Elselskaber i niveau 2 og 3 skal for første gang den 1. oktober 2027 sende konklusionerne på deres risiko- og sårbarhedsvurdering og deres beredskabsplaner til Energistyrelsens godkendelse. Derefter hvert tredje år. Scenarierne, der skal indgå i vurderingen, kommer senest seks måneder før. Fristen er én ting. Indholdet er en anden.
Hvad bekendtgørelsen kræver
Fristen står i Energistyrelsens bekendtgørelse om modstandsdygtighed og beredskab i energisektoren. Kravene til indholdet står i § 18. Vurderingen skal identificere og vurdere risici og sårbarheder, vurdere konsekvenserne af mulige hændelser, “herunder mulige afledte samfundsmæssige konsekvenser”, og indeholde en plan med foranstaltninger, en tidsplan og en intern placering af ansvaret.
Virksomheden skal desuden tage stilling til Energistyrelsens scenarier og til de risici, der er tilbage, når foranstaltningerne er gennemført. Vurderingen skal gennemføres “med inddragelse af relevante medarbejdere og leverandører” og opdateres ved væsentlige ændringer.
Samfundet, ikke kun selskabet
Et elselskab skal ikke kun vurdere, hvad et udfald koster selskabet. Det skal vurdere, hvad det betyder for dem, der står bagved: vandværker, plejehjem, telemaster og virksomheder. En
beredskabsplan, der kun dækker egen drift, svarer ikke på det, bekendtgørelsen spørger om.
Leverandørerne skal med i vurderingen
Leverandørerne skal inddrages i selve vurderingen, ikke kun læse resultatet bagefter. Det kræver, at listen over, hvem der skal med, ligger klar, før scenarierne kommer. En
leverandøraudit kortlægger, hvilke leverandører jeres drift afhænger af, og hvad de kan se, lukke eller ændre.
En foranstaltning uden et navn er kun en hensigt
Planen skal indeholde en intern placering af ansvaret. En foranstaltning uden en navngiven ansvarlig er kun en hensigt. Det samme gælder de risici, der står tilbage, når foranstaltningerne er gennemført: nogen skal eje dem.
Tre ting, du kan gøre nu
Skriv for hver af jeres kritiske tjenester, hvilke samfundsfunktioner der står uden strøm, hvis den stopper. Start med vand, sundhed og tele.
Lav listen over de leverandører, der skal inddrages, før scenarierne kommer, og aftal, hvem hos dem der deltager.
Sæt et navn ud for hver foranstaltning i handlingsplanen. Mangler navnet, er foranstaltningen ikke klar til godkendelse.
Få vurderingen efterprøvet
Hvornår har en uafhængig specialist sidst vurderet, om jeres risikovurdering dækker konsekvenserne for andre end jer selv?
En
cybersikkerhedsaudit ser på, om vurderingen holder, før den sendes til godkendelse, ikke efter.
Har du brug for at få jeres risikovurdering efterprøvet?
Kontakt Nielco IT på telefon
70 13 63 23 eller via kontaktformularen.
Gør som 4.500 andre. Få mønstre fra 500 dokumenterede sager og konkrete anbefalinger om cybersikkerhed og digital suverænitet
hver 14. dag.
