Elbusser tilfredsstiller bestemmelser om cybersikkerhet
Elbusser tilfredsstiller i det store og hele aktuelle bestemmelser når det gjelder cybersikkerhet, men det er rom for forbedringer.
Dette er konklusjonen i en undersøkelse som Movia, trafikkselskapet i Stor-København, har fått revisjonsselskapet EY til å gjennomføre. Dette skjer delvis på bakgrunn av en undersøkelse Ruter i Oslo har gjennomført med blant annet en elbuss fra Kinesiske Yutong for å avsløre mulige risikomomenter når det gjelder cybersikkerhet, hacking og forholdet til fremmede makter.
Movia har undersøkt risikoen ved moderne, tilkoblede elektriske busser. Nye busser oppfyller relevante standarder, og ingen spesiell risiko er dokumentert hos kinesiske produsenter. Samtidig ønsker Movia å styrke styringen av cybersikkerheten i forbindelse med drift og vedlikehold av bussene.
Basert på en anbefaling fra Styrelsen for Samfundssikkerhed (SAMSIK) har Movia engasjert revisjonsselskapet EY til å gjennomføre en samlet risikovurdering av cybersikkerheten til de elektriske bussene som betjener Movias bussruter. Vurderingen inkluderer elektriske busser fra sju bussprodusenter, inkludert de kinesiske bussprodusentene, som leverer elektriske busser til Movias operatører. Vurderingen viser at den eksisterende lovreguleringen av cybersikkerhet i elektriske busser er relevant og tilstrekkelig. Men det er en forskjell i hvor modent bussprodusentene arbeider med cybersikkerhet. Med i undersøkelsen er busser fra de kinesiske produsentene Yutong, Golden Dragon og BYD, samt de europeiske leverandørene MAN, Daimler Buses, Ebusco og VDL.
– Risikovurderingen viser at det ikke finnes noe grunnlag for å betrakte kinesiske busser som mindre cybersikre enn busser fra andre produsenter. Vi har mottatt anbefalinger om hvordan Movia kan styrke cybersikkerheten ytterligere når bussene er satt i drift. Vi vil nå følge opp disse, sier Jeppe Gaard, trafikkdirektør i Movia.
Bussene blir stadig mer avanserte og har flere sjåførstøttesystemer. Samtidig er kontraktene lange og derfor kreves kontinuerlig oppmerksomhet for å opprettholde god cybersikkerhet gjennom hele bussens levetid. Dette ønsker Movia å sikre.
Movia øker styringen av cybersikkerhet
Risikovurderingen gir Movia et konkret grunnlag for å styrke forvaltningen av cybersikkerhet. Movia vil omsette anbefalingene til konkrete krav både i eksisterende kontrakter og fremtidige anbud.
Disse inkluderer:
- At Movia i fremtiden vil kreve at operatørens leverandører følger beste praksis i arbeidet med cybersikkerhet, samt bedre dokumentasjon av cybersikkerhetsarbeidet.
- Større åpenhet rundt fjerntilgang og programvareoppdateringer.
- Rask varsling om sikkerhetshendelser og regulatoriske varsler.
- Klare prosedyrer for eskalering hvis risikonivået endres.
- Muligheten til å begrense eller deaktivere tilkoblede funksjoner der det er teknisk mulig, lovlig og proporsjonalt – for eksempel å fjerne bussens SIM-kort.
Movia som trafikkselskap eier ikke bussene eller operatørenes systemer, men ønsker å sette klare krav til operatører og leverandører og sikrer nødvendig informasjon og dokumentasjon.
Om Movia
Movia er Danmarks største trafikkselskap. Årlig fraktes ca. 175 millioner passasjerer i busser, lokaltog og flextrafikk. Selskapet har som mål at mer enn 90 prosent av ca. 1.100 busser i trafikkselskapets område skal kjøre elektrisk i 2030 og resterende i andre former for fossilfritt.
Movia eies av 45 kommuner og to regioner på Sjælland.