Vedlegg 2
Statsrådens svar
Statsråden
Postadresse: Postboks 8148 Dep 0033 Oslo Kontoradresse: Akersgata 59 Telefon* 22 24 90 90 Org no.: 977 161 630 Riksrevisjonens undersøkelse av NVEs arbeid med IKT-sikkerhet
Jeg viser til Riksrevisjonens brev av 16. februar d.å. med oversendelse av Dokument 3:x om undersøkelsen av NVEs arbeid med IKT-sikkerhet i kraftforsyningen. Riksrevisjonen ber om en redegjørelse for hvordan departementet vil følge opp Riksrevisjonens merknader og anbefalinger.
Innledningsvis ønsker jeg å bemerke at slike revisjoner er nyttige. Jeg mener at NVE gjør et grundig og godt arbeid med IKT-sikkerhet i kraftsektoren, men det vil alltid finnes muligheter til forbedring. Riksrevisjonen anbefaler at Olje- og energidepartementet sørger for at NVE styrker arbeidet med IKT-sikkerhet i kraftforsyningen gjennom flere ulike tiltak. Jeg ønsker å bruke Riksrevisjonens funn og anbefalinger til å videreutvikle dette viktige arbeidet. Flere av Riksrevisjonens merknader og anbefalinger vil følges opp gjennom arbeid som allerede er påbegynt. Jeg vil i det følgende gjennomgå hovedfunnene i rapporten.
Riksrevisjonen anbefaler at NVE videreutvikler verktøy for å styre og følge opp arbeidet med IKT-sikkerhet i kraftforsyningen. NVE har kartlagt et behov for en ny overordnet strategi som setter søkelys på hvordan NVE skal nå målene sine og prioritere ressurser til viktige innsatsområder. Det utarbeides en strategi for perioden 2022-2026 som vil gi grunnlag for bedre mål og resultatstyring og NVE vil styrke virksomhetsstyringen sin både med ressurser, prosesser og verktøy.
I rapporten anbefales det at NVE styrker tilsynsmetodikken sin og gjennomfører risikobaserte IKT-sikkerhetstilsyn. NVE har startet arbeidet med å se på hvordan andre metoder kan benyttes i tilsyn og vurderer å utvikle en tilsynsmetodikk som går dypere enn tilsynene gjør i
Deres ref
Vår ref 19/1979- Dato 3.3.21
Side 2
dag. Et slikt arbeid må balanseres opp mot virksomhetenes eget ansvar for å sikre en god IKT-sikkerhetstilstand i kraftforsyningen.
Riksrevisjonen anbefaler at NVE sikrer god veiledning til bransjen og fortsetter med kompetansehevende tiltak internt og for bransjen. Jeg vet at NVE prioriterer veiledning høyt, og at arbeidet er bredere enn det som framgår av rapporten. NVE publiserte ny veiledning for hele kraftberedskapsforskriften 22. desember 2020. Siden den nye forskriften trådte i kraft har NVE sørget for at det har blitt gjennomført en rekke kurs for bransjen om kravene i forskriften. NVE gir også mye veiledning på telefon og e-post mv.
Virksomhetene i kraftforsyningen har ifølge Riksrevisjonen uklare retningslinjer for hvilke IKT- hendelser som skal varsles og svak kultur for å varsle, noe som fører til underrapportering til NVE og KraftCERT. Riksrevisjonen mener derfor at det foreligger et behov for å videreutvikle systemet for avdekking av IKT-sikkerhetshendelser. Her vil jeg vise til at NVE og KraftCERT har et FOU-prosjekt om analyserammeverk for innrapporterte hendelser. Det er kun ekstraordinære situasjoner som skal varsles til NVE. Jeg mener at Riksrevisjonen ikke har tilstrekkelig grunnlag for å si at det er underrapportering når det gjelder ekstraordinære situasjoner.
Riksrevisjonen påpeker at det er behov for å oppdatere beredskapsplanverket og at NVE bør gjennomføre flere IKT-øvelser. Beredskapsplanverket i NVE skal revideres i 2021. I denne oppdateringen skal også samarbeidet med KraftCERT og NVEs rolle som sektorvist responsmiljø (SRM) gjennomgås. I tillegg skal NVE oppdatere den flerårige øvingsplanen.
NVE anbefales å vurdere tiltak for å håndtere utfordringen med å følge opp IKT- leverandørenes IKT-sikkerhet. Jeg mener dette er utenfor NVEs ansvarsområde. Leverandørene skal følges opp av selskapene, og er ikke underlagt kraftberedskapsforskriften (med unntak av det som gjelder kraftsensitiv informasjon) og er dermed utenfor NVEs tilsynsansvar. Jeg er kjent med at NVE likevel har oppmerksomhet rettet mot leverandørkjeder og ser behov for å øke oppmerksomheten på informasjonssikkerhet hos leverandører og å følge opp virksomhetene i kraftsektoren på dette området. Leverandører er blant annet nevnt en rekke ganger i den nye veilederen til kraftberedskapsforskriften.
Den siste anbefalingen fra Riksrevisjonen er at Olje- og energidepartementet bør sørge for at NVEs rapportering til departementet gir tilstrekkelig styringsinformasjon om resultatene av NVEs arbeid med IKT-sikkerhet i kraftforsyningen. Departementets oppmerksomhet på dette arbeidet framgår av styringsdialogen. I tildelingsbrevet til NVE for 2021 er blant annet NVE bedt om å styrke arbeidet med IKT-sikkerhet i kraftforsyningen. Dette inkluderer også oppfølging av tiltak som identifiseres i risiko- og sårbarhetsanalysen for kraftsektoren. I tillegg er NVE bedt særskilt om å følge opp funn og anbefalinger fra Riksrevisjonens forvaltningsrevisjon når resultatene foreligger.
Side 3
Som ansvarlig departement for kraftforsyningen skal departementet i henhold til samfunnssikkerhetsinstruksen jevnlig avgi tilstandsvurdering av kraftforsyningen til Stortinget. Forrige vurdering ble publisert i Prop. 1 S (2017-2018), og neste vurdering skal utarbeides i forbindelse med Prop. 1 S (2021-2022). Det fremgår av de årlige tildelingsbrevene at NVE skal bistå departementet med å utarbeide en tilstandsvurdering for kraftforsyningen, inkludert indikatorer for en slik vurdering. Departementet har overfor NVE understreket at det er behov for bedre indikatorer for å beskrive tilstanden i kraftforsyningen. Dette fremgår blant annet av tildelingsbrevet for 2021. NVE har i tildelingsbrevet styringsparametere der de skal identifisere og omtale indikatorer for vurdering av tilstanden i kraftforsyningen samt beskrive og vurdere resultater fra tilsyn.
Avslutningsvis ønsker jeg å påpeke at revisjonen av arbeidet med IKT-sikkerhet i kraftsektoren kunne hatt større nytte dersom den kom på et noe senere tidspunkt. Den nye kraftberedskapsforskriften trådte i kraft 1. januar 2019. Jeg finner det naturlig at regelverksendringer først følges opp gjennom veiledning og deretter tilsyn. NVE ga virksomhetene anledning til å tilpasse seg endringene før direktoratet startet å føre tilsyn andre halvår 2019. Pandemisituasjonen førte naturlig nok til redusert tilsynsaktivitet i 2020.
Med hilsen
Tina Bru