Atliekame kibernetinio saugumo auditą saulės elektrinėms, vėjo, hibridinėms elektrinėms ir energijos kaupimo įrenginiams, kurių įrengtoji galia viršija 100 kW. Vertiname pagal Lietuvos Respublikos elektros energetikos įstatymo (EEĮ) 73³ straipsnį ir AB „Energijos skirstymo operatorius“ (ESO) pasinaudojimo elektros tinklais tvarkos aprašą, o techninę dalį – pagal tarptautinį pramonės kibernetinio saugumo standartą IEC 62443.
- 10 atliktų saulės elektrinių auditų
- 1 hidroelektrinės auditas
- ISO/IEC 27001 Lead Auditor
- IEC 62443 ir INL ICS (Idaho National Laboratory, pramoninių valdymo sistemų) mokymai
- NKSC (Nacionalinio kibernetinio saugumo centro) CISO pažymėjimas
Kam privalomas saulės elektrinės kibernetinio saugumo auditas
Reikalavimas taikomas visiems elektros gamybos ir kaupimo objektams, kurių įrengtoji galia viršija 100 kW – nepriklausomai nuo to, ar objektas jau prijungtas prie ESO tinklo, ar dar statomas:
- saulės elektrinėms ir saulės parkams;
- vėjo elektrinėms;
- hibridinėms (saulės ir vėjo, saulės ir kaupimo) elektrinėms;
- atskiriems energijos kaupimo įrenginiams (baterijoms);
- pramonės ir žemės ūkio įmonėms, turinčioms nuosavą didesnės nei 100 kW galios saulės elektrinę.
Savininkas turi užsakyti kibernetinio saugumo auditą, įgyvendinti reikalaujamas apsaugos priemones, užpildyti saugumo atitikties deklaraciją ir pateikti ESO tiek audito rezultatą, tiek deklaraciją.
Terminai: pereinamasis laikotarpis baigėsi
Pereinamasis laikotarpis deklaracijoms pateikti baigėsi 2026 m. gegužės 31 d. Iki to laiko deklaracijas buvo pateikę tik apie 400 objektų, todėl dalis elektrinių valdytojų reikalavimą įgyvendina pavėluotai. Jei jūsų deklaracija dar nepateikta, auditą verta pradėti nedelsiant.
Naujai statomoms elektrinėms kibernetinio saugumo sprendimus verta suplanuoti dar projektavimo etape – vėliau keisti nuotolinės prieigos architektūrą ar rangovų prieigas kainuoja brangiau. Auditas kartojamas kas trejus metus.
Ką tikriname saulės elektrinėje
Saulės elektrinės valdymo aplinka – tai OT (Operational Technology – operacinės technologijos) sistema: inverteriai, parko valdiklis, stebėsenos platforma ir ryšio įranga. Audito metu vertiname:
- Nuotolinę prieigą – kas, kaip ir iš kur jungiasi prie inverterių, parko valdiklio (PPC – Power Plant Controller) ir SCADA (Supervisory Control and Data Acquisition – priežiūros ir duomenų rinkimo) sistemos.
- Gamintojų debesijos platformas – ar inverterių gamintojo ar platformos valdytojo prieiga neleidžia nuotoliu valdyti elektrinės iš grėsmę nacionaliniam saugumui keliančių valstybių.
- Tinklo segmentavimą ir ugniasienę – ar valdymo tinklas atskirtas nuo biuro, svečių ir interneto tinklų, ar ugniasienės taisyklės minimalios ir pagrįstos.
- Prisijungimų valdymą – unikalūs vartotojai, numatytųjų slaptažodžių pakeitimas, daugiaveiksnis autentifikavimas (MFA – Multi-Factor Authentication).
- Rangovų ir trečiųjų šalių prieigas – montuotojų, priežiūros įmonių ir įrangos gamintojų teises bei jų kontrolę.
- Fizinę apsaugą – priėjimą prie valdymo spintų, ryšio įrangos ir transformatorinės.
- Atsakomybes ir procedūras – paskirtą atsakingą asmenį ar paslaugų teikėją, incidentų valdymą, įvykių registravimą.
Dažniausios spragos, kurias randame saulės elektrinių audituose
- perteklinės arba nekontroliuojamos nuotolinės prieigos (pvz., nuolat įjungti nuotolinio darbalaukio įrankiai);
- bendri visų rangovų naudojami prisijungimai ir nepakeisti gamyklinių nustatymų slaptažodžiai;
- nesegmentuotas tinklas – inverteriai tame pačiame tinkle kaip vaizdo stebėjimas ar biuro kompiuteriai;
- neaiškios gamintojo debesijos platformos prieigos teisės;
- nepaskirtas atsakingas asmuo už kibernetinį saugumą;
- neaprašyta fizinė apsauga ir nesurinkti įrodymai deklaracijai.
Net jei elektrinė techniškai veikia puikiai, tai dar nereiškia, kad jos valdymo aplinka atitinka reikalavimus. Todėl ataskaitoje kiekvieną spragą susiejame su konkrečiu reikalavimu ir įrodymu, kurio prireiks deklaracijai.
Kokiais teisės aktais ir standartais remiamės
- Elektros energetikos įstatymo 73³ straipsnis ir ESO pasinaudojimo elektros tinklais tvarkos aprašas – privalomi reikalavimai ir saugumo atitikties deklaracijos forma.
- IEC 62443 (ISA/IEC 62443) – tarptautinis pramonės automatizavimo ir valdymo sistemų kibernetinio saugumo standartas: 62443-3-2 (rizikos vertinimas, zonos ir kanalai), 62443-3-3 (sistemos saugumo reikalavimai), 62443-2-4 (reikalavimai paslaugų teikėjams ir integratoriams). Plačiau – IEC 62443 diegimas.
- ISO/IEC 27001 – informacijos saugumo valdymo sistemos principai organizacinėms priemonėms.
- NIST CSF 2.0 (National Institute of Standards and Technology Cybersecurity Framework – JAV standartų instituto kibernetinio saugumo sistema) – rizikų struktūrizavimui ir veiksmų plano prioritetams.
Kaip vyksta auditas
- Nemokamas pirminis pokalbis. Aptariame elektrinę, jos galią, valdymo sistemą ir rangovus. Po pokalbio žinote, kurie reikalavimai jums taikomi.
- Apimtis ir pasiūlymas. Suderiname vertinamas sistemas, leidžiamus techninius veiksmus ir terminus. Gaunate fiksuotos kainos pasiūlymą.
- Vertinimas. Dokumentų peržiūra, pokalbiai su savininku, montuotoju ir priežiūros rangovu, apžiūra vietoje ir saugi techninė patikra, nesutrikdanti elektrinės veikimo.
- Ataskaita ir veiksmų planas. Prioritetizuotos neatitiktys, konkretūs taisymo veiksmai ir įrodymų sąrašas deklaracijai.
- Pagalba deklaruojant. Padedame struktūruoti informaciją ir parengti pagrindimą, kad deklaracija nebūtų grąžinta tikslinti.
Ką gaunate po audito
- kibernetinio saugumo audito ataskaitą, tinkamą pateikti ESO;
- vadovybei skirtą santrauką be techninio žargono;
- prioritetizuotą spragų šalinimo planą su atsakingais rangovais;
- įrodymų sąrašą saugumo atitikties deklaracijai;
- galimybę po audito tęsti bendradarbiavimą – tapti jūsų atsakingu kibernetinio saugumo paslaugų teikėju (CISO paslaugos).
Dažniausiai užduodami klausimai
Taip, jei elektrinės ar energijos kaupimo įrenginio įrengtoji galia viršija 100 kW. Reikalavimas taikomas saulės, vėjo, hibridinėms elektrinėms ir atskiriems kaupikliams – tiek jau prijungtiems prie ESO (Energijos skirstymo operatoriaus) tinklo, tiek dar statomiems.
Pereinamasis laikotarpis baigėsi 2026 m. gegužės 31 d. Jei deklaracijos dar nepateikėte, auditą reikia atlikti ir deklaraciją pateikti kuo skubiau. Padedame suplanuoti darbus taip, kad pirmiausia būtų pašalintos svarbiausios neatitiktys.
ESO pateikiamas kibernetinio saugumo audito rezultatas ir užpildyta saugumo atitikties deklaracija. Prieš tai turi būti įgyvendintos reikalaujamos apsaugos priemonės.
Auditas kartojamas kas trejus metus. Taip pat jį verta atnaujinti, kai keičiasi elektrinės valdymo sistema, nuotolinės prieigos sprendimas ar priežiūros rangovas.
Kaina nuo 1200 EUR. Trukmė ir konkreti kaina priklauso nuo objektų skaičiaus, valdymo sistemos sudėtingumo ir rangovų skaičiaus. Po nemokamo pirminio pokalbio pateikiame fiksuotos kainos pasiūlymą.
Didelę dalį darbų – dokumentų peržiūrą, pokalbius su rangovais, prieigų ir ugniasienės taisyklių analizę – atliekame nuotoliu. Fizinė apsauga ir tinklo įranga tikrinamos apžiūros vietoje metu.
Taip, po audito galime tapti jūsų paskirtu kibernetinio saugumo paslaugų teikėju (CISO – Chief Information Security Officer, informacijos saugumo vadovu). Tokiu atveju pakartotinį auditą, siekiant nepriklausomumo, turėtų atlikti kitas auditorius.
Įrangos naudojimas savaime nedraudžiamas, tačiau valstybių, keliančių grėsmę Lietuvos nacionaliniam saugumui, įmonėms draudžiama prieiga prie didesnių nei 100 kW elektrinių ir kaupiklių valdymo sistemų bei jų nuotolinis valdymas. Audito metu patikriname, ar gamintojo debesijos platforma ir nuotolinės priežiūros kanalai atitinka šį reikalavimą.
Susijusios paslaugos
- OT kibernetinio saugumo auditas – didesniems energetikos ir pramonės objektams.
- Kibernetinis saugumas energetikos sektoriui
- Kibernetinio saugumo auditas pagal NIS2 ir ISO/IEC 27001