NIS2 tvingar fram nya regler för smarta byggnader

Smarta byggnader blir allt mer uppkopplade, automatiserade och beroende av digital teknik. Fastighetsautomation, passersystem, ventilation, energistyrning och övervakning kommunicerar kontinuerligt via nätverk, vilket samtidigt skapar nya säkerhetsrisker. Med NIS2 skärps kraven på cybersäkerhet för verksamheter som omfattas av direktivet, och det påverkar även hur digitala system i byggnader behöver hanteras. Fokus flyttas från enskilda tekniska lösningar till ett mer systematiskt säkerhetsarbete där riskbedömning, åtkomstkontroll, incidenthantering och leverantörskedjor får större betydelse. För fastighetsägare och tekniska förvaltare innebär utvecklingen att smarta byggnader inte längre enbart handlar om effektivitet och komfort, utan också om att bygga in cybersäkerhet från grunden.

NIS2 förändrar kraven på säkerheten i smarta byggnader

När allt fler funktioner i en byggnad kopplas samman med digitala nätverk förändras också bilden av vad som krävs för att hålla fastigheten säker. Ventilation, värme, kyla, belysning, passersystem, hissar och energistyrning kan vara beroende av uppkopplade system som i sin tur kommunicerar med externa tjänster. NIS2 utgår från ett riskbaserat säkerhetsarbete där verksamheter som omfattas ska kunna identifiera, förebygga, hantera och återhämta sig från cyberincidenter. Det innebär att säkerheten inte längre kan betraktas som en fråga enbart för IT-avdelningen. Fastighetstekniken blir en del av organisationens samlade cybersäkerhet.

När fastighetsteknik blir en cybersäkerhetsfråga

I en traditionell byggnad kunde tekniska installationer ofta betraktas som separata system. I moderna fastigheter är situationen annorlunda. Ett styrsystem kan vara anslutet till internet för fjärrövervakning, en leverantör kan ha extern åtkomst för service och olika system kan dela information via gemensamma nätverk. Varje sådan koppling kan skapa en ny angreppsyta. Om en angripare får kontroll över ett system kan konsekvenserna därför sträcka sig längre än till förlust av digital information. Driftstörningar kan även påverka fysisk miljö, energiförbrukning och tillgången till viktiga funktioner.

För verksamheter som omfattas av NIS2 innebär detta ett behov av tydligare kontroll över vilka system som används, hur de är anslutna och vilka aktörer som har åtkomst. Kraven omfattar bland annat riskanalys, incidenthantering, kontinuitet, leverantörssäkerhet, sårbarhetshantering och åtkomstkontroll. Även säkerhetsutbildning och grundläggande cybersäkerhet ingår i kraven. Det gör att tekniska installationer behöver ses som en del av verksamhetens samlade informations- och cybersäkerhet, snarare än som isolerad fastighetsutrustning.

Riskbedömning måste omfatta hela systemmiljön

En viktig förändring är att säkerhetsarbetet behöver utgå från riskerna i hela den digitala miljön. För en smart byggnad kan det exempelvis innebära att kartlägga vilka system som styr ventilation, värme och energi, vilka nätverk de använder och vilka leverantörer som kan administrera dem på distans. Även fysisk säkerhet och mänskliga faktorer behöver vägas in. NIS2 betonar ett helhetsperspektiv där åtgärder ska anpassas efter verksamhetens riskexponering och möjliga konsekvenser av en incident.

Det blir därför viktigt att dokumentera systemberoenden och identifiera vilka funktioner som är mest kritiska. En byggnad kan exempelvis fortsätta vara tillgänglig även om ett mindre komfortsystem slutar fungera, medan ett avbrott i ett centralt styrsystem kan påverka stora delar av verksamheten. Riskbedömningen behöver också ta hänsyn till hur snabbt en störning kan upptäckas och hur verksamheten kan fortsätta om den digitala styrningen ligger nere. På så sätt blir cybersäkerheten en del av det ordinarie kontinuitetsarbetet.

Uppkopplade system kräver bättre kontroll och riskhantering

Smarta byggnader består sällan av en enda teknisk plattform. I stället finns ofta en kombination av fastighetsautomation, IoT-enheter, sensorer, servrar, molntjänster och kommunikationslösningar från flera olika leverantörer. Denna komplexitet gör det svårare att veta exakt var en sårbarhet finns. NIS2 ställer krav på att berörda verksamheter arbetar systematiskt med cybersäkerhetsrisker och att säkerhetsåtgärderna står i proportion till riskerna. För fastighetsorganisationer innebär det ett större behov av dokumentation, uppföljning och tydliga ansvarsområden.

Åtkomst och behörigheter behöver ses över

En central fråga är vem som faktiskt kan komma åt de system som styr byggnaden. Leverantörer kan behöva fjärranslutning för felsökning och underhåll, medan interna tekniker behöver olika nivåer av administrativ behörighet. Om gamla användarkonton ligger kvar eller om flera personer delar samma inloggning blir det svårare att kontrollera vem som gjort vad. NIS2 lyfter bland annat fram åtkomstkontroll, personalrelaterad säkerhet och användning av flerfaktorsautentisering där det är lämpligt.

För smarta byggnader innebär det att behörigheter behöver vara tydligt kopplade till arbetsuppgifter. Ett serviceföretag behöver exempelvis inte automatiskt ha samma åtkomst som den interna systemadministratören. Behörigheter bör också kunna stängas av när ett uppdrag avslutas eller när en person byter roll. Loggning och uppföljning kan samtidigt göra det möjligt att upptäcka ovanlig aktivitet. Målet är att minska risken för att ett stulet konto eller en komprometterad fjärranslutning kan användas för att påverka kritiska funktioner i byggnaden.

Säkerhetsarbetet måste fungera även vid incidenter

NIS2 handlar inte bara om att försöka förhindra cyberattacker. Verksamheten ska också kunna hantera incidenter och återhämta sig efter dem. Det innebär att det behöver finnas rutiner för hur organisationen agerar om exempelvis ett styrsystem blir otillgängligt eller om obehöriga får åtkomst till en digital plattform. Kontinuitetsplanering, säkerhetskopiering och återställning är därför viktiga delar av det samlade säkerhetsarbetet.

För en fastighetsägare kan ett sådant arbete bland annat omfatta:

• Identifiera vilka digitala system som är kritiska för byggnadens drift.

• Dokumentera beroenden mellan fastighetsautomation, nätverk och externa tjänster.

• Begränsa administrativ och extern åtkomst till det som verkligen behövs.

• Testa rutiner för återställning efter driftstörningar och cyberincidenter.

• Säkerställa att ansvar och kontaktvägar är tydliga när en incident inträffar.

En incident behöver dessutom kunna rapporteras enligt de tidsramar som gäller för berörda verksamheter. NIS2 anger bland annat att ett tidigt varningsmeddelande ska lämnas utan onödigt dröjsmål och senast inom 24 timmar efter att en betydande incident har uppmärksammats. En mer detaljerad incidentanmälan ska därefter lämnas inom 72 timmar.

Fastighetsägare behöver stärka cybersäkerheten i praktiken

NIS2 påverkar inte bara hur den egna organisationen arbetar. Även relationen till leverantörer blir viktigare när stora delar av en smart byggnads tekniska miljö hanteras av externa företag. Det kan handla om leverantörer av fastighetsautomation, molntjänster, nätverk, säkerhetssystem eller teknisk support. Om en leverantör har bristande säkerhet kan det skapa en väg in till den verksamhet som använder tjänsten. Därför blir säkerheten i leverantörskedjan en viktig del av det förebyggande arbetet.

Leverantörerna blir en del av säkerhetsarbetet

För fastighetsorganisationen innebär det att säkerhetskrav behöver finnas med redan när nya tekniska system upphandlas. Det räcker inte att jämföra funktioner, pris och energiprestanda. Även frågor om autentisering, uppdateringar, sårbarhetshantering, loggning, fjärråtkomst och incidenthantering behöver vägas in. Säkerhetsåtgärder bör också kunna regleras i avtal med leverantörer och tjänsteleverantörer.

Det kan också vara nödvändigt att få bättre överblick över vilka underleverantörer som används. Ett fastighetsbolag kan exempelvis ha avtal med en systemintegratör, som i sin tur använder ytterligare företag för molndrift eller fjärrservice. Ju fler led som finns, desto svårare kan det vara att upptäcka var en sårbarhet uppstår. Ett strukturerat leverantörsarbete bör därför omfatta krav på säkerhet, ansvarsfördelning, rapportering av incidenter och hantering av sårbarheter under hela avtalstiden.

Nya rutiner behöver byggas in i förvaltningen

Cybersäkerhet behöver samtidigt bli en återkommande del av den tekniska förvaltningen. Ett system som var säkert vid installation kan få nya sårbarheter när programvara, nätverk eller externa tjänster förändras. Därför behöver uppdateringar, behörigheter, konfigurationer och säkerhetskontroller följas upp över tid. NIS2 kräver att berörda verksamheter har åtgärder för bland annat säkerhet vid anskaffning, utveckling och underhåll av nätverks- och informationssystem samt rutiner för att bedöma om säkerhetsåtgärderna är effektiva.

Det gör också kompetensen hos personalen viktig. Tekniska förvaltare behöver inte bli cybersäkerhetsspecialister, men de behöver kunna förstå vilka risker som kan uppstå när en styrcentral ansluts till internet, när en leverantör får fjärråtkomst eller när en ny IoT-enhet kopplas in. På samma sätt behöver IT- och säkerhetsfunktioner förstå hur fastighetstekniken påverkar den faktiska verksamheten. När dessa perspektiv kombineras blir det lättare att skapa en säkerhetsmodell som fungerar både digitalt och operativt.

Förändringen handlar därför inte enbart om att införa ytterligare tekniska säkerhetslösningar. Den handlar om att göra cybersäkerhet till en integrerad del av hur smarta byggnader projekteras, upphandlas, installeras och förvaltas. För verksamheter som omfattas av NIS2 behöver ansvar, riskhantering, incidentberedskap och leverantörskontroll kunna fungera tillsammans. Det innebär att fastighetsorganisationen behöver ha kontroll över både sina egna system och de digitala beroenden som byggnaden är uppbyggd kring.