Red teaming i energi og forsyning: beredskab, OT og fredede anlæg

En red team-øvelse hos et elselskab, en gasoperatør eller et fjernvarmeværk foregår ikke i et tomt rum. Virksomheden har allerede regler om beredskab, øvelser, fysisk sikring og underretning om hændelser, og en skjult øvelse kan ramme dem alle. Svaret er at planlægge øvelsen ud fra de regler, I i forvejen er underlagt: hvilke anlæg der fredes, hvem i beredskabsorganisationen der skal kende til øvelsen, og hvordan I undgår, at en øvelse bliver meldt som en rigtig hændelse.

Gengivelsen bygger på reglerne, som de står på retsinformation.dk i oktober 2026. Den er forenklet og er ikke juridisk rådgivning.

Reglerne, øvelsen skal passe ind i

For virksomheder, der er omfattet af lov nr. 258 af 6. marts 2025 om styrket beredskab i energisektoren, er det den lov og ikke NIS 2-loven, der sætter rammen. NIS 2-loven og CER-loven gælder begge ikke for enheder, i det omfang de er omfattet af loven om styrket beredskab. Energistyrelsen har udstedt bekendtgørelse nr. 260 af 6. marts 2025 om modstandsdygtighed og beredskab i energisektoren, som indeholder de detaljerede krav.

Bekendtgørelsen kræver ikke red teaming, og ordet står ikke i den. Den kræver i § 71 en politik for at vurdere, om foranstaltningerne virker, og for at vurdere behovet for tekniske sikkerhedsscanninger og penetrationstests. En red team-øvelse kan være et af svarene på det spørgsmål, men det er jeres egen vurdering, ikke et krav.

Leverandørens side af de samme regler er beskrevet på nis2-pentest.dk. Her handler det om virksomhedens egen øvelse.

Øvelsesplanen og den skjulte øvelse

Bekendtgørelsen har sit eget øvelsesbegreb. Efter § 20 skal virksomheden have en femårig øvelsesplan, der dækker øvelseselementerne i bilag 4, og efter § 21 skal beredskabet øves med faste mellemrum afhængigt af virksomhedens niveau. Ledelsesorganet skal i relevant omfang deltage. Når en øvelse har indeholdt elementer fra bilag 4, skal en evaluering efter § 23 sendes til Energistyrelsen.

Bilag 4 nævner bl.a. krisestyringsorganisationen, modtagelse og håndtering af varsler om cybertrusler, aktivering af it-sikkerhedstjenesten og nødprocedurer for isolering af forsyningskritiske systemer. Flere af dem kan blive afprøvet, hvis blue team opdager holdet og reagerer. Beslut derfor på forhånd, om red team-øvelsen skal indgå i øvelsesplanen, og hvilke elementer den i givet fald dækker. Så ved I også, om der skal skrives en evaluering til myndigheden bagefter. → Beredskabsplanen under en red team-øvelse

White team med koordinatorerne

Bekendtgørelsens § 11 kræver en beredskabskoordinator og en cyberkoordinator, og virksomheder med anlæg i de højeste sikringsklasser skal også have en eller flere sikringskoordinatorer. De tre roller ser hver sin del af det, en øvelse kan berøre: krisestyringen, de digitale systemer og den fysiske sikring.

Det taler for, at mindst én af dem sidder i white team, eller at en af dem orienteres under need to know. Hvem der vælges, afhænger af, om scenariet går gennem bygninger, gennem nettet eller begge. Den, der står uden for, vil reagere som ved en ægte hændelse, og det er en del af det, øvelsen skal måle. → White team

Fredede anlæg og fysisk sikring

Forsyningskritiske systemer, kontrolrum og anlæg, hvorfra forsyningen kan afbrydes, hører til det, der fredes i en skjult øvelse. Flaget kan sættes ved grænsen, så holdet viser, at det kunne være nået frem, uden at røre styringen. → OT og produktion i en red team-øvelse

Den fysiske del kræver særlig omtanke. Efter § 43 skal forsøg på indtrængen på visse lokationer opdages og alarmeres til et døgnbemandet kontrolrum eller en godkendt kontrolcentral. En øvelse, der afprøver adgangen til en transformerstation eller et pumpehus, vil derfor kunne udløse en alarm, en udrykning og måske et opkald til politiet. Det er netop det, der skal afprøves, men vagtselskab, kontrolcentral og white team skal have en aftale om, hvordan øvelsen stoppes sikkert. → Vagtselskab og alarmcentral

Når noget opdages

Energivirksomheder skal efter § 77 underrette Energistyrelsen om væsentlige hændelser. Listen omfatter bl.a. hændelser, hvor der er begrundet mistanke om indbrud, sabotage eller spionage, og hændelser, hvor et systems fortrolighed eller integritet er kompromitteret. En opdaget øvelse kan ligne netop det.

Derfor skal white team kunne bekræfte hurtigt, at en mistænkelig aktivitet er øvelsen. Aftal, hvem der kan spørges, og hvordan svaret gives uden at afsløre øvelsen for flere end nødvendigt. Aftal også, hvad der sker, hvis en melding alligevel er sendt, og drøft med jeres jurister, om myndigheden skal orienteres om øvelsen på forhånd. Samtidig skal holdet stoppe og melde, hvis det støder på spor af en ægte hændelse. → Hændelsesrapportering i øvelsen

Fortrolighed og godkendelser

Loven om styrket beredskab gør i § 26 oplysninger om fysisk sikring og cybersikkerhed fortrolige, når de er væsentlige for driften af virksomheden eller forsyningen. En red team-rapport om vejen til et forsyningskritisk anlæg er et oplagt eksempel. Behandl den derefter, og begræns, hvem der får den fulde version, også når den skal bruges i ledelsen eller deles med en leverandør. → Fortrolighed om øvelsen

Bekendtgørelse nr. 1075 af 27. august 2025 kræver sikkerhedsgodkendelse af personer med visse funktioner og adgange i virksomheder på de højeste niveauer, også når de arbejder for virksomheden gennem en kontrakt. Personer med ledsaget adgang er undtaget for nogle af funktionerne. Om holdets eller white teams arbejde falder ind under reglerne, afhænger af, hvad de får adgang til. Afklar det, før holdet sammensættes.

Det skal I lade være med

At antage, at NIS 2-loven er rammen · loven om styrket beredskab og bekendtgørelsen er de regler, I skal læse.
At lade øvelsen ramme et forsyningskritisk system · flaget sættes før styringen.
At glemme kontrolcentralen · en alarm fra en station kan blive til en udrykning.
At lade en opdaget øvelse blive til en melding om sabotage · white team skal kunne bekræfte hurtigt.
At glemme øvelsesplanen · beslut, om øvelsen tæller som en øvelse efter bekendtgørelsen.

Hvad kan og ikke kan konkluderes

En red team-øvelse kan vise, om en modstander kunne nå tæt på forsyningskritiske anlæg, og om beredskabet opdagede og reagerede. Den viser ikke, at virksomheden overholder loven om styrket beredskab eller bekendtgørelsen, og den erstatter ikke de øvelser, reglerne kræver, medmindre det er afklaret, at den dækker de pågældende elementer.

Tjekliste før en øvelse i energisektoren

☐ Har I afklaret, hvilke regler virksomheden er underlagt?
☐ Er det besluttet, om øvelsen indgår i øvelsesplanen, og hvilke elementer i bilag 4 den dækker?
☐ Er mindst én koordinator med i white team eller orienteret?
☐ Er forsyningskritiske systemer og kontrolrum fredet?
☐ Er kontrolcentral og vagtselskab omfattet af en aftale om sikker afbrydelse?
☐ Er det aftalt, hvordan en opdaget øvelse holdes adskilt fra en underretningspligtig hændelse?
☐ Er krav om sikkerhedsgodkendelse afklaret for holdet?