Energisektor beredskabsbekendtgørelse

Cyber security management

§ 10: Ledelsesorganets forpligtelser

Virksomheders risikostyring og beredskab fastlægges af virksomhedens ledelsesorgan, som skal godkende følgende:

Risiko- og sårbarhedsvurderinger efter § 18.
Risikovurderinger i forbindelse med projekter, som skal sendes til Energistyrelsen efter § 28, stk. 1.
Beredskabsplaner efter § 19.

Related tasks

Management approval of key risk and preparedness documentation

Critical

High

Normal

Low

§ 62: Netværkssegmentering af kritiske systemer

Virksomheder skal foretage netværkssegmentering, så virksomhedens forsyningskritiske net- og informationssystemer isoleres fra andre net- og informationssystemer og udstyr.

Stk. 2. Netværkssegmentering efter stk. 1, stk. 3 og stk. 5, skal ske ved brug af en demilitariseret zone eller tilsvarende, som skal placeres mellem det isolerede netværk med forsyningskritiske net- og informationssystemer og øvrige netværk.

Stk. 3. Virksomheder i niveau 4 og 5 skal fysisk adskille netværk med forsyningskritiske net- og informationssystemer fra andre netværk, jf. dog stk. 5.

Stk. 4. Multiforsyningsvirksomheder i niveau 4 og 5 skal sikre, at netværk med forsyningskritiske net- og informationssystemer er adskilt på tværs af forsyningsarter i henhold til stk. 3, medmindre det er forsyningskritisk net- og informationssystem til styring af et anlæg der leverer flere energiforsyningstjenester.

Stk. 5. Virksomheder i niveau 4 og 5 skal foretage netværkssegmentering for net- og informationssystemer, som anvendes i adgangskontrollen for anlæg, jf. § 37 og § 38, stk. 2, nr. 3 og 4. Net- og informationssystemerne kan placeres i samme fysiske netværk som forsyningskritiske net- og informationssystemer.

Related tasks

Isolation of high-risk IACS

Critical

High

Normal

Low

IACS management

Network segmentation strategy for IACS

Critical

High

Normal

Low

IACS management

Non-essential communications are blocked

Critical

High

Normal

Low

IACS management

Performing traffic filtering between network segments

Critical

High

Normal

Low

Detailed procedures for the management, control and segmentation of networks

Critical

High

Normal

Low

Network areas and structurally secure network design

Critical

High

Normal

Low

Separation of critical environments

Critical

High

Normal

Low

Structural security of the network

Critical

High

Normal

Low

§ 63: Netværksdokumentation

Virksomheder skal have ajourført netværksdokumentation, der beskriver opbygningen af virksomhedens netværksinfrastruktur, herunder netværkssegmenteringen i § 62.

Stk. 2. Virksomheder skal have ajourført dokumentation over kommunikationsprotokoller, der anvendes i netværkssegmenter med forsyningskritiske net- og informationssystemer jf. § 62, herunder kommunikationsprotokoller med adgang til forsyningskritiske net- og informationssystemer.

Stk. 3. Virksomheder skal regelmæssigt og som minimum årligt kontrollere, at dokumentationen efter stk. 1 og 2 er opdateret.

Related tasks

Verification of network documentation

Critical

High

Normal

Low

Establishing and maintaining diagram(s) of architecture

Critical

High

Normal

Low

Detailed procedures for the management, control and segmentation of networks

Critical

High

Normal

Low

Network areas and structurally secure network design

Critical

High

Normal

Low

§ 65,66: Implementering af logning og monitorering

65. Virksomheder i niveau 2 og 3 skal i fornødent omfang implementere logning og monitorering i virksomhedens net- og informationssystemer og netværksinfrastruktur med henblik på at kunne identificere hændelser og nærvedhændelser samt understøtte myndighedernes efterforskning.

66. Virksomheder i niveau 4 og 5 skal implementere logning og monitorering i virksomhedens net- og informationssystemer og netværksinfrastruktur med henblik på at kunne identificere hændelser og nærvedhændelser i realtid samt understøtte myndighedernes efterforskning.

Stk. 2. Virksomheder i niveau 4 og 5 skal som minimum logge følgende:

Steder, hvorfra der går datatrafik ind og ud af virksomhedens netværk, herunder firewalls og internetvendte tjenester.
På hardware og software der understøtter leveringen af tjenesten, herunder netværkskomponenter og udstyr til fjernadgang, hvor det er muligt og de genererede logs viser forbindelser og brugerhandlinger.
På hardware og software der understøtter et anlægs adgangskontrol, jf. 38. stk. 2.

Related tasks

Establishing and maintaining an audit log management process

Critical

High

Normal

Low

Logging and review of admin and security logs

Critical

High

Normal

Low

Deployment and regular analysis of security system logs

Critical

High

Normal

Low

Data system log review

Critical

High

Normal

Low

Access control and authentication

Minimizing and monitoring log data access

Critical

High

Normal

Low

Monitoring the use of the network and information systems to identify anomalies

Critical

High

Normal

Low

Determining the baseline for network and data system usage for monitoring purposes

Critical

High

Normal

Low

§ 70: Regelmæssig verifikation af logintegritet og brugbarhed

Virksomheder skal regelmæssigt og som minimum årligt kontrollere, at der opsamles korrekte logs fra virksomhedens net- og informationssystemer, og at logs kan anvendes til at identificere og efterforske hændelser. Fejl og mangler skal rettes hurtigt, og årsagerne hertil undersøges.

Related tasks

Establishing and maintaining an audit log management process

Critical

High

Normal

Low

Deployment and regular analysis of security system logs

Critical

High

Normal

Low

Data system log review

Critical

High

Normal

Low

Identifying and reacting to logging errors in protection systems logs

Critical

High

Normal

Low

§ 68: Reagering på uregelmæssigheder i realtid

Virksomheder i niveau 4 og 5 skal være i stand til at reagere på uregelmæssigheder i net- og informationssystemer og netværksinfrastruktur i realtid med henblik på at sikre, at hændelser håndteres uden unødigt ophold.

Related tasks

Incident management and response capability

Critical

High

Normal

Low

The first level response process to security incidents

Critical

High

Normal

Low

Monitoring the use of the network and information systems to identify anomalies

Critical

High

Normal

Low

Information sharing related to network and data systems usage anomalies

Critical

High

Normal

Low

§ 69: Logplanlægning og overvågning til hændelsesrespons

Virksomheder skal planlægge logning og monitoreringen jf. §§ 65-68 i koordination med virksomhedens it-sikkerhedstjeneste, så der opsamles og monitoreres logs af relevans for it-sikkerhedstjenestens hændelseshåndtering.

Stk. 2. Virksomheder i niveau 4 og 5 skal være i stand til at afgive logs til it-sikkerhedstjenesten inden for 24 timer.

Related tasks

Enriching incident information to ensure an effective response

Critical

High

Normal

Low

Network usage log and process for detecting inappropriate network traffic

Critical

High

Normal

Low

Identification and monitoring of event sources

Critical

High

Normal

Low

Monitoring the use of the network and information systems to identify anomalies

Critical

High

Normal

Low

§ 67: Beskyttelse af logs

Logs efter § 65 og § 66 skal være tidssynkroniserede og skal beskyttes med foranstaltninger, der garanterer, at logs opbevares på sikker vis i henhold til kritikaliteten af det net- og informationssystem eller netværksudstyr, hvorfra der opsamles logs.

Stk. 2. Logs skal opbevares særskilt fra det net- og informationssystemer og netværksudstyr, hvorfra der opsamles logs, og skal sikres mod manipulation og beskyttes mod uautoriseret adgang.

Stk. 3. Virksomheder i niveau i 4 og 5 skal opbevare logs efter § 66 i 13 måneder.

Related tasks

Establishing and maintaining an audit log management process

Critical

High

Normal

Low

Protecting log information

Critical

High

Normal

Low

Management process for preventing log editing

Critical

High

Normal

Low

Access control and authentication

Minimizing and monitoring log data access

Critical

High

Normal

Low

Clock synchronization

Critical

High

Normal

Low

§ 64: Logpolitik

Virksomheder skal have en logpolitik til at fastlægge en overordnet ramme for logning og monitorering i virksomhedens net- og informationssystemer. Logpolitikken skal som minimum indeholde følgende:

Metoder for systematisk opsamling af logs, som er nødvendige for at identificere og efterforske hændelser.
Metoder for monitorering af logs.
Ansvar for monitorering af logs.
Opbevaringstid for opbevaring af logs.

Related tasks

Establishing and maintaining an audit log management process

Critical

High

Normal

Low

Deployment and regular analysis of security system logs

Critical

High

Normal

Low

Automatic log data analyzation

Critical

High

Normal

Low

Definition and monitoring of alarm policies

Critical

High

Normal

Low

Data system log review

Critical

High

Normal

Low

Documentation of system logs for self-maintained data systems

Critical

High

Normal

Low

Identifying and reacting to logging errors in protection systems logs

Critical

High

Normal

Low

Identification and monitoring of event sources

Critical

High

Normal

Low

§ 33: Krav til IT-sikkerhedstjenester og samarbejde

Virksomheder skal være tilmeldt en it-sikkerhedstjeneste, som skal varsle virksomheden om relevante sårbarheder og cybertrusler uden ugrundet ophold og vejlede virksomheden om mitigerende tiltag.

Stk. 2. Det skal fremgå af leverandøraftalen med en it-sikkerhedstjeneste, hvor hurtigt it-sikkerhedstjenesten skal varsle virksomheden efter opdagelse af sårbarheder og cybertrusler.

Stk. 3. Virksomheder skal sikre, at it-sikkerhedstjenesten har det nødvendige kendskab til virksomhedens net- og informationssystemer, så it-sikkerhedstjenesten kan identificere og varsle virksomheden om relevante sårbarheder og cybertrusler.

Stk. 4. Virksomheder skal sikre, at varsler modtages af personer med de nødvendige kompetencer til at omsætte varsler til mitigerende handling i virksomheden under hensyntagen til et varsels alvor.

Stk. 5. Virksomheder, som indgår en fælles kontrakt med en it-sikkerhedstjeneste, skal alle fremgå af kontrakten med it-sikkerhedstjenesten. Kontrakten skal opbevares hos alle tilmeldte virksomheder.

Related tasks

Agreement with a cybersecurity service provider

Critical

High

Normal

Low

Process for managing technical vulnerabilities

Critical

High

Normal

Low

Consideration of threat intelligence findings in the information security risk management process

Critical

High

Normal

Low

§ 38: Sikkerhedsforanstaltninger mod uautoriseret fysisk adgang

Virksomheder skal have foranstaltninger til at sikre, at forsøg på uautoriseret adgang på virksomhedens anlæg forebygges, opdages og reageres på.

Stk. 2. Foranstaltninger efter stk. 1 skal som minimum omfatte:

Styret adgangskontrol, jf. § 37.
Sikring til at forsinke og besværliggøre fysisk indtrængen på anlægget.
Elektronisk overvågning til at opdage forsøg på indtrængen, herunder forsøg på sabotage, indbrud eller tyveri.
Elektronisk overvågning til at verificere forsøg på indtrængen på anlæg i klasse 4 og 5.

Stk. 3. Sikring efter stk. 2 skal også omfatte en generel perimetersikring, så uautoriserede personer, køretøjer eller fartøjer på vandet ikke kan få adgang til at bevæge sig ind på et anlægs perimeter uden at blive opdaget. For anlæg, der indgår som en del af en kontorbygning og almindelige kontorfaciliteter, som anvendes i leveringen af virksomhedens tjenester, kan der i stedet for perimetersikring alene anvendes skalsikring, jf. stk. 1 og 2.

Stk. 4. Virksomheder skal for anlæg i klasse 4 og 5 foretage celle- eller objektsikring af områder med adgang til forsyningskritiske net- og informationssystemer, arbejdsstationer, kritiske anlægskomponenter og netværksudstyr, der kan tilgå forsyningskritiske net- og informationssystemer, herunder kontrolrum, serverrum og datacentre.

Stk. 5. Virksomheder i niveau 4 og 5 skal på baggrund af en risikovurdering foretage visuel afskærmning af områder og udstyr, der kan give indsigt i forsyningskritisk energiinfrastruktur, herunder visuel afskærmning af kontrolrum.

Stk. 6. Virksomheder skal foretage kontrol med, at foranstaltninger efter stk. 2-5 gennemføres, er intakte og fungerer efter hensigten, herunder besigtige og afprøve anlægs fysiske sikring. Kontrollen for anlæg i klasse 2 og 3 skal foretages hvert kvartal. Kontrollen for anlæg i klasse 4 og 5 skal foretages hver måned.

Related tasks

Development and implementation of physical security procedures

Critical

High

Normal

Low

Physical security measures for facilities

Critical

High

Normal

Low

Security services in real estates

Critical

High

Normal

Low

Camera surveillance in real estates

Critical

High

Normal

Low

Physical access control to building, offices and other premises

Critical

High

Normal

Low

Access control for secure areas

Critical

High

Normal

Low

Management of secure areas

Key management and access control procedures of secure areas

Critical

High

Normal

Low

Continuous monitoring of physical access to critical facilities

Critical

High

Normal

Low

§ 37: Kontrolleret adgang til faciliteter

Virksomheder skal have et system for styret adgangskontrol, så kun godkendte og verificerede personer kan få adgang til virksomhedens anlæg.

Stk. 2. Virksomheder skal tage stilling til, hvilke medarbejdere og leverandører der må og kan få adgang til forskellige dele af virksomhedens anlæg, herunder mulighed for at færdes uledsaget på anlægget eller dele heraf.

Stk. 3. Virksomheder skal sikre, at gæster og andre personer, som ikke har fast arbejdsgang på et anlæg, eller på dele af anlægget, indgår i den styrede adgangskontrol.

Stk. 4. Virksomheder skal sikre, at adgange logges, så der kan dokumenteres personhenførbare logs på adgange til virksomhedens anlæg. Dokumentationen skal beskyttes som beskrevet i § 67.

Stk. 5. Virksomheder skal som minimum hvert halve år foretage kontrol med, at den styrede adgangskontrol efter stk. 1-4 gennemføres, er intakt og fungerer efter hensigten, herunder at kun godkendte personer kan få adgang til virksomhedens anlæg.

Related tasks

Limited access and monitoring of support staff

Critical

High

Normal

Low

Visitor instructions and log

Critical

High

Normal

Low

Using keys and other IDs that produce electronic movement log

Critical

High

Normal

Low

Physical access control to building, offices and other premises

Critical

High

Normal

Low

Protecting log information

Critical

High

Normal

Low

Access control and authentication

Creating and maintaining an access control policy

Critical

High

Normal

Low

§ 34: Håndtering af hændelser med IT-sikkerhedstjeneste

Virksomheder i niveau 3-5 skal sikre, at en it-sikkerhedstjeneste bistår virksomheden i forbindelse med håndteringen af en hændelse, herunder at it-sikkerhedstjenesten kan yde assistance til skadesbegrænsning, bevisindsamling og teknisk bistand til genoprettelse af net- og informationssystemer.

Related tasks

Agreement with a cybersecurity service provider

Critical

High

Normal

Low

Incident management and response capability

Critical

High

Normal

Low

Developing and executing a recovery plan

Critical

High

Normal

Low

Managing evidence information for information security incidents

Critical

High

Normal

Low

§ 40: Kontrol og dokumentation af sikkerhedsforanstaltninger

Virksomheder skal have en plan for, hvornår virksomheden i løbet af et år planlægger at gennemføre kontrol med et anlægs sikringsforanstaltninger, jf. § 36, stk. 8 og 9, § 37, stk. 5, § 38, stk. 6, § 39, stk. 3, § 42, stk. 2 og § 43, stk. 2.

Stk. 2. Fejl og mangler ved foranstaltningerne skal rettes hurtigt og årsagerne hertil undersøges.

Stk. 3. Virksomheder skal føre kontroljournaler over gennemførte kontroller. Kontroljournalerne skal som minimum indeholde følgende oplysninger:

Hvor kontrollen er foretaget.
Hvornår kontrollen er foretaget.
Hvordan kontrollen er foretaget.
Fejl og afvigelser der måtte konstateres.
Hvordan og hvornår fejl og afvigelser er afhjulpet.

Stk. 4. Virksomheder skal når fejl og afvigelser ikke kan afhjælpes inden for kort tid, udarbejde en plan for hvordan og hvornår fejlen eller afvigelsen vil være endelig afhjulpet.

Stk. 5. Virksomheder skal ved næstfølgende kontrol sikre, at fejl og afvigelser fra den forrige kontrol på ny kontrolleres så det kan konstateres, at de afhjælpende foranstaltninger virker efter hensigten.

Related tasks

Planning and documenting facility security inspections

Critical

High

Normal

Low

§ 35: Deling af oplysninger om sårbarheder og hændelser

Virksomheder skal sikre, at oplysninger om sårbarheder og hændelser, som tilvejebringes gennem virksomhedens it-sikkerhedstjeneste, kan videreformidles til andre virksomheder uden ugrundet ophold.

Related tasks

Process for handling and sharing vulnerability disclosures

Critical

High

Normal

Low

Communicating the results of cyber security incident analysis

Critical

High

Normal

Low

Contact with industry-specific interest groups

Critical

High

Normal

Low

The goals of threat intelligence and the collection of information related to information security threats

Critical

High

Normal

Low

Sharing threat intelligence

Critical

High

Normal

Low