Μια κοινή ευρωπαϊκή βάση για την κυβερνοασφάλεια του εξοπλισμού που βρίσκεται στην «καρδιά» των ηλεκτρικών υποσταθμών επιχειρούν να διαμορφώσουν οι Διαχειριστές Συστημάτων Μεταφοράς, με τη συνδρομή του ENTSO-E και σε συνεργασία με την EU DSO Entity. Στο επίκεντρο βρίσκονται τα gateways και οι μονάδες απομακρυσμένου ελέγχου, γνωστές ως RTUs, που χρησιμοποιούνται για την αυτοματοποίηση υποσταθμών υψηλής τάσης και αποτελούν κρίσιμα σημεία επικοινωνίας και ελέγχου μέσα στο ηλεκτρικό σύστημα.

Η πρόταση αφορά συγκεκριμένα μια μη δεσμευτική σύσταση προμηθειών για την κυβερνοασφάλεια του συγκεκριμένου εξοπλισμού και καταρτίζεται στο πλαίσιο του ευρωπαϊκού Network Code για την κυβερνοασφάλεια στις διασυνοριακές ροές ηλεκτρικής ενέργειας. Παράλληλα, λαμβάνει υπόψη το ευρύτερο ευρωπαϊκό θεσμικό πλαίσιο, μεταξύ άλλων την Οδηγία NIS2, τον Κανονισμό για την ετοιμότητα έναντι κινδύνων στον τομέα της ηλεκτρικής ενέργειας και τον Κανονισμό για την εσωτερική αγορά ηλεκτρισμού.

Η κίνηση έχει ιδιαίτερη σημασία καθώς τα ηλεκτρικά δίκτυα αποκτούν ολοένα μεγαλύτερο ψηφιακό αποτύπωμα. Η λειτουργία των υποσταθμών βασίζεται πλέον σε συστήματα αυτοματισμού, απομακρυσμένης παρακολούθησης και ανταλλαγής δεδομένων, με αποτέλεσμα η ασφάλεια του εξοπλισμού που διαχειρίζεται αυτές τις λειτουργίες να μην αποτελεί πλέον μόνο τεχνικό ζήτημα, αλλά κρίσιμο κομμάτι της ανθεκτικότητας του ηλεκτρικού συστήματος.

Στο μικροσκόπιο gateways και RTUs υψηλής τάσης

Η ευρωπαϊκή πρόταση απευθύνεται στις οντότητες που χαρακτηρίζονται ως υψηλού ή κρίσιμου αντικτύπου και μπορεί να χρησιμοποιηθεί ως βάση όταν προμηθεύονται gateways ή RTUs για την αυτοματοποίηση υποσταθμών στα δίκτυα υψηλής τάσης. Το πεδίο εφαρμογής είναι σαφώς οριοθετημένο: οι συστάσεις δεν καλύπτουν τον αντίστοιχο εξοπλισμό αυτοματισμού των δικτύων διανομής μέσης τάσης.

Στην πράξη, η λογική του κειμένου είναι να ενσωματωθεί η κυβερνοασφάλεια ήδη από το στάδιο της προμήθειας. Αντί, δηλαδή, η προστασία έναντι ψηφιακών απειλών να εξετάζεται μόνο μετά την εγκατάσταση ενός συστήματος, προτείνεται να αποτελεί εξαρχής κριτήριο στον σχεδιασμό των προδιαγραφών και στην επιλογή του εξοπλισμού.

Για τον σκοπό αυτό, το κείμενο παραπέμπει σε ειδικό gateway cybersecurity profile, το οποίο περιλαμβάνεται στο Annex I και προβλέπεται να λειτουργεί ως σημείο αναφοράς στις σχετικές προμήθειες. Σύμφωνα με την πρόταση, το προφίλ αυτό περιλαμβάνει τόσο τεχνικές απαιτήσεις ασφαλείας για τα gateways όσο και απαιτήσεις που αφορούν την ασφαλή ανάπτυξη του λογισμικού τους.

Ωστόσο, δεν προβλέπεται μηχανική εφαρμογή ενός ενιαίου προτύπου σε κάθε έργο. Κάθε φορέας καλείται να εξετάζει εάν το προτεινόμενο προφίλ ταιριάζει στις ιδιαίτερες ανάγκες της εκάστοτε προμήθειας, στο περιβάλλον στο οποίο θα λειτουργήσει ο εξοπλισμός και στους κινδύνους που έχουν εντοπιστεί μέσω της δικής του αξιολόγησης κυβερνοασφάλειας. Παράλληλα, θα πρέπει να διαπιστώνεται ότι καλύπτονται τα περιουσιακά στοιχεία, οι χρήστες και οι λειτουργίες που σχετίζονται με την πραγματική χρήση του συστήματος.

Βάση οι κοινές απαιτήσεις, περιθώριο για αυστηρότερους όρους

Οι συστάσεις μπορούν να χρησιμοποιηθούν ως ελάχιστη βάση πάνω στην οποία κάθε φορέας θα διαμορφώνει τις δικές του απαιτήσεις προμήθειας. Το έγγραφο αφήνει περιθώριο για την προσθήκη επιπλέον όρων, ανάλογα με τις ανάγκες και το προφίλ κινδύνου κάθε έργου, ενώ συστήνει να μην αφαιρούνται ή τροποποιούνται οι απαιτήσεις που περιλαμβάνονται στο ευρωπαϊκό προφίλ.

Προβλέπεται ακόμη η χρήση δήλωσης συμμόρφωσης, ώστε προμηθευτές και φορείς να μπορούν να επικοινωνούν με περισσότερο τυποποιημένο τρόπο ως προς το κατά πόσο πληρούνται οι προβλεπόμενες απαιτήσεις. Έτσι, η κυβερνοασφάλεια αποκτά μεγαλύτερο βάρος όχι μόνο στις τεχνικές προδιαγραφές, αλλά και στη σχέση ανάμεσα στον αγοραστή και τον κατασκευαστή του εξοπλισμού.

Ιδιαίτερη βαρύτητα δίνεται, τέλος, και στον ίδιο τον προμηθευτή. Κατά την επιλογή του, οι αρμόδιες οντότητες καλούνται να αξιολογούν το προφίλ κινδύνου του προμηθευτή, διευρύνοντας έτσι τον έλεγχο πέρα από τα τεχνικά χαρακτηριστικά του προϊόντος. Με άλλα λόγια, η ασφάλεια της εφοδιαστικής αλυσίδας και η αξιοπιστία του κατασκευαστή εντάσσονται στην εξίσωση της προστασίας των ηλεκτρικών υποδομών.

Το μήνυμα της ευρωπαϊκής πρωτοβουλίας είναι ότι, όσο τα ηλεκτρικά δίκτυα γίνονται πιο ψηφιακά και διασυνδεδεμένα, τόσο η κυβερνοασφάλεια μετακινείται νωρίτερα στην αλυσίδα αποφάσεων: από τη λειτουργία του εξοπλισμού στην ίδια την προμήθειά του. Οι συστάσεις παραμένουν μη δεσμευτικές, ωστόσο επιχειρούν να δημιουργήσουν μια κοινή αφετηρία για κρίσιμες υποδομές σε ολόκληρη την Ευρώπη, περιορίζοντας τις αποκλίσεις στις προδιαγραφές ασφαλείας και ενισχύοντας την ανθεκτικότητα των συστημάτων υψηλής τάσης.

Διαβάστε ακόμη