Forsyningsselskaber skal øve sig på kriser

Træning er afgørende for, at indsatsen virker, når krisen rammer. Ledere og bestyrelsesmedlemmer i de danske forsyningsselskaber kan gøre en reel forskel for Danmarks sikkerhed. Ikke med planer, men med konkret handling i praksis. 

Af partner Morten Bo Rasmussen, Energy, Utilities and Resources, partner William Sharp, Cybersikkerhed og Beredskab og partner Christian Kjær, Cybersikkerhed og Beredskab.

Danmarks forsyningssikkerhed hviler på mennesker, ikke dokumenter. I en tid med stigende spændinger i Europa og nye former for trusler tæt på vores infrastruktur er det afgørende, at forsyningsselskaber ikke blot planlægger, men også øver sig. Det er handlingen bag beredskabet, der i sidste ende gør forskellen. 

Hvad sker der helt konkret, når der ikke er vand i hanen, varme i rørene og strøm i stikkontakten? Hvem tager lederskabet og ansvaret? Har nogen overhovedet trænet håndteringen af en sådan situation?  

Disse spørgsmål vedrører alle danskere, men hvis du er medarbejder, leder, bestyrelsesmedlem eller på anden vis tilknyttet et forsyningsselskab, har du en særlig mulighed for at gøre en forskel for Danmarks sikkerhed. Fejl eller driftsstop inden for varme, el, gas, vand, spildevand mm. kan nemlig få vidtrækkende og alvorlige konsekvenser for samfundet som helhed. 

Bak op om skærpede krav

I oktober udsendte Miljøministeriet skærpede opfordringer til at styrke cybersikkerheden på Danmarks 2.600 decentrale vandværker samt nye regler for de 100 største vandforsyninger, der dækker 65 % af den danske vandforsyning. Baggrunden er et stadig mere alvorligt trusselsbilledet. Vi har selv kendskab til hændelser i nærheden af danske forsyningsselskaber med elementer af konkret risiko, og det er derfor afgørende at bakke op om myndighedernes skærpede krav. 

For forsyningsselskaber, som for alle andre, er der en væsentlig forskel på at have en plan og på faktisk at kunne handle hurtigt og effektivt, når en krise opstår. Effektiv krisehåndtering kræver, at medarbejdere kender deres rolle og ved, hvad de skal gøre. En plan giver først reel tryghed, når den er omsat til praksis. Derfor er det vigtigt, at beredskabsplaner ikke blot ligger i skuffen, men løbende bliver afprøvet og justeret gennem øvelser. 

Se på helheden og forstå sammenhænge

Et nøgleproblem er, at mange organisationer har en tydelig opdeling mellem fx operationel it og forretningen, når det gælder beredskab og risikostyring. I praksis hænger de to områder imidlertid tæt sammen, og det er vigtigt at se på helheden for at forstå sammenhængene. Når en teknisk komponent svigter, kan det få konsekvenser andre steder i organisationen. Hvilke kritiske systemer, leverandører, kunder og processer bliver påvirket, og hvordan kan vi bedst minimere risikoen? 

Den konkrete træning – f.eks. at man simulerer sabotage af et vandværk – bør inddrage både leverandører og kunder, så man får et klart billede af, hvilke konsekvenser der rammer hvem og hvornår. Virkelighedens krise vil naturligvis aldrig være identisk med den simulerede, men ved at øve os, bliver Danmark og danskerne rustet til at håndtere det uforudsete.   

Lovens bogstav er ikke nok

Rammeværker for ledelser – i dette tilfælde NIS2 og CER - stiller lovgivningsmæssige krav til god sikkerhedspraksis. Men det er ikke nok at fokusere på at overholde lovgivningen for at sætte et flueben på tjeklisten. Virksomheder i energi- og forsyningssektoren – herunder ledere, bestyrelsesmedlemmer og medarbejdere - skal gå forrest og efterspørge og gennemføre øvelser, så de er forberedte, når krisen opstår. 

I forsyningssektoren ligger fordelen ved en decentral struktur i, at hele landet ikke kan lammes fra ét enkelt punkt. Omvendt medfører mange små enheder, at ressourcerne og kompetencen til at følge med i udviklingen på beredskabsområdet, øve sig og teste løsninger bliver mere begrænsede.  Samtidig øges afhængigheden af enkeltpersoner. 

Vi lever i en tid, hvor vi især inden for energi og forsyning må erkende, at fokus skal rettes mod det mest grundlæggende: forsyningssikkerheden. Den står nu under pres, og vi kan ikke længere tage den fysiske sikkerhed for givet.  

Det kræver, at mennesker kan handle effektivt i praksis – når situationen opstår.