Rigsrevisionen har netop udgivet en beretning om Energinets outsourcing af samfundskritisk it-infrastruktur. Konklusionerne fra beretningen er som følger:
- Energinet har ikke levet op til forpligtelserne om at oplyse KEFM rettidigt om væsentlige forhold.
- Undersøgelsen viser, at Energinet ikke ved forberedelsen har risikovurderet outsourcingen af driften af forsyningskritisk it-infrastruktur i forhold til at sikre tilstrækkelig offentlig kontrol med driften af forsyningskritisk infrastruktur. Energinet har i forbindelse med gennemførelsen af outsourcingen dog foretaget en risikovurdering af it-sikkerheden, der viser, at Energinet i en lang periode ikke vil kunne leve op til gældende it-sikkerhedsmæssige krav.
- Rigsrevisionen har konstateret alvorlige sikkerhedsbrister i forbindelse med outsourcingen. Rigsrevisionen har gjort opmærksom på sikkerhedsbristerne i både 2020 og 2021, men Energinet har ikke rettet op herpå.
- Undersøgelsen viser, at ministeriet i dets ejerskabsdokumenter ikke kvalitativt har beskrevet, hvilke oplysninger om forsyningssikkerhedsmæssige forhold, som ministeriet skal orienteres om. Dette fremgår heller ikke af Energinets koncerninstruks.
- Undersøgelsen viser, at KEFM løbende har forholdt sig til it-sikkerhed på møder med Energinet, og at ministeriet har intensiveret tilsynet med Energinets forsyningskritiske it, da ministeriet blev oplyst om outsourcingens omfang i april 2021. Ministeriet har i deres tilsyn ikke i alle tilfælde anvendt Energistyrelsens sektortilsynsrapporter om Energinet, da rapporterne forelå.
Klima-, Energi- og Forsyningsministeriet tager kritikken alvorligt.
”Energinet har ansvar for samfundsvigtig infrastruktur, så det er en kritik, der skal tages meget seriøst. Jeg har derfor bedt ministeriet om hurtigst muligt at igangsætte en række tiltag, så kritikken af Energinet og ministeriet imødekommes på bedste vis,” siger klima-, energi- og forsyningsminister Dan Jørgensen.
De igangsatte tiltag er:
- Klima-, Energi- og Forsyningsministeriet er ved at sammensætte en ekspertgruppe med deltagelse af Energistyrelsen og Center for Cybersikkerhed. Gruppen er i gang med at lægge en plan for, hvordan der bedst muligt sikres effektiv fremdrift i opfølgningen på og udbedringen af den kritik af Energinets it-sikkerhed, som Rigsrevisionen har rejst. Ministeren forventer, at Energinet er samarbejdsvillige i dette arbejde.
- IT-området i Energinet er i dag placeret i datterselskabet Energinet Forretningsservice A/S. Ministeren pålægger Energinet at flytte IT-området til moderselskabet Energinet SOV.
- Klima-, Energi- og Forsyningsministeriet vil præcisere ejerskabsdokumenterne for at sikre, at Energinets oplysningspligt entydigt afspejler lovgivningen, samt sikre en tydelig sondring mellem det ejermæssige tilsyn og sektortilsynet.
- Klima-, Energi- og Forsyningsministeriet pålægger Energinet at rapportere løbende om it-outsourcingen i en periode. Ministeren forventer hertil fuld fokus på it-sikkerhed fra Energinets bestyrelse og direktion.
Klima-, Energi- og Forsyningsministeriets pressetelefon: 41 72 38 05
Henvendelser om Energinets reaktion på Rigsrevisionens beretning og teknisk om beretningen kan rettes til Energinets pressetelefon: 23 33 85 75