Krav til IKT-sikkerhet for kraftforsyningens leverandører
Den enkelte virksomhet i kraftforsyningen har ansvar for å stille krav til IKT-sikkerhet for sine leverandører og underleverandører. I en ny rapport fra NVE får kraftbransjen råd om hvilke krav de bør sette til IKT-sikkerhet ved kjøp av digitale tjenester og –systemer, og ved kontraktsinngåelse med leverandører.
Det er behov for å øke kunnskapen om krav til IKT-sikkerhet i anbud og kontrakter, og gi råd om hvordan dette kan gjøres. Derfor har Sintef Digital gjennomført en forstudie om kravsetting, på oppdrag fra NVE. I rapporten er det anbefalinger til kravsetting i anbudsprosess og kontrakter. Disse anbefalingene bygger videre på og supplerer NVEs sjekkliste for IKT-sikkerhet i kraftbransjen.
– Rapporten er første skritt på vei mot tydeligere krav til IKT-sikkerhet i anbud og kontrakter ved anskaffelse av digitale tjenester og -systemer i kraftforsyningen, sier seksjonsleder Eldri Holo.
NVE ønsker innspill fra bransjen
NVE har engasjert Sintef Digital for å gi sin anbefaling til hvilke krav virksomheter i kraftforsyningen bør stille til IKT-sikkerhet i anskaffelser av digitale tjenester og -systemer. Dette gjelder anskaffelser av både informasjonsteknologi (IT) og operasjonell teknologi (OT).
– Mens virksomhetene i stor grad har på plass etiske retningslinjer i anskaffelser, så har NVE sett at det er mer variabel praksis når det gjelder krav til IKT-sikkerhet. Dette har vi observert i tilsyn vi har gjennomført, sier Holo.
Rapportens anbefalinger er rettet spesielt mot små og mellomstore selskap til bruk i anbud- og anskaffelsesprosesser. Anbefalingene er foreløpige, og NVE ønsker kommentarer til disse anbefalingene både fra bransjen og leverandørene.
Dersom du har kommentarer, kan de sendes til nve@nve.no merk saksnummer 202304447. Frist for å gi tilbakemelding er 5. mai 2023. Tilbakemeldingene vil bli brukt i det videre arbeidet med å utvikle veiledning på området.
