Energiaviraston ohje tietoturvallisuuteen liittyvän häiriön ilmoittamisesta

Transkriptio

1 Ohje 1 (6) Sähkömarkkinalain (588/2013) 29 a sekä maakaasumarkkinalain (587/2017) 34 a. Energiavirastn hje tietturvallisuuteen liittyvän häiriön ilmittamisesta Asiaan liittyvä lainsäädäntö Sähkön jakeluverknhaltijille, suurjännitteisen jakeluverknhaltijille, kantaverknhaltijalle sekä maakaasun siirtverknhaltijalle säädetään vimaantulleissa sähkömarkkinalain ja maakaasumarkkinalain muutksissa uusia tietturvallisuuteen liittyviä velvitteita. Lakimuutkset liittyvät Eurpan uninin verkkja tietturvadirektiivin täytäntöönpann (HE 192/2017 vp). Uusista velvitteista säädetään sähkömarkkinalaissa 29 a :ssä ja maakaasumarkkinalain 34 a :ssä. Sähkömarkkinalaki (588/2013) 29 a Verknhaltijan n hulehdittava käyttämiinsä viestintäverkkihin ja tietjärjestelmiin khdistuvien riskien hallinnasta. Verknhaltijan n ilmitettava viipymättä Energiavirastlle sellaisesta sen käyttämiin viestintäverkkihin tai tietjärjestelmiin khdistuvasta merkittävästä tietturvallisuuteen liittyvästä häiriöstä, jnka seurauksena sähkönjakelu vi keskeytyä jakeluverkssa merkittävässä laajuudessa. Js häiriöstä ilmittaminen n yleisen edun mukaista, Energiavirast vi velvittaa palvelun tarjajan tiedttamaan yleisölle asiasta tai kuultuaan ilmitusvelvllista tiedttaa asiasta itse. Energiavirastn n arviitava, kskeek 2 mmentissa tarkitettu häiriö muita Eurpan uninin jäsenvaltiita ja ilmitettava tarvittaessa muille jäsenvaltiille. Energiavirast vi antaa tarkempia määräyksiä siitä, millin 1 mmentissa tarkitettu häiriö n merkittävä, sekä ilmituksen sisällöstä, mudsta ja timittamisesta. Sähkömarkkinalain 62 :n mukaisesti 29 a :ää ei svelleta suljettuihin jakeluverkkihin. Maakaasumarkkinalaki (587/2017) 34 a Siirtverknhaltijan n hulehdittava käyttämiinsä viestintäverkkihin ja tietjärjestelmiin khdistuvien riskien hallinnasta. Siirtverknhaltijan n ilmitettava viipymättä Energiavirastlle sellaisesta sen käyttämiin viestintäverkkihin tai tietjärjestelmiin khdistuvasta merkittävästä tietturvallisuuteen liittyvästä häiriöstä, jnka seurauksena maakaasun siirt vi keskeytyä siirtverkssa merkittävässä laajuudessa. Js häiriöstä ilmittaminen n yleisen edun mukaista, Energiavirast vi velvittaa siirtverknhaltijan tiedttamaan asiasta tai kuultuaan ilmitusvelvllista tiedttaa asiasta itse.

2 Ohje 2 (6) Energiavirastn n arviitava, kskeek 2 mmentissa tarkitettu häiriö muita Eurpan uninin jäsenvaltiita ja ilmitettava tarvittaessa muille jäsenvaltiille. Energiavirast vi antaa tarkempia määräyksiä siitä, millin 1 mmentissa tarkitettu häiriö n merkittävä, sekä ilmituksen sisällöstä, mudsta ja timittamisesta. Tietturvavelvitteiden taustaa Yllä esitetyillä lakimuutksilla täytäntöön pantiin kansallisesti Eurpan uninin verkk- ja tietturvadirektiivi ((EU) 2016/1148). Direktiivin velvitteet kskevat usean eri timialan hultvarmuuskriittisiä yrityksiä ja keskeisiä digitaalisten palveluntarjajia. Lakimuutkset velvittavat timialakhtaisesti määritetyt rganisaatit raprtimaan havaitsemistaan tietturvauhista ja -lukkauksista timialan valvntaviranmaiselle. Timialat ja niille määrätyt valvntaviranmaiset n esitetty taulukssa 1. Timiala Energiahult Liikenne Terveydenhult Finanssiala Finanssialan infrastruktuuri Vesihult Digitaalinen infrastruktuuri Digitaaliset palvelut Valvntaviranmainen Energiavirast Trafi Valvira Finanssivalvnta Finanssivalvnta ELY-keskukset Viestintävirast Viestintävirast Taulukk 1. NIS-direktiivin piirissä levat timialat ja kunkin alan timivaltainen viranmainen. Kunkin alan valvntaviranmainen kkaa timialan ilmitukset yhteen ja raprti ne yhdenmukaisesti Viestintävirastlle. Viestintävirast timii Sumessa POC-timijana (Pint f Cntact) ja raprti Sumesta kaikkien timialjen tapahtumat ktusti säännöllisesti EU:lle. Kyberturvallisuuskeskus vi myös saada tietturvalukkauksen käsittelyyn kansainvälisestä tiednvaihdsta lisätietja esimerkiksi direktiivin mukaisen CSIRTpalvelun (Cmputer Security Incident Respnse Team) kautta, jssa Kyberturvallisuuskeskus edustaa Sumea. Energiavirastn hjeistus Sähkömarkkinalain 29 a :ssä ja maakaasumarkkinalain 34 a :ssä n säädetty Energiavirastlle timivalta antaa määräys tietturvallisuuteen liittyvän häiriön

3 Ohje 3 (6) ilmituskynnyksestä sekä ilmituksen sisällöstä, mudsta ja timittamisesta. Virast antaa tistaiseksi tarkempia tietja ilmituskynnyksestä ja ilmituksen sisällöstä tämän hjeen mudssa. Tämä hje ei kske sähkömarkkinalain 29 a :n 1 mmentin mukaista verknhaltijan ja maakaasumarkkinalain 34 a :n 1 mmentin mukaista siirtverknhaltijan velvitetta hulehtia käyttämiinsä viestintäverkkihin ja tietjärjestelmiin khdistuvien riskien hallinnasta. Näiden riskien hallinta n sa verknhaltijan varautumista ja ne tulee siten humiida verknhaltijiden varautumissuunnitelmissa. Ilmituksen sisältö ja ilmituskynnys Energiavirast pyytää ensivaiheessa verknhaltijita ilmittamaan kaikista viestintäverkkihin tai tietjärjestelmiin khdistuvista tietturvallisuuteen liittyvistä häiriöistä, jiden seurauksena n aiheutunut tai lisi vinut aiheutua sähkönjakelun tai maakaasun siirrn keskeytys. Näin siitä hulimatta, että sähkömarkkinalain ja maakaasumarkkinalain mukainen velvite kskee merkittävää tietturvallisuuteen liittyvää häiriötä, jka seurauksena sähkön jakelu ja siirt tai maakaasun siirt vi keskeytyä merkittävässä laajuudessa. Lain mukaan ilmitus n tehtävä virastlle viipymättä. Energiavirast kuittaa tehdyn ilmituksen vastaantetuksi turvapstilla. Mikäli ette vastaanta Energiavirastn kuittausta kahden päivän sisällä, lkaa yhteydessä Energiavirastn kirjaamn kirjaam(at)energiavirast.fi. Verknhaltijan n tehtävä uusi ilmitus, kun tilanne lennaisesti muuttuu ja kun tilanne n saatu krjattua eikä häiriö enää uhkaa sähkönjakelua. Lain njalla, js häiriöstä ilmittaminen n yleisen edun mukaista, Energiavirast vi velvittaa palvelun tarjajan tiedttamaan yleisölle asiasta tai kuultuaan ilmitusvelvllista tiedttaa asiasta itse. Edelleen Energiavirastn n arviitava, kskeek häiriö muita Eurpan uninin jäsenvaltiita ja ilmitettava tarvittaessa muille jäsenvaltiille. Näin llen Energiavirastn n saatava ilmituksessa riittävät tiedt häiriön lunteesta, vakavuudesta sekä vaikutuksista sähkönjakeluun, jtta Energiavirast vi arviida, miten häiriöistä n tiedtettava. Energiavirast pyrkii annymisimaan tiedtteissa julkaistavat tiedt.

4 Ohje 4 (6) Kuva 1. Kyberturvallisuuskeskuksen NIS-direktiivin mukaisen tietturvahäiriön ilmituslmake Ilmitus Energiavirastlle tehdään kuvan 1 mukaisella ilmituslmakkeella. Kuvassa esitettyä ilmituslmaketta svelletaan muihinkin NIS-direktiivin mukaisiin timialihin. Energia-alan timijiden salta ilmituslmakkeen mukaisissa kysymyksissä pyydetään timittamaan vastaukset ainakin seuraaviin asiihin: - Vapaamutinen kuvaus asiasta Olennaista n saada tiet ainakin seuraaviin asiihin: Mihin verknhaltijan timintihin häiriö vaikuttaa ja miten? Vik häiriö aiheuttaa uhan myös muille alan timijille (liittyykö häiriö esim. tiettyyn palveluun tai tutteeseen)? Mihin timiin verknhaltija n ryhtynyt häiriön krjaamiseksi?

5 Ohje 5 (6) Arvi häiriön krjausaikataulusta. - Mihin palveluihin vaikuttaa Onk sähkönjakelu/maakaasun siirt keskeytynyt? Kuinka mneen asiakkaaseen häiriö vaikuttaa? Maantieteellinen vaikutusalue, js häiriö vaikuttaa tiettyyn alueeseen. - Tapahtuman tapahtuma- tai havaitsemisaika Lain mukaan ilmitus n tehtävä viipymättä. - Onk tapahtuma yhä kesken Js tapahtuma n kesken, verknhaltijan n tehtävä uusi ilmitus virastlle, kun tilanteessa tapahtuu merkittäviä muutksia ja kun häiriö n hi eikä enää uhkaa sähkönjakelua. - Lisätietja (mistä jhtui, nk uusiutunut ngelma jne.) Energiavirast tarvitsee häiriöstä riittävät tiedt, jtta se vi tiedttaa asiasta tarkituksenmukaisesti. - Ilmitukseen liittyvät liitetiedstt Esimerkiksi mahdlliset näytteet haittahjelmasta kyberturvallisuuskeskukselle vidaan timittaa tällä samalla ilmituslmakkeella. - Tarvitsetk viranmaiselta tukea asiaan? Energiavirastlla ei le timivaltaa tilanteen ratkaisemisessa, vaan verknhaltija saa tarvittaessa tukea Kyberturvallisuuskeskukselta teknisistä timenpiteistä tietturvalukkauksen havainnimiseen, laajenemisen estämiseksi ja tilanteen palauttamiseksi. Ilmituskanava Ilmitus Energiavirastlle tehdään Kyberturvallisuuskeskuksen verkk- ja tietturvapikkeamailmituslmakkeen 1 kautta. Ajantasaista ilmituslinkkiä ylläpidetään Energiavirastn Internet-sivuilla. Ilmituslmakkeen kautta ilmitettaessa tiedt menevät sekä Energiavirastlle, että Viestintävirastn Kyberturvallisuuskeskukselle. Pyydämme ttamaan ilmituslmakkeesta tulsteen mahdllisten timitusngelmien varalle. 1

6 Ohje 6 (6) Energiavirastn timivalta häiriöilmitukseen liittyvissä asiissa Energiavirastn timivalta tietturvallisuuteen liittyvien häiriöilmitusten käsittelyssä rajittuu ilmitusten vastaanttamiseen, niistä tiedttamiseen sekä tarpeen vaatiessa häiriöstä ilmittamiseen muille EU:n jäsenvaltiille. Energiavirastlla ei le timivaltaa häiriötilanteen ratkaisemisessa. Jakelu Tiedksi Sähkön jakeluverknhaltijat Sähkön suurjännitteisen jakeluverkn haltijat Sähkön kantaverknhaltija Maakaasun siirtverknhaltija TEM/energiasast Energiatellisuus ry