Høringssvar på bekendtgørelse om IT-beredskab i el- og naturgassektorerne

Transkript

1 Til: Cc: Energistyrelsen Dok. ansvarlig: PHA/CMO/MGA Sekretær: Sagsnr: s Doknr: d februar 2017 Høringssvar på bekendtgørelse om IT-beredskab i el- og naturgassektorerne Dansk Energi takker for muligheden for at afgive høringssvar på Energistyrelsens reviderede udkast til Bekendtgørelse om it-beredskab for el- og naturgassektorerne som en udmøntning af L68 (vedtaget 15. december 2016). Dansk Energi står naturligvis til rådighed for uddybende spørgsmål og kommentarer relateret til dette høringssvar og i forhold til en gensidig dialog mellem branche og myndigheder i forhold til det videre arbejde mht. virksomhedernes implementering af kravene i den endelige bekendtgørelse. Generelle kommentarer Korte tidsfrister vil føre til omkostnings-ineffektiv implementering Dansk Energi opfordrer Energistyrelsen til at genoverveje de frister, som dels fremgår af udkastet til bekendtgørelse, dels blev indikeret på de regionale beredskabsmøder primo januar hos Energinet.dk herunder frister for risiko- og sårbarhedsvurderinger (frist 1. september), identifikation af informationsstrømme (uafklaret, antaget 1. september), fremsendelse af ITberedskabsplan (frist 1. december) samt godkendelse af kontrakter for IT-sikkerhedstjeneste (frist 1. september). Dansk Energi finder de nuværende frister urimeligt korte i lyset af cybertruslens og IT-systemers såvel kendte som potentielle kompleksitet. De korte frister vil efter Dansk Energis opfattelse øge virksomhedernes omkostninger for at efterleve de nye krav betydeligt idet muligheder for at udnytte synergier og virksomhedernes egen, interne ressourcer begrænses. Vores anbefaling om forlænget tidsfrist skal også ses i forhold til, at virksomhederne dels stadig mangler klarhed over, hvordan kravene i denne bekendtgørelse skal tolkes og efterleves, dels mangler scenariebeskrivelser og vejledningsmateriale, dels kigger ud i en implementering af EU s persondataforordning inden maj En forceret implementeringsproces vil således ikke skabe plads til en omkostningseffektiv implementering, som tillader at virksomhederne kan udnytte kommende synergimuligheder.

2 2 Med de nuværende tidsfrister pålægger Energistyrelsen indirekte virksomhederne at gøre brug af eksterne konsulenter for at løfte og implementere alle opgaver inden for tidsfristerne. Dette hænger sammen med, at mange virksomheder ikke i dag besidder de nødvendige kompetencer og/eller ressourcer til at udføre det ekstraarbejde (i form af analyse- og dokumentationskrav) som både et nyt IT-beredskab og en kommende EU-persondataforordning stiller til virksomhederne. De nuværende tidsfrister harmonerer efter Dansk Energis opfattelse derfor ikke med Energistyrelsens intention om, at beredskabsarbejdet skal forankres i virksomhederne, og at ny lovgivning implementeres og efterleves omkostningseffektivt. Dansk Energi anbefaler derfor at tidsfristerne tilpasses, så de i stedet følger det nuværende almene beredskabsarbejde dvs. at risiko- og sårbarhedsvurdering og opdaterede beredskabsplaner skal udarbejdes og opdateres senest d. 1. maj 2018, og således inkluderer vurderinger relateret til både det almene beredskab og det nye IT-beredskab. Dette vil samtidig give virksomhederne mulighed for i højere grad at koordinere og samtænke deres beredskab, og dermed åbne mulighed for en tættere intern koordinering hos og mellem virksomhederne. Ovenstående anbefaling skal også ses i sammenhæng med, at Energistyrelsen har varslet en opdatering og tilpasning af BEK1024, således at BEK1024 og dette udkast til bekendtgørelsen om IT-beredskab følger samme opbygning og struktur. Det bør her tilføjes, at Dansk Energi stadig anbefaler, at alle beredskabsmæssige krav adresseret til el- og naturgassektorernes virksomheder alment beredskab eller IT-beredskab samles i én bekendtgørelse frem for i flere forskellige bekendtgørelser. Dette bør ske for at sikre en holistisk funderet og den bedst koordinerede tilgang til beredskabet i el- og naturgassektoren. Dansk Energi udtrykker derfor fortsat bekymring for, at flerdelte bekendtgørelseskrav på beredskabsområdet risikerer at få den konsekvens at ting falder imellem to stole. Efter Dansk Energis opfattelse bør lovgivning og myndighedskrav til en hver tid stile efter og understøtte at noget sådan ikke sker uagtet med hvilken hastighed fx den teknologiske udvikling eller trusselsbilledet ændrer sig. Frivillig, tillidsbaseret videndeling er en forudsætning for en modstandsdygtig sektor Dansk Energi finder stadig, at frivillig og tillidsbaseret videndeling både inden for sektorerne, mellem virksomheder og myndigheder og mellem sektorer er en forudsætning for at virksomhederne og sektorerne kan blive tilstrækkelig modstandsdygtige overfor cybertruslen. Dansk Energi opfordrer derfor indgående til, at Energistyrelsen (og andre sektoransvarlige myndigheder) udvikler og tilpasser lovgivningen, så den i videst mulig omfang understøtter og motiverer til frivillig og tillidsbaseret videndeling og erfaringsudveksling. Skulle Energistyrelsen føle sig fristet til at indføre et myndighedskrav om meldepligt af detailoplysninger om IT-sikkerhedshændelser, vil et sådan krav efter Dansk Energis opfattelse, dog have en begrænsning i forhold til at tilvejebringe reel videndeling og erfaringsudveksling. Detaljeret meldepligt vil således kun tilvejebringe svar på præcist dét, som der spørges ind til. Nuancerne og det mellem linjerne vil således kun i begrænset omfang komme til overfladen. Evt. indførelse af et krav om detaljeret meldepligt vil risikere at blive så administrativ tungt og uhåndterbart, at det vil møde ekstraordinær stor modstand fra virksomhederne, som i sidste ende skal indberette hændelser, og kan derfor ikke anbefales.

3 3 Som brancheforening er Dansk Energi selv meget opmærksom på denne udfordring. Vi bestræber os derfor efter bedste evne på at samle vores medlemskreds om den fælles udfordring, som cybertruslen udgør og i fremtiden fortsat vil være. Vi arbejder løbende for at tilvejebringe fora og møderum, hvor tillidsbaseret videndeling og erfaringsudveksling kan blomstre op og komme til sin ret og dermed tilføre vores medlemsvirksomheder merværdi og reel sikkerhed og dermed alt andet lige hæve sikkerhedsniveauet i branchen og i sektoren samlet set. Dansk Energi indgår gerne i en tættere dialog med relevante myndigheder herunder Energistyrelsen om denne udfordring og åbenlyse mulighed, som vi i fællesskab bør finde en snarlig løsning på. Fortrolighed om virksomhedernes forretnings- og forsyningskritiske informationer Dansk Energi ønsker at henlede Energistyrelsens opmærksomhed på vigtigheden om fortrolighed om de informationer, som det kommende IT-beredskab kommer til at omfatte herunder risiko- og sårbarhedsvurdering, afdækning af informationsstrømme, kritiske IT-systemers gensidige afhængigheder, IT-beredskabsplaner mv. Cybertruslen udspringer i vid udstrækning af ondsindede, menneskeskabte aktiviteter og handlinger. Dette står i klar kontrast til størstedelen af de trusler, som det almene beredskab skal forholde sig til fx ekstremvejr, pandemier og ulykker/brand. Behovet for fortrolighed er derfor ikke sammenligneligt. Af samme grund anbefaler Dansk Energi, at Energistyrelsen genovervejer behovet for, at virksomhederne og Energinet.dk skal pålægges at udlevere planmateriale indeholdende forretnings- og forsyningskritiske informationer med hinanden og med tilsynsmyndigheden. Dansk Energi ser bekymrende risici ved, at forretnings- og forsyningskritiske informationer pålægges udvekslet og dermed potentielt vil skulle opbevares andre steder end hos de enkelte virksomheder selv. Derfor anbefaler Dansk Energi: at planmateriale kun opbevares af den enkelte virksomhed selv og derfor ikke kræves udleveret til Energinet.dk eller til tilsynsmyndigheden, at Energinet.dk (som koordinerende part) kun bør kunne få planmaterialet til gennemsyn i forbindelse med personligt møde, samt at tilsynsmyndigheden kun bør kunne få planmaterialet til gennemsyn i forbindelse med tilsynsbesøg eller andet personligt møde. Specifikke kommentarer til bekendtgørelsens afsnit 1 og 2: Generelle bestemmelser Dansk Energi finder det uklart, hvorvidt at Energistyrelsen med den nuværende ordlyd i 1 og 2 anerkender og accepterer den præmis, at der uvilkårligt sker (og vil ske) strømafbrydelser i det danske el-system fra tid til anden, eller om Energistyrelsen forventer 100 % leveringssikkerhed. Den gennemsnitlige el-forbruger i Danmark har historisk haft en leveringssikkerhed på mere end 99,99 % af årets 8760 timer og har i de senere år oplevet, hvad der svarer til i gennemsnit ét strømafbrud hvert 3. år. Årsagerne til strømafbrud har historisk været mangeartede

4 4 herunder meteorologiske påvirkninger, andre ydre påvirkninger, materiale og ældningsrelaterede komponentfejl, fejl på transmissionsniveau, planlagt vedligeholdelsesarbejde mv. Den historiske forsynings- og leveringssikkerhed i Danmark afspejler således alle typer af hændelser. Efter Dansk Energis kendskab og viden er der til dato endnu ikke set strømafbrud i Danmark som følge af fejl i eller angreb på forsyningskritiske IT-systemer. Bidraget herfra indgår dog i de historiske opgørelser, men indgår i sagens natur med et bidrag på 0 afbrud/0 min. pr. år. Dansk Energi opfordrer til, at ordlyden tilpasses, så den i højere grad følger formuleringerne i bemærkningerne til L68, hvori der fx skrives så risikoen for forsyningsnedbrud minimeres og eventuelle konsekvenser heraf begrænses, begrænse mulige konsekvenser af disse angreb eller nedbrud og/eller beskytte disse kritiske it-systemer på en sådan måde, at nedbrudsperioden begrænses, forudsat at Energistyrelsen ikke forventer 100 % leveringssikkerhed. 3: Definitioner Balanceansvarlige virksomheder Dansk Energi tolker afgrænsningen virksomheder, der har kontrol over fysiske anlæg til produktion sådan, at PBA en via egne IT-systemer skal have fjernadgang til styring (start/stop) og regulering (op/ned) af produktionsanlæg. Dansk Energi tolker derfor definitionen således, at såfremt en sådan fjernadgang ikke er etableret, vil det konkrete anlægs produktionskapacitet ikke blive talt med i PBA ens samlede produktionskapacitet og dermed ikke indgå i den kategorisering, som PBA erne kategoriseres efter jf. 7. Energistyrelsen bedes be- eller afkræfte dette.it-sikkerhedshændelse Dansk Energi finder behov for, at begrebet IT-sikkerhedshændelse som omtalt i 5, stk. 1 og 5 samt 14, stk. 1, 2 og 3 defineres og præciseres nærmere. Ikke-kritiske IT-systemer Dansk Energi er blevet gjort opmærksom på, at nogle produktionsanlæg i dag drives som ikke-forsyningskritiske anlæg baseret på en vurdering foretaget af Energinet.dk. Det være sig fx Fynsværket under Fjernvarme Fyn. Der er behov for at adressere håndteringen af sådanne anlæg, herunder økonomisk, hvilket behov uddybes nærmere nedenfor. 4 og 5: Koordinerende og operative forhold Dansk Energi finder det uklart, hvad Energistyrelsen forventer af virksomhederne i forhold til virksomhedernes operative forhold og evne. I 4, stk. 1 skrives der at Alle virksomheder skal være i stand til at omsætte informationer om IT-sikkerhedstrusler og konkrete IT-varsler til nødvendige tiltag i egen organisation. Virksomheder i kategori 1 og 2 jf. 7 skal sikre, at der er mulighed for IT-sikkerhedsmæssig assistance til driftsorganisationen på alle tider af døgnet. Dansk Energi vurderer, at kravet i 4, stk. 1 afspejler en forventning hos Energistyrelsen om, at virksomhederne som ikke allerede måtte have det skal etablere formaliserede vagtordninger på IT-området i og uden for normal arbejdstid. Dansk Energi ser derfor kravet i 4, stk. 1 som et pålæg om etablering heraf med de deraf følgende konsekvenser. Dette bør præciseres.

5 5 Dansk Energi anerkender, at Energinet.dk - som transmissionsvirksomhed med fordel kan have en koordinerende rolle i driften af og beredskabet omkring det sammenhængende elsystem i Danmark. Dansk Energi noterer sig derfor, at der i 5, stk. 4, skrives at Energinet.dk skal etablere et formaliseret samarbejde om IT-beredskabsforhold, der har til formål at fremme koordineringen af såvel planlægningen som udøvelsen af IT-beredskabet. Dansk Energi opfordrer til, at branchen inddrages i dialogen om, hvordan et sådan formaliseret samarbejde tilrettelægges bedst, og at denne inddragelse fremgår positivt af bekendtgørelsen. 6: Organisatoriske forhold Stk. 7 omhandler leverandørstyring og bør flyttes til 17. 7: Kategorisering af virksomheder Dansk Energi finder det uklart, hvilke forhold, som lægges til grund for virksomhedernes kategorisering. Konkret ser Dansk Energi fx uklarhed i forhold til regional transmissionsvirksomhed (Vestjyske Net), som per definition kun har nogle få aftagere nemlig de underliggende netselskaber, idet slutkundeforholdene ligger hos de underliggende selskaber. Endvidere finder Dansk Energi det uklart, hvordan produktionsbalanceansvarlige virksomheder kategoriseres. Som PBA har man decentrale produktionsanlæg i sin portefølje (fx lokale, enkeltstående vindmøller), som PBA en ikke har nogen fysisk, styringsmæssig kontrol over. Dansk Energi finder det uklart hvorvidt disse ikke-fysisk-pba-styrbare produktionsanlæg indgår eller ej, når PBA en skal kategoriseres. Flere netselskaber (med forbrugere) har bevilling til netområder, hvori der er tilsluttet relativt store mængder decentral elproduktion (> 100 MW). Disse virksomheder står nu til at blive kategoriseret som følge af forsigtighedsprincippet iht. 7, stk. 5, hvor netselskaberne vil blive kategoriseres inden for den kategori, som stiller mest omfattende krav til virksomhederne. Drøftelser med Enerignet.dk har endvidere efterladt Dansk Energi med det indtryk, at Energinet.dk vil have en skønsbeføjelse til at kategorisere virksomhederne, som ligger tæt på grænserne kunder/100 MW jf. 7, stk. 1 og 3. En sådan skønsbeføjelse finder Dansk Energi helt grundlæggende uhensigtsmæssig, hvorfor vi i stedet foreslår, at kategoriseringen sker ud fra andre grænseværdier, hvor et skøn ikke bliver nødvendigt. I det lyser finder Dansk Energi, at de nuværende grænseværdier mellem regionalt og lokalt niveau ( kunder/100 MW) er uheldigt valgt, idet at en række virksomhederne (net og produktion) står med udfordringen om, at den marginale kunde eller MW kommer til at afgøre, hvordan virksomhederne kategoriseres. Dansk Energi finder det endvidere uklart, hvilke konsekvenser 7, stk. 4 vil få for de berørte virksomheder. At der arbejdes med forskellig klassificering (jf. BEK1024, 11) og kategorisering (jf. denne bekendtgørelse om IT-beredskab, 7) finder Dansk Energi uhensigtsmæssig i forhold til at skabe klarhed omkring beredskabsarbejdet i elsektoren.

6 6 Dansk Energi savner endvidere klarhed omkring, hvordan ikke-forsyningskritiske anlæg kategoriseres. Dansk Energi foreslår derfor, at Energistyrelsen går i dialog med branchen om en mere hensigtsmæssig klassificering og kategorisering af virksomheder med det sigte, at elsektoren kun skal forholde sig til én klassificering/kategorisering og ikke flere forskellige. Energistyrelsen bør endvidere overveje at indføje en mulighed for at meddele dispensation til virksomheder, fx stand-by-produktion, som i særlig grad vil blive belastet administrativt og/eller økonomisk af uforholdsmæssige krav om at opretholde et IT-beredskab 24/7, hvilket Dansk Energi derfor opfordrer stærkt til. 8 og 9: Risiko- og sårbarhedsvurderinger Risiko- og sårbarhedsvurderinger Dansk Energi finder, at fristen for virksomhedernes udarbejdelse af risiko- og sårbarhedsvurdering pr. 1. september 2017 er en meget kort frist for det meget omfattende arbejde, der lægges op til. Energinet.dk har endnu ikke offentliggjort hverken scenariebeskrivelser, vejledningsmateriale eller skabelon-materiale materialer, som Energinet.dk 1 har annonceret først vil være klar primo maj. Virksomhedernes videre arbejde vil derfor tidligst kunne starte op medio maj, og dermed har virksomhederne reelt kun 3 ½ måneder til at gennemføre vurderingerne, hvilket selvsagt er alt for kort tid. Dansk Energi efterlyser klarhed over i hvilket omfang og fra hvornår, virksomhederne jf. 8, stk. 5, skal inddrage (generelle eller sektorspecifikke) trusselsvurderinger fra Center for Cybersikkerhed i virksomhedernes risiko- og sårbarhedsvurderinger til udarbejdelse senest d. 1. september Tilsvarende uklarhed ses for 8, stk. 6, om hvorvidt og fra hvornår, virksomhederne skal inddrage de af Energinet.dk identificerede risici og sårbarheder for det sammenhængende elforsyningssystem i virksomhedernes risiko- og sårbarhedsvurderinger. Afdækning af informationsstrømme og IT-systemers gensidige afhængigheder Iht. 9, stk. 3, skal alle virksomheder identificere informationsstrømme med styringskritiske relationer til andre virksomheder og Energinet.dk. I 9, stk. 5, skrives på tilsvarende vis, at Energinet.dk skal udarbejde planmateriale over informationer af forsyningskritisk karakter, der udveksles mellem Energinet.dk og andre virksomheder. Dansk Energi vurderer, at disse to afsnit med stor sandsynlighed vil identificere og resultere i to sider af samme sag stk. 3 som bottom-up og stk. 5 som top-down. Dansk Energi finder det derfor uhensigtsmæssigt og økonomisk ineffektivt, at alle branchens virksomheder skal afse ressourcer til at løbe i samme retning og efter den samme bold, som Energinet.dk også skal ud og løbe efter. Dansk Energi anbefaler derfor, at Energinet.dk pålægges at gennemføre og afrapportere deres analysearbejde før end virksomhederne skal gennemføre deres analyser. Med udgangspunkt i Energinet.dk s arbejde vil virksomhederne så efterfølgende kunne supplere med egne analyser og eget planmateriale. 1 Meddelt på workshop hos Energinet.dk om IT-ROS-scenarier d. 26. januar 2017.

7 7 Dansk Energi anbefaler af fortrolighedsmæssige hensyn, at planmateriale efter 9, stk. 4, ikke bør udleveres, men i stedet kun skal kunne forevises til Energinet.dk. 10, 11 og 12: Beredskabsplanlægning Indholdsmæssige krav til IT-beredskabsplaner Dansk Energi finder, at 10, stk. 2, 2. pkt. og stk. 3 i udgangspunktet ikke harmonerer, men snarere er hinandens modsætninger. En IT-beredskabsplan, som ikke indeholder detaljeret og fokuseret og dermed også potentielt kritisk information, vil næppe være meget bevendt i tilfælde af en reel IT-sikkerhedshændelse og i en krisesituation. De for IT-beredskabsplanen angivne otte minimumskrav jf. 10, stk. 3 rummer efter Dansk Energis opfattelse potentielt nøglerne til kronjuvelerne. En IT-beredskabsplan vil derfor skulle udvandes i væsentligt omfang, hvis planen ikke skal indeholde kritiske dele, der skal håndteres med fortrolighed jf. 10, stk. 2, 2 pkt. Fsva. 10. stk. 4, 3. pkt., finder Dansk Energi det uklart, hvorvidt Energistyrelsen reelt finder, at det er Energinet.dk (som koordinerende part) eller tilsynsmyndigheden, som skal: 1) vejlede virksomhederne i udarbejdelsen af beredskabsplaner, og/eller 2) sikre, at IT-beredskabsplanerne indeholder relevante forhold af betydning fra Energinet.dk s sektorberedskabsplaner. Oplysninger relateret til 10, stk. 6, vil efter Dansk Energis opfattelse også indeholde forretningsfølsom information, som potentielt kan kompromittere virksomhedernes sikkerhed. Dansk Energi foreslår derfor, at Energistyrelsen enten: 1) genovervejer nødvendigheden af, at tilsynsmyndigheden skal have fremsendt virksomhedernes IT-beredskabsplaner til godkendelse eller 2) overvejer, at tilsynsmyndigheden kun skal kunne få IT-beredskabsplanen forelagt (til gennemsyn) i forbindelse med tilsynsbesøg. 13 og 14: Øvelser, rapportering mv. Ordlyden i 14, stk. 3, pålægger indirekte virksomhederne at melde alle typer af sikkerhedshændelser til Energinet.dk, idet virksomhederne i sagens natur ikke kan vide, hvorvidt en given hændelse (potentielt) vil kunne have indflydelse på andre virksomheders eller myndigheds IT-beredskab. Omfanget af dette afsnit vurderer Dansk Energi derfor at være så vidtrækkende og altomfattende, at virksomhederne reelt set pålægges fuldautomatisk registrering og videresendelse af information. Dansk Energi finder det uklart, hvorvidt dette vitterlig er Energistyrelsens oprindelige intention. 15: Hændelser Dansk Energi finder det uklart, hvem som skal foretage vurderingen af, hvorvidt en hændelse vurderes at kunne give anledning til læring ved andre hændelser, jf. 15, stk. 1, 3. pkt., 4. 16: Sikringsforanstaltninger Dansk Energi finder det uklart, hvilke krav og hvilket niveau af fysisk sikring, virksomhederne skal eller forventes at skulle efterleve. Af samme grund er det uklart, hvorvidt kravene i 16 vil pålægge virksomhederne ekstraomkostninger til fysisk sikring af stationer og anlæg.

8 8 17: Leverandørstyring Dansk Energi henleder Energistyrelsens opmærksomhed på den mulige sårbarhed, der på flere sektorinterne workshops er identificeret i forhold til vindmøllefabrikanternes serviceadgang til vindmøller og mindre vindmølleparker, som qua deres størrelse holder sig fri af den bevillingspligtige grænse på < 25 MW. Bekendtgørelsen synes ikke at fange den risiko som vindmøllefabrikanters serviceadgang og fjernadgang til vindmøller potentielt udgør. 18 og 19: Tilsyn Dansk Energi tager til efterretning, at det politisk og efter indstilling fra Energistyrelsen er besluttet, at tilsynsrollen for virksomhedernes IT-beredskab til en start placeres hos Energinet.dk. Dansk Energi havde gerne set at tilsynsrollen var blevet placeret hos en anden kompetent myndighed end hos Energinet.dk, dels for at skabe størst mulig uvildighed om tilsynet, dels for at skabe det bedst mulige rum for samarbejde, videndeling og erfaringsudveksling inden for sektorerne. Vi noterer os dog samtidig, at det med L68 samtidig er vedtaget, at placeringen af tilsynsrollen skal evalueres inden udgangen af Dansk Energi noterer sig, at der i 18, stk. 1, 2. pkt. skrives: Energinet.dk skal ved varetagelse af denne tilsynsopgave tilsikre en tydelig adskillelse mellem varetagelse af den koordinerende opgave efter 5 og tilsynsopgaven efter denne bestemmelse. Dansk Energi finder det stadig hæmmende for fremtidig videndeling i sektoren, at Energinet.dk s koordinerende rolle og tilsynsrolle ikke er klart adskilt. Fra Dansk Energis side ser vi derfor et behov for, at Energistyrelsen pålægger Energinet.dk, at have vandtætte skotter mellem Energinet.dk s koordinerende rolle og deres tilsynsrolle, således, at der fx ikke forekommer personsammenfald imellem Energinet.dk som systemejere/transmissionsvirksomhed og koordinerende part, og mellem Energinet.dk som tilsynsmyndighed både hvad angår det almene beredskab og det nye, kommende IT-beredskab. Dansk Energi finder, at 19, stk. 4, kan medvirke til at så mistillid til det tilsyn, som Energistyrelsen skal føre med Energinet.dk s virksomhed. Dansk Energi anbefaler derfor, at dette afsnit udgår. Såfremt afsnittet fastholdes, bør Energistyrelsen som minimum sikre sig, at der etableres vandtætte skotter mellem Energinet.dk som systemejer/transmissionsvirksomhed og koordinerende rolle, og Energinet.dk som tilsynsmyndighed. Bestemmelsen i 19, stk. 5 pålægger Energistyrelsen at udarbejde en årlig rapport om tilsynet med Energinet.dk. Det fremgår imidlertid ikke, hvilket formål rapporten skal tjene, eller hvad den skal forsøge at afdække, ligesom rapporten ikke efter bestemmelsens ordlyd - skal offentliggøres, hvilket ellers ville være oplagt. 20: Andre bestemmelser Med de nye regler, der lægges op til, pålægges netvirksomhederne nye krav med betydelige meromkostninger til følge, herunder både investerings- og driftsomkostninger forbundet med de påkrævede, nye beredskab- og sikkerhedssystemer og -procedurer.

9 9 Dansk Energi finder det som udgangspunkt positivt, at der med forslaget til bekendtgørelsens 20, stk. 1 er lagt op til, at netvirksomhederne vil få (mer-) omkostningsdækning. Det bør imidlertid sikres, at retten til omkostningsdækning gælder for alle nye krav, som følger af bestemmelserne i bekendtgørelsen. Dansk Energi er derfor også helt uforstående overfor, at nærværende bekendtgørelses 20, stk. 1 og 2 begrænser de kompenserbare omkostninger til alene at omfatte meromkostninger til tilmelding til en IT-sikkerhedstjeneste efter bekendtgørelsens 27. Dansk Energi bemærker, at bekendtgørelsen udstikker en lang række nye krav til netselskaberne, herunder tidsfrister, som ikke er omfattet af netselskabernes nuværende opgaveportefølje efter elforsyningslovens 20, stk. 1. Formålet med den nye lovgivning med tilhørende bekendtgørelse er at sikre udførelsen af en række nye opgaver, og at opgaveløsningen sker på en bestemt måde og til bestemte tidsfrister. Dvs. opgaver, der ligger ud over elforsyningslovens 20, stk. 4, eller eksisterende opgaver, der skal fremskyndes som følge af loven og bekendtgørelsen, og som helt generelt er normerende for netselskabernes opgaveudførelse. Bekendtgørelsens 20, stk. 1 og 2 bør derfor referere til det helt overordnede pålæg i bekendtgørelsens 2, stk. 2, således at muligheden for omkostningsdækning omfatter samtlige af de nye krav afledte meromkostninger. Afgrænsningen af dokumenterede meromkostninger i 20, stk. 1 til alene at omfatte tilmelding til en IT-sikkerhedstjenester efter 27 bør således fjernes, idet der helt generelt i bekendtgørelsens 2, stk. 2 er tale om myndighedspålæg, som er normerende for netselskabernes opgaveudførelse, dvs. indebærer helt nye opgavekrav eller krav til, at opgaver løses på en nærmere myndighedsbestemt måde og/eller inden for en bestemt frist. Dokumenterede meromkostninger bør derfor endvidere tillige omfatte restafskrivninger på eksisterende ITsikkerhedssystemer, som netselskaberne er nødt til at udskifte før tid som følge af kravene i bekendtgørelsen. 24: Sanktioner og klagevejledning I 24, stk. 1, anføres det, at tilsynsmyndigheden kan påbyde virksomheden at foretage en itrevision. Energinet.dk er tilsynsmyndighed ift. alle virksomheder omfattet af 2, undtagen Energinet.dk selv, jf. 18 og 19. Dvs. at det er Energinet.dk, som kan udstede påbud. Jf. lovens 85 c, stk. 2, er det ministeren, som kan påbyde it-revision. Det er Dansk Energis opfattelse, at delegation fra ministeren til Energinet.dk hviler på et relativt tyndt hjemmelsgrundlag, særligt når henses til Energinet.dks funktion som en selvstændig offentlig virksomhed. Energinet.dk er således ikke en myndighed i gængs forstand, og enhver adgang til delegation af myndighedsopgaver til Energinet.dk bør derfor have udtrykkelig hjemmel i loven, ligesom enhver delegation til Energinet.dk bør suppleres med relevant administrativ klageadgang. 27: IT-sikkerhedstjeneste Dansk Energi finder det fortsat uklart, hvilke forventninger og krav, Energistyrelsen har eller påtænker at stille til de IT-sikkerhedstjenester, som virksomhederne skal være klar med kontraktudkast til godkendelse hos Energistyrelsen senest den 1. september 2017 iht. 27. Den nuværende uklarhed oplever Dansk Energi som hæmmende for virksomhedernes og branchens muligheder for reelt at begynde at forhandle aftaler og kontrakter med mulige IT-

10 10 sikkerhedsleverandører. Dansk Energi opfordrer derfor til snarlig afklaring af hvilke krav, Energistyrelsen vil stille til IT-sikkerhedstjenester. Dansk Energi er opmærksom på, at Energistyrelsen i høringsbrevet og igen på Energinet.dk s regionale beredskabsmøder primo januar orienterede virksomhederne om, at Energistyrelsen forventer at kunne offentliggøre sine krav til IT-sikkerhedstjenester inden udgangen af marts. Dermed har virksomhederne reelt kun ca. 3 måneder (ekskl. sommerferie) til at forhandle aftaler og kontrakter på plads, hvilket selvsagt er alt for kort tid. Særligt om ikke-forsyningskritiske anlæg Som nævnt ovenfor under bemærkningerne til 3 er Dansk Energi blevet opmærksom på, at visse produktionsanlæg i dag drives som ikke-forsyningskritiske anlæg, fx Fynsværket. Betegnelsen er baseret på en vurdering foretaget af Energinet.dk selv. Det er Dansk Energis vurdering, at der er behov for en særlig regulering af sådanne anlægs IT-sikkerhedsberedskab, herunder den økonomiske side af sagen. Det er ulogisk, at sådanne kraftværker pålægges særlige IT-sikkerhedskrav, som om de var forsyningskritiske og dermed påføres tunge omkostninger, som på ingen måde kan hentes i elmarkedet, når kraftværkerne samtidig får at vide, at de ikke er afgørende for elforsyningssikkerheden. Dansk Energi henstiller derfor til, at særlige krav til elproducenter og netselskaber med henvisning til elforsyningssikkerhed bør kompenseres af Energinet.dk, da der reelt er tale om systembehov, som ligger udover den kommercielle drift af et kraftværk. Dansk Energi står naturligvis til rådighed for uddybende spørgsmål og kommentarer relateret til dette høringssvar og i forhold til en gensidig dialog mellem branche og myndigheder i forhold til det videre arbejde mht. virksomhedernes implementering af kravene i den endelige bekendtgørelse. Med venlig hilsen Dansk Energi Peter Kjær Hansen