Dyrektywa NIS 2: Co operatorzy farm wiatrowych i turbin wiatrowych powinni wiedzieć już teraz

Niniejszy artykuł rzuca światło na to, kogo dotyczy branża wiatrowa, które sektory i obiekty są objęte jej zakresem oraz jakie wymagania wynikają z dyrektywy. W ten sposób odwołujemy się w znacznym stopniu do oświadczenia Niemieckiego Stowarzyszenia Energetyki Wiatrowej (BWE) z lipca 2024 r. w sprawie projektu ustawy BMI.

1. Kim jest których dotyczy dyrektywa NIS 2?

Dyrektywa ma zastosowanie do wszystkich przedsiębiorstw, które usług o krytycznym znaczeniu w określonych sektorach i zapewniają wielkość firmy. W szczególności kluczowe znaczenie mają następujące kwestie:

• Przynależność branżowa (np. wytwarzanie energii)
  
• wielkość przedsiębiorstwa (np. liczba zatrudnionych, roczny obrót, suma bilansowa)
  
• znaczenie instytucji (zaklasyfikowane jako »ważne« lub "szczególnie ważna" instytucja)
  

Klasyfikacja firm

Niemiecka ustawa transpozycyjna wyróżnia:

• "Szczególnie ważne obiekty": duże znaczenie dla Bezpieczeństwo dostaw i krytyczność IT.
  
• "Ważne instytucje": mniej krytyczne, ale wciąż istotne do pełnienia funkcji społecznych.
  

przedsiębiorstwa energetyki wiatrowej są objęte prawa karnego, jeżeli:

• Operatorzy elektrowni (§ 3 nr 18d EnWG),
  
• Usługi dla takich operatorów (np. systemy SCADA, zarządzanie operacyjne),
  
• Procesy oparte na IT z dostępem zewnętrznym (np. zdalne sterowanie, transmisja danych).
  

Specjalny Wyzwanie dla działających firm

W branży wiatrowej powszechne są farmy wiatrowe mogą być wydzielone do niezależnych spółek (np. GmbH & Co. KG). Same te przedsiębiorstwa zazwyczaj nie są objęte rozporządzenia, ponieważ są one zbyt małe. Jednakże § 28 projektu ustawy stanowi: że w przypadku spółek powiązanych liczba pracowników i sprzedaż można przypisać spółce dominującej proporcjonalnie – pod warunkiem, że nie ma ona niezależności .

W praktyce te spółki zależne są ale często całkowicie zależne od systemów informatycznych firmy macierzystej, co skutkuje – nawet jeśli sami nie mają kontroli nad IT mieć.

2. Który Dotyczy to sektorów?

Dyrektywa NIS 2 ma zastosowanie do instytucji z 18 sektorów, podzielonych na dwie kategorie:

2.1 Sektory o wysokim stopniu krytyczności ("instytucje szczególnie ważne")

Należą do nich m.in.:

• energii (energia elektryczna, w tym wytwarzanie, przesył i dystrybucja energii elektrycznej)
  
• Infrastruktura cyfrowa
  
• Transport
  
• Finanse i ubezpieczenia
  

2.2 Inne Sektory krytyczne ("podmioty kluczowe")

Należą do nich:

• Produkcja komponentów do Technologia energetyczna
  
• Gospodarka odpadami
  
• Usługi pocztowe i kurierskie
  
• Chemikalia, żywność, opieka zdrowotna
  

Dla branży wiatrowej istotny:

• Operatorzy elektrowni
  
• Dostawcy usług IT w zakresie Systemy SCADA, monitorowanie stanu, oprogramowanie do zarządzania operacjami
  
• Firmy z dostępem do zdalnego sterowania roślin
  

3. Który Czy są jakieś wymagania?

3.1 Środki techniczne i organizacyjne

Przedsiębiorstwa, których to dotyczy, muszą wdrożyć środki zarządzania ryzykiem zgodnie z sekcją 30 projektu ustawy. Należą do nich:

• Koncepcje oceny ryzyka i Bezpieczeństwo IT
  
• Zapewnienie ciągłości działania (np. kopie zapasowe, plany awaryjne)
  
• Dostęp i kontrola dostępu
  
• szkolenia pracowników i Weryfikacja personelu
  
• Zarządzanie incydentami związanymi z bezpieczeństwem
  

Cecha specjalna dla energetyka wiatrowa: operatorzy, którzy realizują zadania na zewnętrznym lub dostawcom usług IT, wdrażania tych środków.

3.2 Certyfikacja bezpieczeństwa cybernetycznego

Art. 30 ust. 6 projektu ustawy przewiduje Obowiązek certyfikacji produktów, usług i procesów ICT przed – w oparciu o schematy europejskie zgodnie z art. 49 rozporządzenia (UE) 2019/881. Obowiązek ten dotyczy:

• produkty takie jak sterowniki farm wiatrowych, Systemy SCADA
  
• Oprogramowanie do zarządzania operacjami
  
• Rozwiązania zdalnego dostępu
  

Obecnie wciąż brakuje konkretnych regulacji i harmonogramy – dlatego wśród firm panuje duża niepewność. Sieć BWE apeluje o wczesną jasność, aby przedsiębiorstwa mogły rozpocząć wdrażanie puszka.

3.3 Obowiązki sprawozdawcze

Obiekty muszą być świadome incydentów związanych z bezpieczeństwem w określonych terminach:

• W ciągu 24 godzin: Wczesne ostrzeżenie
  
• W ciągu 72 godzin: szczegółowy raport
  
• W ciągu 30 dni: Raport końcowy
  

Obowiązki te mają zastosowanie wyłącznie do "dotknięty".

4. Praktyczne wyzwania dla branży wiatrowej

Niejasne rozgraniczenie konsternacji

Główna krytyka BWE dotyczy niejasna definicja "niezależności". Jeżeli przedsiębiorstwo operacyjne nie posiada własne systemy informatyczne, ale jest formalnie objęty przepisami prawa, jest Wdrożenie jest mało realistyczne. W związku z tym BWE domaga się:

• Zróżnicowane spojrzenie na Spółki zależne
  
• Brak obowiązku dla firm bez Faktyczny wpływ na bezpieczeństwo IT
  
• Wyraźne rozgraniczenie między operatorem a Menedżerowie IT
  

Interfejs do ustawy o przemyśle o zerowej emisji netto (Net Zero Industry Act)

W kontekście ustawy Net Zero Industry Act (NZIA) cyberbezpieczeństwo będzie również wykorzystywane jako kryterium kwalifikacji wstępnej dla przetargów . W związku z tym BWE proponuje, aby Ustawa wdrożeniowa NIS 2 do wymogów NZIA. Cel: Przetargi powinny być przyznawane wyłącznie dostawcom, którzy korzystają z bezpiecznych systemów informatycznych – i to na szczeblu UE.

5. Terminy i przepisy przejściowe

• Przedsiębiorstwa, które podlegają nowym przepisom przepisów, wymagania muszą zostać spełnione w ciągu 3 lat od Udowodnij wejście w życie.
  
• Termin ten zastępuje wcześniejszy, bardziej rygorystyczny termin (np. co dwa lata).
  
• Nadal pozostaje otwarte, czy i w jaki sposób okresy przejściowe dla obowiązków certyfikacyjnych.
  

6. Co to jest Co teraz zrobić?

Zalecane działania dla Uczestnicy:

• Dokonaj samooceny: Czy Twoja firma podlega Kategorie NIS-2?
  
• Analizuj ryzyko IT: Które systemy są krytyczne? Które Uzyskuje dostęp do?
  
• Sprawdzanie umów: Czy usługodawcy mogą zapewnić zgodność z wymagania?
  
• Organizowanie szkoleń dla pracowników: Podnoszenie świadomości na temat cyberbezpieczeństwa jest obowiązkowe.
  
• Szukaj kontaktu ze stowarzyszeniami: Pozostań w kontakcie za pośrednictwem BWE lub innych Stowarzyszenia branżowe informują o przyszłych regulacjach.
  

Wynik

Dyrektywa NIS 2 wprowadza nowy cyberbezpieczeństwa w branży wiatrowej. Wielu operatorów, Usługodawcy i firmy zarządzające są – bezpośrednio lub pośrednio – być dotknięte. Szczególnie istotna jest obecna niepewność co do betonu dotknięte wpływem, a także praktyczne możliwości wdrożenia Spółki zależne bez własnego dostępu do IT.

Tym ważniejsze jest podjęcie działań na wczesnym etapie radzić sobie z nowymi wymogami, procesami przeglądu i Przygotować się do obowiązków certyfikacyjnych i sprawozdawczych w odpowiednim czasie. Ten Prawodawcy mają obowiązek zapewnić jasność, ale także zapewnić, aby Przedsiębiorstwa muszą działać już teraz.