.svg)
.png)
Den danska förordningen om resiliens och beredskap inom energisektorn (Bekendtgørelse om modstandsdygtighed og beredskab i energisektoren) fastställer bindande krav för hur kritiska energiföretag ska hantera resiliens, beredskap och krishantering. Den utgör Danmarks sektorsspecifika genomförande av EU:s direktiv om nät- och informationssäkerhet 2 (NIS2) och lagen om resiliens hos kritiska enheter (CER) för energi.
I stället för att införliva NIS2 och CER genom en enda rättsakt införlivar Danmark skyldigheterna genom befintlig energilagstiftning och särskilda verkställande förordningar som administreras av det danska energimyndigheten. Detta tillvägagångssätt integrerar cybersäkerhet, fysiskt skydd och operativ beredskap i ett enhetligt regelverk som är anpassat till energisystemet.
Förordningen gäller främst systemansvariga för överförings- och distributionssystem, stora producenter och operatörer av kritisk energiinfrastruktur. Den ålägger ledningen tydliga styrningsuppgifter, kräver strukturerade riskbedömningar och beredskapsplanering, föreskriver tekniska och organisatoriska åtgärder och fastställer skyldigheter avseende hantering och rapportering av incidenter. Tillsynen är riskbaserad och befogenheter att vidta verkställighetsåtgärder finns tillgängliga om efterlevnaden är otillräcklig.
Omfattning och funktioner som omfattas
Beslutet gäller infrastruktur och verksamhet som ingår i det danska energisystemet, oavsett ägarförhållanden. Detta omfattar gränsöverskridande sammanlänkningar och gemensamma tillgångar, i den mån danska enheter driver eller ansvarar för dem. Energisystemen anses vara sammanlänkade och incidenter kan spridas över gränserna.
Ramverket beaktar även gränssnittet mellan energibolag och andra kritiska sektorer såsom telekommunikation, finans och transport. Företagen måste förstå beroendet av externa nätverk och tjänster som stöder kontrollsystem och marknadsverksamhet. Detta perspektiv påverkar riskbedömningar och kontinuitetsplanering. Det påverkar även samarbetet med myndigheter i nationella och regionala beredskapsstrukturer.
Organisationer utanför direkt tillämpningsområde kan använda ordern som riktmärke för motståndskraft och för anpassning till NIS2 och ISO 22301.
Mål och principer
Förordningen bygger på den danska lagen om elförsörjning och relaterad lagstiftning om gas och fjärrvärme. Den tilldelar skyldigheter till berörda enheter och klargör rollen för det danska energimyndigheten och systemoperatörerna. Den kopplar samman traditionell beredskap med cyber- och hybridhot.
Ordern har fem huvudsakliga mål:
- kräver tydlig styrning och ansvarsskyldighet för ledningen
- kräver systematiska risk- och sårbarhetsbedömningar
- kräver realistiska beredskaps- och kontinuitetsplaner
- fastställer förväntningar på tekniska och organisatoriska skyddsåtgärder
- definierar incidenthantering, anmälan och kontinuerlig förbättring inom hela sektorn.
Ledningsansvar och styrning
Styrelser och ledningsgrupper har det yttersta ansvaret. Ledningen måste godkänna policyer, riskbedömningar och beredskapsplaner. De måste avsätta resurser för förebyggande åtgärder, beredskap, övningar och utbildning. Rapporteringsvägar från verksamheten till ledningen måste definieras och användas.
Företagen måste utse en beredskapsansvarig och namnge systemägare för kritiska installationer. Krisledningsgrupper måste dokumenteras med roller, ställföreträdare och kontaktvägar. Policyer och rutiner måste omfatta risk, kontinuitet, beredskap och myndighetssamarbete. Utbildningen måste säkerställa att personalen känner till sina roller både i den dagliga verksamheten och i krissituationer.
Risk- och sårbarhetsbedömning
Företagen måste genomföra strukturerade risk- och sårbarhetsbedömningar. Omfattningen inkluderar utrustningsfel, naturkatastrofer, cyberattacker, sabotage och kedjereaktioner från andra sektorer. Bedömningarna måste ta hänsyn till sannolikheten och konsekvenserna för kritiska tjänster.
Kritiska tillgångar och enskilda felpunkter måste identifieras. Cybersäkerhetsaspekter och fysiska aspekter måste bedömas tillsammans för styrsystem och fältutrustning. Resultaten måste ligga till grund för investeringar och val av styrsystem. Myndigheter kan begära tillgång till bedömningarna för att underlätta tillsyn och riskanalys inom sektorn.
Beredskap och kontinuitetsplanering
Företagen måste upprätthålla aktuella beredskaps- och kontinuitetsplaner. Planerna måste definiera aktiveringskriterier, roller, kommunikationsvägar och samordning med systemoperatörer och myndigheter. De måste beskriva hur man upprätthåller en miniminivå av tjänster och hur man återställer normal drift.
Planerna måste ta hänsyn till förlust av primära styrsystem, skador på viktiga transformatorstationer eller rörledningar, storskaliga avbrott och allvarliga cyberincidenter. Planerna måste innehålla reservprocedurer, såsom lokal styrning eller manuell drift, och måste identifiera alternativa försörjningsvägar där så är möjligt. Planerna måste vara realistiska, testade och anpassade till regionala och nationella koncept.
Tekniskt skydd av kritiska tillgångar och system
Företag måste skydda kritiska anläggningar med lämplig fysisk säkerhet och robust design. Detta inkluderar perimeterskontroller, åtkomsthantering, övervakning och intrångsdetektering. Skyddsnivåerna måste motsvara tillgångarnas betydelse och aktuella hotnivåer.
Operativ teknik kräver säkra arkitekturer och segmentering från företagets IT-system. Kontrollsystem kräver stark autentisering, loggning och övervakad kommunikation. Säkerhetskopior och redundans måste finnas för kritiska kontroll- och kommunikationsfunktioner. Reservdelar och reparationskapacitet måste finnas tillgängliga där ledtiderna är långa.
Organisationens beredskap och samarbete
Krisledningen måste vara redo att aktiveras när som helst. Företagen behöver uppdaterade kontaktlistor, utryckningsrutiner och dygnet runt-beredskap vid behov. Strategiska, operativa och kommunikationsmässiga roller måste vara tydliga.
Samarbete förväntas. Företagen bör delta i branschforum för beredskap, dela relevant information om hot och delta i gemensamma övningar. Samordning över nätgränser och regioner är avgörande vid störningar som omfattar stora områden. Samarbete med offentliga myndigheter stödjer enhetlig kommunikation med allmänheten och resursfördelning.
Hantering och anmälan av incidenter
Företag måste upptäcka och hantera incidenter snabbt. Övervakning, larm och rapportering från personalen måste stödja tidig upptäckt. Incidenter måste klassificeras, stabiliseras och eskaleras till krishantering när tröskelvärdena uppnås.
Allvarliga incidenter måste anmälas till danska energimyndigheten eller utsedda systemoperatörer. Kriterierna avser omfattning, varaktighet, påverkan på kritiska kunder och risk för eskalering. Initiala varningar måste följas av statusuppdateringar och en slutrapport. Anmälningarna måste beskriva vad som har hänt, drabbade områden, förväntad utveckling, vidtagna åtgärder och stödbehov.
Kontinuerlig förbättring
Övningar är obligatoriska. Företagen måste genomföra interna övningar och delta i bransch- eller nationella övningar när de blir inbjudna. En kombination av simuleringar, kommunikationsövningar och praktiska övningar rekommenderas.
Scenarierna bör vara realistiska och omfatta flerdagars händelser, kombinerade fysiska och cyberincidenter samt förlust av nyckelpersonal eller anläggningar. Varje övning behöver mål, utvärdering och förbättringsåtgärder. Lärdomarna måste leda till uppdaterade planer, tydligare roller och förfinade tekniska och organisatoriska åtgärder.
Dokumentation, förbättring och anpassning
Beredskapsarbetet måste dokumenteras. Detta omfattar riskbedömningar, planer, övningsrapporter och incidentutvärderingar. Företagen måste kontrollera att åtgärderna fortfarande är adekvata i takt med att hot, teknik och system utvecklas.
Ordern är i linje med relaterade ramverk som EU:s nätkod för nöd- och återställningsåtgärder och EU:s andra direktiv om nät- och informationssäkerhet (NIS2). Harmonisera interna ramverk så att resiliens, cybersäkerhet och operativ riskhantering stöder varandra. Detta minskar dubbelarbete och stärker försörjningstryggheten.
Hur du implementerar Energy Resilience Order i din organisation
De flesta företag kan genomföra beställningen i tre steg. Detta skapar de artefakter som myndigheterna förväntar sig och förbättrar den verkliga motståndskraften. Ett bra tillvägagångssätt är att använda ett dedikerat ISMS som Cyberday hantera arbetet.
Omfattning och karta
Definiera vilka tillgångar, system och processer som omfattas. Kartlägg kritiska tjänster, kontrollcenter, transformatorstationer, rörledningar, telekomförbindelser och gränsöverskridande tillgångar. Identifiera beroenden av telekom, IT och viktiga leverantörer. Namnge systemägare och krisroller. Detta blir din styrning och din tillgångsryggrad.
Bedöm och planera
Genomför en strukturerad risk- och sårbarhetsbedömning av cyberhot och fysiska hot. Identifiera enskilda felpunkter och scenarier med allvarliga konsekvenser. Utarbeta eller uppdatera beredskaps- och kontinuitetsplaner med aktiveringskriterier, reservlösningar, kommunikationsvägar och återställningsmål. Definiera tekniska och organisatoriska kontrolluppgraderingar med ansvariga och tidsfrister.
Motion och bevis
Genomför riktade övningar för att testa beslutsfattande, kommunikation och teknisk failover. Åtgärda brister och uppdatera runbooks. Upprätta en incidentlogg och ett arbetsflöde för lärdomar. Se till att dokumenten är versionerade och tillgängliga. Förbered en anmälningshandbok med kriterier, mallar och kontaktlistor.
Cyberday hjälpa till under dessa steg med färdiga uppgiftsbibliotek, risk- och planmallar, rollbaserade arbetsflöden och centraliserad insamling av bevis. Det stöder också kartläggning av ditt arbete enligt NIS2 eller ISO 22301 så att du undviker dubbelarbete.
Varför Energy Resilience Order är viktigt för cyberresiliens och efterlevnad
Energiverksamheten är beroende av korrekt situationsmedvetenhet och repeterbara åtgärder. Ordern kräver tydlighet om kritiska tillgångar, beroenden och reservlösningar. Denna tydlighet minskar sannolikheten för avbrott och deras påverkan. Den förbättrar också återställningen genom att definiera roller, kommunikationsvägar och tekniska handböcker.
En stark implementering stödjer kontraktsförhandlingar, drift av sammanlänkningar och tillsynsmyndigheternas förtroende. Den skapar förtroende hos kunder, partner och investerare. Den är också i linje med NIS2 och EU:s regler för nödsituationer och återställning. Denna anpassning minskar dubbla revisioner och förbättrar kvaliteten på besluten under stressade situationer.
Vanliga frågor
Här är några frågor som organisationer ofta ställer:
Vilka enheter omfattas direkt av beslutet?
Transmissions- och distributionssystemoperatörer, stora el- och värmeproducenter samt operatörer av kritisk gasinfrastruktur omfattas vanligtvis. Specifika kontrollcenter- och marknadsfunktioner kan också omfattas. Kontrollera ordertexten och sektorsriktlinjerna för exakta kategorier.
Hur ska vi hantera beroendet av telekom- eller IT-leverantörer?
Identifiera telekom- och IT-länkar som stöder kontrollcentraler och fältanläggningar. Inkludera dem i riskbedömningar och planer. Fastställ avtalsmässiga krav för tillgänglighet, incidentanmälan och deltagande i övningar.
Hur detaljerade måste beredskapsplaner vara?
Planerna måste vara genomförbara. Inkludera aktiveringskriterier, roller, beslutsrättigheter, kommunikationsvägar och reservprocedurer. Bifoga tekniska handböcker för lokal kontroll, manuell drift och systemåterställning.
Hur ofta ska vi träna?
Genomför minst en strukturerad övning per år. Öka frekvensen vid större förändringar eller efter allvarliga incidenter. Använd en kombination av bordssimuleringar, kommunikationsövningar och tekniska övningar i realtid. Följ upp lärdomar och avslutande åtgärder.
Vad utlöser anmälan till danska energimyndigheten eller systemoperatörerna?
Meddela allvarliga eller eskalerande incidenter som har väsentlig inverkan på försörjningstryggheten eller kritiska kunder. Använd fördefinierade kriterier och kontaktvägar. Skicka snabbt en första varning, följ sedan upp med uppdateringar och en slutrapport.
Hur relaterar detta till NIS2?
Förordningen fokuserar på sektorns motståndskraft och försörjningstrygghet. NIS2 fokuserar på säkerhet i nätverk och informationssystem samt rapportering av incidenter inom olika sektorer. Anpassa kontroller och processer så att en uppsättning bevis stöder båda systemen.
Operationalisera energiresiliens med mindre ansträngning
Om du håller på att bygga upp eller utveckla ditt program, Cyberday hjälper dig att arbeta snabbare med färre kalkylblad. Använd uppgiftsuppsättningar för energiresiliens, risk- och planeringsmallar, rollarbetsflöden och centraliserade bevis för att vara redo för revisioner och samtidigt förbättra den verkliga resiliensen. Kartlägg en gång och återanvänd i NIS2 och ISO 22301 för att spara tid.
