Новите правила за киберсигурност на американската електроенергийна инфраструктура създават допълнителни задължения за операторите на соларни и вятърни паркове, системи за съхранение на енергия и други обекти с ниско въздействие върху електроенергийната система. Основното предизвикателство не е само контролът на отдалечения достъп, а доказването, че процедурите са били спазвани през целия период, обхванат от проверките.

Три задължителни механизма за контрол на достъпа

Стандартът NERC CIP-003-9, одобрен от Федералната комисия за енергийно регулиране на САЩ (FERC), въвежда изисквания за управление на риска, свързан с електронния отдалечен достъп на външни доставчици до определени киберсистеми на електроенергийната инфраструктура. Изискванията влизат в сила на 1 април 2026 г. и се отнасят до обекти, които попадат в обхвата на стандарта и позволяват такъв достъп.

Съгласно раздел 6 от Приложение 1 организациите трябва да разполагат с процедури, които осигуряват три основни възможности:

• Идентифициране на отдалечения достъп – установяване кога и по какъв начин доставчици могат да се свързват със системите.
• Прекратяване на достъпа – наличие на работещ механизъм за деактивиране на съответната връзка.
• Откриване на подозрителни комуникации – установяване на известни или предполагаеми злонамерени комуникации, свързани с отдалечения достъп.

Тези мерки са от значение за системи като контролери, SCADA платформи и комуникационна инфраструктура, чието компрометиране би могло да засегне работата на електроенергийната система.

Рискът не се ограничава до преките служители на енергийното дружество. Производителите на оборудване, външните технически специалисти и изпълнителите по експлоатация и поддръжка могат да разполагат с привилегирован достъп до оперативни системи. Ако този достъп не е добре управляван, той може да се превърне в канал за неоторизирани действия или за придвижване на атакуващ към критични компоненти.

Документацията е също толкова важна, колкото техническите мерки

Анализ на компанията Centrii обръща внимание на един по-малко видим проблем: организациите може да имат работещи процедури, но да не разполагат с достатъчно доказателства, че те са били изпълнявани последователно.

Стандартът предвижда съхраняване на доказателства за изпълнение на изискванията в продължение на три календарни години. В същото време проверките на изискванията за системи с ниско въздействие могат да обхванат период до шест години. В определени случаи проверяващите могат да поискат допълнителни доказателства за съответствие през целия разглеждан период.

Това създава практическо затруднение за организациите, които управляват множество енергийни обекти. Документите за предварително одобрение на достъпа може да се намират в електронната поща, регистрационните записи – в платформите за отдалечена поддръжка на производителите, а правомощията за прекратяване на връзката – при външен оператор или изпълнител по поддръжката.

При смяна на доставчик, оператор или мениджър на активи историческите записи може да не бъдат предадени заедно с останалата документация. Отговорността за съответствието обаче остава на регистрираното пред NERC юридическо лице, дори когато ежедневната експлоатация е възложена на външен изпълнител.

Сред примерите за доказателства, посочени в анализа, са предварителните одобрения за достъп, известията при влизане на доставчик, наблюдението и записването на сесиите и системните журнали.

Писмената процедура показва какво организацията възнамерява да прави. Регистрационните записи показват дали действително го е правила. Именно разликата между тези две неща може да се окаже решаваща при проверка.

Кои енергийни обекти попадат в обхвата

NERC класифицира киберсистемите на електроенергийната система по категории с високо, средно или ниско въздействие. Категорията зависи от потенциалните последствия за Bulk Electric System (BES), а не просто от размера или вида на съоръжението.

Според анализа на Centrii много разпределени обекти за производство на възобновяема енергия и съхранение попадат в категорията с ниско въздействие, когато отговарят на съответните критерии. Това може да включва системи за управление на инвертори, SCADA компоненти и комуникации, които могат да повлияят на BES.

При производството прагът за средно въздействие започва от 1500 MW в рамките на едно електрическо обединение. Това не означава, че всички по-малки обекти автоматично попадат под NERC CIP-003-9: приложимостта зависи от регистрираното юридическо лице, неговата функция, конкретното съоръжение и засегнатите системи. Центровете за управление, които обслужват няколко съоръжения, могат да имат различен профил на въздействие.

Допълнителен фактор е регистрацията на инверторно базирани енергийни ресурси с мощност 20 MVA или повече, свързани към мрежа с напрежение 60 kV или по-високо. Според публикацията на Centrii срокът за регистрация като категория 2 е бил 15 май 2026 г., което е включило нови обекти в програмата за съответствие.

Отговорността остава при регистрирания оператор

NERC и регионалните организации следят за изпълнението на стандартите чрез проверки и процедури за налагане на санкции. CIP-003-9 изисква определяне на старши отговорник за NERC CIP съгласно изискване R3. Екипите по информационна сигурност обикновено подпомагат този отговорник, като осигуряват необходимите технически и документални доказателства.

При портфейли от множество соларни, вятърни и акумулаторни обекти управлението на риска често е разпределено между собственика, оператора, доставчика на оборудване и изпълнителя по поддръжката. Това може да създаде неяснота кой одобрява връзката, кой следи сесията, кой може да прекрати достъпа и кой съхранява историята.

Centrii препоръчва за всеки канал за отдалечен достъп да има ясно определени отговорни лица и еднозначно място за съхранение на доказателствата. Организациите трябва да могат да установят не само кой е разрешил достъпа, но и какво се е случило по време на сесията и дали връзката е била прекратена при необходимост.

Финансовият риск и подготовката за одит

Според Centrii максималният размер на гражданската санкция, която FERC може да наложи по раздел 316A от Federal Power Act, е бил коригиран за 2025 г. до 1 584 648 долара за нарушение на ден. Това е максимален размер, а не автоматична санкция при всяко несъответствие. Реалните наказания зависят от фактори като риска за електроенергийната система, продължителността на нарушението, вътрешните контроли и историята на съответствие.

Установеното нарушение може да доведе и до план за коригиращи действия, чието изпълнение трябва да бъде удостоверено. Така разходите не се изчерпват с евентуалната глоба: организациите могат да понесат значителни разходи за възстановяване на исторически записи, вътрешни проверки и координация между изпълнителите.

За операторите на енергийни активи практическата задача е да проверят дали за всеки обект могат да отговорят на няколко основни въпроса: кога доставчикът е имал достъп, кой го е одобрил, кой може да го прекрати, къде се пазят журналите и как ще бъдат възстановени доказателствата за най-ранния период, който може да бъде проверен.

Ако отговорите зависят от конкретен служител или външен изпълнител, без установен процес за предаване и съхранение на информацията, организацията може да се окаже неподготвена за одит дори когато техническите контроли са били приложени.

В контекста на нарастващия интерес към възобновяемата енергия и системите за съхранение, контролът върху външния достъп вече е едновременно технически, регулаторен и финансов въпрос. Спазването на NERC CIP-003-9 изисква не просто налични процедури, а проследим процес, който може да бъде доказан във времето.