Hackere truer norsk infrastruktur: 
slik sikres kraftverkene i Neadalen

NRK skrev i august at PST etterforsker to datainnbrudd som russiske hackere trolig står bak. Et av disse angrepene rammet et damanlegg for settefisk i Bremanger, mens det andre rammet et anlegg på Østlandet. I Bremanger førte angrepet til at ventiler stod åpne i fire timer og slapp store vannmengder igjennom demningen.

– Arbeidet går for sakte

Nasjonal sikkerhetsmyndighets (NSM) risikovurdering for 2025 viser at sabotasjeforsøk i Norge er sannsynlig. Energi og elektrisitet, vann og avløp trekkes frem som særlig utsatte sektorer. Norske virksomheter må for alvor iverksette forebyggende tiltak nå, understreker NSM i vurderingen.

– Norske virksomheter kan ikke påvirke trusselbildet, men de kan absolutt ta grep som sikrer de viktigste verdiene våre, reduserer de største sårbarhetene i samfunnet vårt, og ikke minst reduserer konsekvenser av uønskede hendelser. Men dette arbeidet går for sakte, uttaler direktør Arne Christian Haugstøyl i Nasjonal sikkerhetsmyndighet (NSM). 

Her kan du lese om hvordan Selbu kommune sikrer kritisk infrastruktur mot hacking og sabotasje:

Slik sikres drikkevannet i Selbu

I Selbu og Tydal er Statkraft og Selbu Energiverks vannkraftverk, samt de kommunale vann- og avløpsnettene eksempler på samfunnskritiske infrastrukturer. Hvor bevist er energiselskapene på trusler om sabotasje og hacking, og hvilke tiltak har de for å sikre seg mot uønskede hendelser?

Selbu Energiverk

Henning Holt er administrerende direktør i Selbu Energiverk (SEV). Han opplyser om at til tross for at SEV er en relativt liten aktør med få ansatte, er cybersikkerhet og andre sikkerhetstiltak en stadig prioritet.

– Som kraftleverandør er vi pålagt en rekke krav fra myndighetene og fra kraftbransjen. Bransjen er strengt regulert med tanke på sikkerhet. Dette gjelder spesielt datasystemene vi bruker, da vi blant annet styrer kraftverkene gjennom disse. Vi bruker de samme typene systemer som de større aktørene i bransjen, hvor sikkerhet er høyt prioritert. 

– Har dere opplevd uønskede hendelser mot organisasjonen eller anleggene tidligere?

– Vi har ikke erfaring med forsøk på hverken digitale eller fysiske innbrudd mot Selbu Energiverk. 

NVE stiller krav til sikkerhet

Andreas Sylte er kraftverksjef for Statkraft i region Midt. Han forteller at sikkerhet er høyt prioritert i bransjen.

– Krav til sikkerhet, og tiltak vi som kraftprodusenter må utføre for å innfri disse kravene, er det NVE som stiller. Dette gjelder både fysiske sikringstiltak rundt anleggene, men også tiltak for god cybersikkerhet. I tillegg til å stille krav, er NVE jevnlig på befaringer ved våre anlegg, for å tilse at sikkerheten er ivaretatt. 

Ulike klassifiseringer

Sylte forteller at selv om sikkerhet alltid har vært i fokus, har NVE økt flere av sikkerhetskravene de siste par årene.

– Ulike kraftverk har ulik betydning for kraftsystemet, og klassifiseres derfor i klasse 3, 2, 1, eller som ikke klassifisert. Klasse 3-anlegg anses som de mest signifikante. Deretter kommer klasse 2 og 1. I Selbu og Tydal har Nea/Tya-kraftverket klasse 2, og Nedre Nea klasse 1. Med disse klassifiseringene følger en rekke konkrete sikkerhetskrav. Det er disse kravene NVE nylig har gjort strengere, og dette fører blant annet til at vi må gjøre nye investeringer ved våre kraftverk.

– Har du eksempler på hvilke krav NVE stiller til anleggene deres?

– Konkrete eksempler på slike krav, kan være hvilke type ståldører vi har ved inngangene, hvilken type kameraovervåkning vi har installert, samt hvilke alarmsystemer vi har.

– Kommer de skjerpede sikkerhetskravene som følge av at det geopolitiske landskapet er blitt mer usikkert de siste årene?

– Det stemmer nok.

Har egne ansatte som jobber med cybersikkerhet

Sylte forteller at Statkraft bruker betydelige resurser på cybersikkerhet.

– Statkraft har egne ansatte som jobber utelukkende med cybersikkerhet. Digitale angrep mot våre brannmurer er noe vi opplever jevnlig, og å "tette sikkerhetshull" ved våre datasystemer er en jobb som pågår kontinuerlig. 

I denne artikkelen kan du lese om Statkrafts egen hacker (lenke).

Kan "trekke ut nettverkskabelen"

– Et "verst tenkelig scenario" for lokalbefolkningen i Selbu og Tydal, ville kanskje vært at noen hadde hacket seg inn i deres systemer, og deretter åpnet ventilene ved damanleggene i Neadalen. Dette er faktiske eksempler som har skjedd andre steder i landet i år. Hvor godt rustet er dere mot slike trusler?

– Av sikkerhetshensyn kan jeg ikke uttale meg om dette faktisk er mulig rent teknisk, men som nevnt jobbes det kontinuerlig med å sikre våre datasystemer mot dataangrep. I tillegg kan jeg nevne at styringen av Statkrafts kraftverk og dammer, har egne data- og sikkerhetssystemer "innenfor" våre overordnede systemer. Disse er ytterligere beskyttet. Utover dette er det ingen hemmelighet at Statkrafts anlegg styres fra fire ulike lokasjoner i Norge. Skulle en av disse lokasjonene bli satt ut av spill, vil de tre andre kunne overta styringen. 

– En siste mulighet vi har, om et omfattende datainnbrudd skulle oppstå, er rett og slett å "trekke ut nettverkskabelen". Om dette skjer, vil kraftverkene kun kunne styres fra innsiden av anleggene. Nea/Tya ville eksempelvis kun kunne styres fra styringsenhetene inne i fjellhallen i Ås. 

– Har det vært forsøk på hacking eller annen sabotasje mot kraftverkene i Selbu og Tydal tidligere?

– Jeg kjenner ikke til at det har vært hverken hackingforsøk eller forsøk på fysiske innbrudd mot anleggene i Selbu og Tydal.