Den 1. oktober skulle gas-, brint- og olieselskaberne første gang sende deres risikovurdering til godkendelse. Fjernvarmen var året før. Elsektoren er næste.
Fristerne står i Energistyrelsens bekendtgørelse om modstandsdygtighed og beredskab i energisektoren (nr. 260 af 6. marts 2025). Den udfylder lov om styrket beredskab i energisektoren, som trådte i kraft i marts 2025.
Loven dækker blandt andet elselskaber, net- og transmissionsselskaber, elproducenter, energilagring, operatører af ladepunkter, fjernvarme, fjernkøling og olierørledninger. Virksomhederne inddeles i niveau 1 til 5.
Virksomheder i niveau 2 og 3 skal sende konklusionerne på deres risiko- og sårbarhedsvurdering til Energistyrelsens godkendelse hvert tredje år. Første gang var 1. oktober 2025 for fjernvarme og fjernkøling og 1. oktober 2026 for gas, brint og olie. Elsektoren følger 1. oktober 2027.
Virksomheder i niveau 4 og 5 skal sende en opdateret vurdering hvert år den 1. oktober.
Ordet godkendelse er det vigtige. Risikovurderingen er dermed et dokument, der skal kunne stå for en myndigheds gennemgang. Og ifølge bekendtgørelsen kan Energistyrelsen påbyde en virksomhed at opdatere vurderingen ved ændringer. En NIS2-audit kan sikre, at vurderingen holder, før den sendes til godkendelse.
Samtidig skal virksomhederne have en femårig øvelsesplan. Den første dækker perioden fra 1. oktober 2025, og den skal opdateres mindst én gang om året.
Det betyder, at beredskab i energisektoren nu har frister, en godkendende myndighed og en øvelsesplan, der kan efterprøves.
Den 24. september hævede Styrelsen for Samfundssikkerhed (SAMSIK) truslen for destruktive cyberangreb mod Danmark til høj og nævnte energisektoren. Vurderingen, der sendes ind, bliver altså læst i et skærpet trusselsbillede.
Et dokument, der skal godkendes, bliver let skrevet til godkenderen. Det er en risiko i sig selv. En risikovurdering har kun værdi, hvis den fører til beslutninger om drift, investeringer og øvelser, som ledelsen står bag.
Tre ting at gøre nu
1. Find jeres niveau og datoen for jeres næste indsendelse, og skriv den ind i bestyrelsens årshjul. Kender ingen i ledelsen datoen, er det et tegn på, at ansvaret ikke er placeret.
2. Læs konklusionerne på jeres seneste risiko- og sårbarhedsvurdering i ledelsen. Kan I ikke pege på én konkret beslutning, den har ført til, har den endnu ikke gjort nytte i ledelsen.
3. Gennemgå jeres femårige øvelsesplan. Er der ikke planlagt mindst én øvelse, hvor driften skal fortsætte uden IT, mangler planen en test af manuel drift.
En uafhængig gennemgang kan afdække, hvilke af jeres systemer der stadig mangler en plan for den dag, de ikke er tilgængelige. Ring til Nielco IT på 70 13 63 23.
