ISO 27001 – Informations- og cybersikkerhed samt privatlivsbeskyttelse

I TVIS ser vi ikke kun en høj informations- og cybersikkerhed samt privatlivsbeskyttelse som et krav for at kunne overholde gældende lovgivning. Vi ser det også som et vigtigt element i forhold til at kunne sikre en høj forsyningssikkerhed til vores samarbejdspartnere, ejere og kunder på kort og på lang sigt.

ISO 27001

ISO 27001 standarden indebærer en udarbejdelse af en politik, målsætninger, retningslinjer, procedurer og foranstaltninger for informationssikkerhed, cybersikkerhed og privatlivsbeskyttelse for TVIS’ informationsassets.

1. januar 2025 skulle virksomheder indføre NIS2 og CER, der indeholder krav til datasikkerhed og fysiske adgang til bygninger. Mange af disse krav imødegår ISO 27001.

NIS2 og CER

TVIS er en del af den samfundskritiske sektor, hvilket betyder, at vi den 7. marts 2025 blev en del af den nye lov om styrket beredskab i energisektoren. Denne lov implementerer NIS2 og CER, der er EU-direktiver og indeholder skærpede krav til cybersikkerhed, fysisk sikkerhed og ledelsesansvar for el,- gas,- olie,- fjernvarme,- fjernkøling,- og brintsektoren. Formålet med de to direktiver er at beskytte energisektoren mod cyberangreb, spoinage og andre trusler.

 

NIS2 lovgivningen minder meget om ISO 27001 standarden, som TVIS er certificeret i, og skærper kravene til den digitale sikkerhed. CER skærper kravene til den fysiske sikkerhed i forbindelse med TVIS’ bygninger.
For at efterleve beredskabskravene er der også krav til styrket ledelsesansvar. Medarbejdere skal desuden opbygge nødvendige kompetencer inden for beredskab, fysisk sikring og cybersikkerhed.

Energistyrelsen fører tilsyn med energisektorens beredskab i henhold til loven.

Mål for informationssikkerhed

I TVIS har vi defineret vores mål for informationssikkerhed: 

  • Oppetid på kritiske systemer iht. nedenstående tabel
  • Antal hændelser med brud på ICP1: 0
  • Overholdelse af responstid fra ABB iht. Care Agreement 2024 på 4 timer
  • Gennemførelse af Awareness træning i 2024-2025 med 1 træning pr. måned

1 Datatab: Data er tabt, men ikke tilgængelig, offentliggjort eller delt, Datalækage: Beskyttede, følsomme eller konfidentielle data utilsigtet eller ulovligt er tilgængelige, offentliggjorte, delt eller på anden måde kompromitteret samt påbud fra myndigheder, datatilsynet, IT-revision.

implementerede handlinger

I TVIS har vi øget IT-sikkerheden med en række nye sikkerhedsrutiner, leverandørkrav, efteruddannelse og overvågning. Vi har opbygget et samarbejde med forsyningssektorens parter, et såkaldt ERFA (erfaringsudveksling), og samarbejder ligeledes med forsyningssektorens CERT for cybersikkerhed.

Formålet er at styrke egne IT og OT-systemer og udarbejde en beredskabsplan, hvis uheldet er ude.

For at sikre at TVIS efterlever de krav, der er i forbindelse med en ISO 27001 certificering, afholdes der intern og ekstern audit én gang om året.

For at sikre den høje forsyningssikkerhed gør vi desuden følgende tiltag for at understøtte TVIS’ principper:

  1. Sætte klare rammer for informations- og cybersikkerhed samt privatlivsbeskyttelse, både overfor ejer, medarbejdere og samarbejdspartnere.
  2. Risikovurdere relevante beslutninger indenfor informations- og cybersikkerhed samt privatlivsbeskyttelse.
  3. Sikre tilstrækkelig styring af informations- og cybersikkerhed samt privatlivsbeskyttelsen i egne systemer samt hos leverandører og samarbejdspartnere i relation til informations- og cybersikkerhed samt privatlivsbeskyttelse.
  4. Sikre at vi holder os opdateret på og efterlever relevante krav herunder lovkrav.
  5. Aktivt deltage i brancheforeningens tiltag vedrørende informations- og cybersikkerhed samt privatlivsbeskyttelse, så vi konstant udvikler og løbende forbedrer os.
  6. Inddrage medarbejdere i arbejdet med informations- og cybersikkerhed samt privatlivsbeskyttelse herunder sikre tilstrækkelige ressourcer, løbende kompetenceopbygning og forankring af principper.
  7. Fastlægge og implementere mål, der understøtter vores informations- og cybersikkerhed samt privatlivsbeskyttelse.
  8. Sikre en effektiv opfølgning på aktiviteter via interne og eksterne audits.

Med informations- og cybersikkerhed samt privatlivsbeskyttelse forstår vi den nødvendige beskyttelse af samtlige aktiver, der indgår i eller bidrager til TVIS’ behandling, styring og kommunikation af informationer – elektronisk, i papirform mm. – herunder både drifts- og projektrelaterede processer.

Finn Junker

Forsyningschef

Mail: fj@tvis.net
Tlf: 76 21 44 29