utan en eller flera molntjänster. Mät vad som faktiskt händer, inte bara vad beredskapsplanen säger ska hända.
4. Utse en ansvarig för gränssnittet
Inrätta ett gemensamt IT/OT-forum med tydlig beslutsbefogenhet. Använd gärna IEC 62443 och Purdue-modellen med zoner och kanaler som ett gemensamt språk.
5. Ta upp diskussionen med styrelsen
Presentera beroendekartan och utgångsscenarierna för ledningen. Det här handlar inte bara om teknik. Det handlar om verksamhetens förmåga att upprätthålla kritiska tjänster när förutsättningarna förändras.
Optimism kräver en plan B
Teknikoptimisterna är, som namnet säger, optimister. Det är jag också.
Automatisering, AI och molnet ger energibranschen enorma möjligheter. Men optimism utan en plan B är ingen strategi.
Den goda nyheten är att arbetet med exitstrategi, OT-säkerhet och NIS2 till stor del handlar om ungefär samma sak: att förstå våra beroenden, veta vem som har ansvaret och den tekniska kompetensen, och vara förberedda på vad vi ska göra när den teknik vi har blivit beroende av inte fungerar som förväntat. Så börja nu, och gör det ordentligt.
Anpassa det som är användbart, avfärda det som är onödigt och lägg till det som är specifikt ditt eget.
Bruce Lee