§ 10 Dere skal sikre vannbehandlingsanlegget og distribusjonssystemet
Vannforsyningen skal sikres både fysisk og digitalt. Ansvar ligger hos vannverkseier for å hindre villede hendelser som kan gi utrygt drikkevann.
Vis endringer
- Oppdatering av veiledningsteksten til drikkevannsforskriftens § 10 Forebyggende sikring
Det er gjort endringer i § 10 om forebyggende sikring. I tillegg til språklige justeringer er digitalsikkeregelverket omtalt og det vises til veileder digitalsikkerhetsforskriften for drikkevann.
Noen vannverk vil, i tillegg til drikkevannsforskriften, også omfattes av digitalsikkerhetsloven og tilhørende digitalsikkerhetsforskrift som ble gjeldende fra 1. oktober 2025. Dette gjelder vannverk som anses for å yte samfunnsviktige tjenester iht. digitalsikkerhetsloven § 6.
Med vannverk som yter samfunnsviktige tjenester menes vannforsyningssystemer som produserer minst 2000 m³ vann per døgn, jf. digitalsikkerhetsforskriften § 1 nr. 23.
- Oppdatering av veiledningsteksten til drikkevannsforskriftens § 10 Forebyggende sikring
Nasjonal sikkerhetsmyndighet (NSM) oppfordrer virksomheter til å styrke egen sikkerhet.
Helse- og omsorgsdepartementet og NSM oppfordrer derfor norske virksomheter til å sjekke om deres anbefalninger er innført i egen virksomhet. På grunnlag av gitt oppfordringer har vi opptartet veiledningsteksten til drikkevannsforskriftens § 10 Forebyggende sikring.
Hva betyr kravet?
Som vannverkseier skal dere sørge for at
- vannbehandlingsanlegget og distribusjonssystemet er fysisk sikret mot uautorisert tilgang og bruk
- alle styringssystemer, nettverk og informasjonssystemer har forsvarlig sikkerhet mot uautorisert tilgang og dataangrep
Dette gjelder også vanninntak, drikkevannsbasseng og pumpestasjoner. Sikkerhetstiltak skal ta utgangspunkt i resultatene fra blant annet farekartlegging, farehåndtering og beskyttelsestiltak. Alle som jobber med vannforsyningssystemet, skal få opplæring i sikkerhet.
Vannverk som også omfattes av digitalsikkerhetsregelverket
Noen vannverk vil, i tillegg til drikkevannsforskriften, også omfattes av digitalsikkerhetsloven og tilhørende digitalsikkerhetsforskrift. Dette gjelder vannverk som anses for å yte samfunnsviktige tjenester iht. digitalsikkerhetsloven § 6.
Med vannverk som yter samfunnsviktige tjenester menes vannforsyningssystemer som produserer minst 2000 m³ vann per døgn, jf. digitalsikkerhetsforskriften § 1 nr. 23.
Digitalsikkerhetsloven- og forskriften stiller mer konkrete krav til ivaretakelse av digital sikkerhet enn det som følger av drikkevannsforskriften. Nasjonal sikkerhetsmyndighet (NSM) sin veiledning redegjør nærmere for disse kravene.
Det anbefales at eiere av vannforsyningssystemer som er underlagt digitalsikkerhetsregelverket, gjør seg kjent med de plikter og krav som følger av regelverket. Det vises særlig til vannverkseiers varslingsplikt etter digitalsikkerhetsforskriften § 17.
For mindre vannforsyningssystemer der farekartleggingen avdekker risiko knyttet til cybertrusler eller cybersårbarheter, kan regelverket og tilhørende veiledning benyttes som verktøy i arbeidet med digital sikkerhet. For slike vannforsyningssystemer gjelder likevel ikke digitalsikkerhetsregelverket direkte.
Hvorfor er sikring viktig?
Når dere planlegger forebyggende sikring, skal dere
- bruke egen risikovurdering. Ta utgangspunkt i farekartlegging, farehåndtering og eksisterende tiltak.
- vurdere trusselbildet. Se på lokale erfaringer og informasjon fra politi, PST og NSM.
- vurdere behov hos abonnenter med samfunnskritiske funksjoner. Bruk innsikt fra dialog og deres spesifikke krav.
- sikre riktig kompetanse. Personell med relevant kompetanse skal gjennomføre vurderingene.
- bestemme nødvendige tiltak og akseptabel restrisiko. Basert på dokumentasjon, trusselbilde og eksisterende sikring.
- vurdere minimumstiltak. Fysiske låser kan være et minimum, men må vurderes som et tiltak opp mot behov som er kommet fram i en farekartlegging.
Fysisk sikring
Du skal vurdere behovet for å etablere tiltak, som kan omfatte følgende:
- inndeling av fysiske soner, med differensiert sikring og gradert adgangskontroll, basert på farekartlegging
- rutiner for å erstatte nøkler og skifte låser, og oversikt over alle nøkler og hvem som disponerer dem
- alarm på porter, inngangsdører, luker og vinduer
- eget skap eller rom for innlåsing av kjemikalier som ikke er koblet til automatisk dosering.
Elektroniske og digitale sikringstiltak som benyttes i forbindelse med fysisk sikring, bør beskyttes mot uautorisert adgang. Dette gjelder også vanninntak, drikkevannsbasseng, pumpestasjoner samt tekniske rom og annen infrastruktur som understøttes av virksomhetens digitale systemer. Dette kan for eksempel være låsesystemer, alarmer og andre overvåkningssystemer. Innganger til vannbehandlingsanlegg, basseng, pumpestasjoner og andre installasjoner skal ha adgangskontroll (lås).
Listen er ikke fullstendig – vurder hva som er relevant for ditt vannforsyningssystem.
Personellsikkerhet
Personellsikkerhet handler om tiltak, handlinger og vurderinger som hindrer at personer som kan utgjøre en sikkerhetsrisiko, plasseres i roller eller stillinger som kan utgjøre en risiko for produksjon av trygt drikkevann gjennom hele vannforsyningen.
Nasjonal sikkerhetsmyndighet gir generelle anbefalinger til virksomheter. For å styrke personellsikkerhet er følgende punkter særlig viktig:
- bakgrunnssjekker (identitet, utdanning, bakgrunn osv.)
- tilgangsstyring (hvem skal ha tilgang til hva)
- opplæring og bevisstgjøring (risikoforståelse, sosial manipulering)
- rutiner for varsling
- oppfølging av ansatte gjennom hele ansettelsesperioden
- tydelig håndtering ved avslutning av arbeidsforhold
Sikre alle styringssystemene mot dataangrep (digital sikkerhet)
Som vannverkseiere har dere ansvar for at digitale styringssystemer er sikret mot dataangrep. Dette gjelder både informasjonsteknologisystem (IT) og operasjonelle teknologisystemer (OT), for eksempel industrielle kontrollsystemer som styrer og overvåker vannforsyningsprosesser og distribusjonssystemer.
Nasjonal sikkerhetsmyndighet (NSM) anbefaler en rekke tiltak for å gjøre kritiske samfunnsfunksjoner mer motstandsdyktige. I tillegg skal dere bruke farekartleggingen (§ 6) som grunnlag for valgte sikringstiltak.
Hva bør dere gjøre?
NSM oppfordrer norske virksomheter og vannverk til å sjekke at tiltakene under er innført i egen virksomhet, og vurdere å innføre tiltak som ikke allerede er på plass.
Logging og overvåking
- Etabler god logging i digital infrastruktur knyttet til industrielle kontrollsystemer og operasjonell teknologi.
- Sørg for overvåking av loggene slik at dere kan oppdage unormale hendelser.
Begrens fjerntilgang
- Komponenter i industrielle kontrollsystemer og operasjonell teknologi skal ikke ha direkte fjerntilgang fra internett.
- Del opp nettverk for industrielle kontrollsystemer og operasjonell teknologi i mindre soner for bedre sikkerhet.
Streng autentisering
- Bruk phishing-resistent flerfaktorautentisering, for eksempel en åpen standard for godkjenning uten passord med flere faktorer eller biometri.
- Ha god tilgangskontroll.
Plan for hendelseshåndtering
- Etabler og øv på planer for håndtering av cyberhendelser.
Kompetanse
- Lag en plan for å opprettholde kompetanse innen industriell cybersikkerhet.
Kjenn til standarder
- NEK 820:2021 «Cybersikkerhet for industrielle automatiserings- og kontrollsystemer»
- NIST SP 800-82 rev. 3 «Guide to operational technology (OT) security»
Risikovurdering
- Vannforsyninger med skjermingsverdige verdier etter sikkerhetsloven må oppdatere risikovurderingen og iverksette nødvendige tiltak.
Varsling
- Ha lav terskel for å varsle NSM eller sektorvise responsmiljøer (CERT) om uønskede cyberhendelser.
- Helse- og KommuneCert er cybersikkerhetssenteret for både helse- og kommunesektoren i Norge, og tilbyr en rekke kostnadsfrie sikkerhetstjenester. Både kommunale og private vannverk kan søke medlemskap. Digitalsikkerhetsforskriftens § 16 Responsmiljøer – viser til nasjonalt responsmiljø for håndtering av hendelser etter digitalsikkerhetsloven
Viktig å huske
Listen er ikke fullstendig. Hvilke tiltak som er relevante, må vurderes for hvert vannforsyningssystem.
Sikkerhetskultur
Sikkerhetskultur er verdier, holdninger, kunnskap og atferd hos medarbeidere som påvirker hvordan sikkerhet faktisk etterleves i virksomheten.
Nasjonal sikkerhetsmyndighet (NSM) gir generelle anbefalinger til virksomheter. For å styrke sikkerhetskultur er følgende punkter særlig viktig:
- rutiner for rapportering og sårbarhetsoppfølging
- opplæring og kompetanseheving om trusselbildet og sosial manipulering
- kampanjer og tiltak for økt sikkerhetsbevissthet
- ledelse som går foran som gode rollemodeller
- øvelser innen personellsikkerhet
Utfyllende veiledning
Rapporter utarbeidet av bransjeforeninger og offentlige etater kan hjelpe dere med å vurdere hva som er tilstrekkelig av fysisk sikring og sikring mot dataangrep.
- Veileder Digitalsikkerhetsforskriften for drikkevann (mattilsynet.no)
- Direktoratet for samfunnssikkerhet og beredskap (dsb.no)
- Nasjonal sikkerhetsmyndighet (nsm.no)
- Helse- og KommuneCERT (nhn.no)
- Folkehelseinstituttet (fhi.no)
- Nasjonal Sikkerhetsmyndighet - veiledere og håndbøker om sikkerhetsstyring, fysisk sikkerhet, personellsikkerhet og digital sikkerhet. (nsm.no)
- Direktoratet for samfunnssikkerhet og beredskap - veileder her om risiko, sårbarhet og beredskap (dsb.no)
- Norsk Vann (norskvann.no)
- Veiledning for sikkerhet av driftskontrollsystemer for VA-systemer
- Sikkerhetsstyring for vannbransjen
- Informasjonssikkerhet og skybaserte tjenester for vannbransjen
