Omslagsfoto: Johan Fowelin. Foton, illustrationer och kartor har tagits fram av. Svenska kraftnät. Org.Nr 202 100-4284

Vägledning för risk- och sårbarhetsanalyser för elsektorn 2014-02-27

Omslagsfoto: Johan Fowelin Foton, illustrationer och kartor har tagits fram av Svenska kraftnät. Org.Nr 202 100-4284 Svenska kraftnät Box 1200 172 24 Sundbyberg Sturegatan 1 Tel 08 475 80 00 Fax 08 475 89 50 www.svk.se

Förord En fungerande elförsörjning är en förutsättning för att samhället ska fungera. Alla aktörer inom elförsörjningen behöver därför ha en robust och störningstålig verksamhet. Risk- och sårbarhetsanalyser är ett systematiskt arbetssätt för att analysera risker och sårbarheter i den egna verksamheten. Utifrån detta underlag kan åtgärder sedan identifieras och prioriteras. På så sätt skapas underlag för information till den egna verksamheten och till berörda intressenter. Slutmålet är att öka den egna verksamhetens förmåga att förebygga, motstå och hantera störningar och därmed göra Sveriges elförsörjning mer robust. För att ge stöd till elnätsföretags, elproduktionsföretags och elhandelsföretags arbete med risk- och sårbarhetsanalysen har Svensk Energi och Svenska kraftnät uppdaterat den vägledning för elnätsföretag som togs fram 2010. Vi hoppas och tror att denna vägledning ska utgöra stöd till aktörerna i elbranschen vid upprättandet av risk- och sårbarhetsanalyser. Vägledningen omfattar kraven i såväl ellagen som elberedskapslagen. Vägledning för risk- och sårbarhetsanalyser för elsektorn publicerades i februari 2014. En ny utgåva är planerad till årsskiftet 2014/2015. Svenska kraftnät och Svensk Energi uppmanar därför elsektorns aktörer att lämna synpunkter på förbättringar inför denna revidering. Synpunkter och förslag kan mailas till rsavagledning@svk.se Vi hoppas att vägledningen ska vara ett bra stöd i arbetet med risk- och sårbarhetsanalyser. Sundbyberg, februari 2014 Svenska kraftnät Sundbyberg, februari 2014 Svensk Energi Mikael Odenberg Generaldirektör Kjell Jansson Verkställande direktör

INNEHÅLL Sammanfattning 5 1. Inledning 7 1.1 Syfte 7 1.2 Målgrupp 8 1.3 Utgångspunkt 8 1.4 Disposition och läsanvisningar 8 1.5 Formella krav på risk- och sårbarhetsanalyser 9 1.5.1 Ellagen 9 1.5.2 Elberedskapslagen 9 1.5.3 Energimarknadsinspektionensföreskrifter 9 1.5.4 Svenska kraftnäts föreskrifter 10 1.6 Risk- och sårbarhets analyser på olika samhällsnivåer 10 1.7 Helhetssyn i säkerhetsarbetet 11 3.2.1 Riskidentifiering 24 3.2.2 Riskanalys 27 3.2.3 Riskutvärdering 28 3.2.4 Sårbarhetsanalys 29 3.2.5 Åtgärdslista 30 3.3 Rapporteringsfas 32 3.3.1 Dokumentation av riskoch sårbarhetsanalyser 32 3.3.2 Intern rapportering 32 3.3.3 Rapportering till Energimarknadsinspektionen (för elnätsföretag) 33 3.3.4 Uppgiftslämnande till Svenska kraftnät 33 4. Förvaltning och utveckling av risk- och sårbarhetsanalysarbetet 35 5. SekretESS 37 6. Termer och begrepp 39 2. Risk- och sårbarhetsanalyser i elsektorn 13 7 Referenslista 43 2.1 Utgångspunkt i risk- och sårbarhetsanalyser 13 2.2 Riskkällor av exceptionell karaktär 15 3. Process för upprättande av risk- och sårbarhetsanalys 17 3.1 Förberedelsefas 18 3.1.1 Syfte, mål omfattning och avgränsningar 18 3.1.2 Riskkriterier 19 3.1.3 Processledare och arbetsgrupp 21 3.1.4 Kartläggning av nuläget 22 3.1.5 Identifiering av funktioner/processer som alltid måste fungera 22 Bilagor - finns i separat dokument Bilaga 1. metodbeskrivningar Bilaga 2. att arbeta med scenarier BILAga 3. exempelmall rsa-rapport

Sammanfattning 5 Elnätsföretag, elproduktionsföretag och elhandelsföretag ska årligen genomföra risk- och sårbarhetsanalyser. Detta arbete har tre huvudsakliga syften: 1. Främja/skapa robustare elförsörjning genom färre och lindrigare störningar. 2. Skapa egennytta för verksamheterna i form av underlag för planering och beslut, information till den egna organisationen och externa intressenter samt utgöra en grundläggande komponent i det systematiska säkerhetsarbetet. 3. Ge en samlad riskbild för elsektorn som helhet. Vägledning för risk- och sårbarhetsanalyser för elsektorn syftar till att ge stöd till aktörer i elbranschen i arbetet med att upprätta risk- och sårbarhetsanalyser och tillhörande åtgärdsplaner. Vägledningen beskriver hur risk- och sårbarhetsanalyser är en av flera komponenter i organisationens systematiska säkerhetsarbete samt hur arbetet med risk- och sårbarhetsanalyser bedrivs på alla samhällsnivåer. Vägledningen beskriver också de specifika krav och regleringar som finns på företag i elsektorn gällande upprättandet av risk- och sårbarhetsanalyser. Fokus i vägledningen är att beskriva en arbetsprocess för risk- och sårbarhetsanalyser, indelad i förberedelsefas, analysfas och rapporteringsfas. Förberedelsefasen inkluderar formulering av syfte, mål, omfattning och avgränsningar, definition och beslut kring riskkriterier, beslut kring processledare och arbetsgrupp, kartläggning av nuläget samt identifiering av funktioner/verksamheter som alltid måste fungera. Analysfasen inkluderar riskidentifiering, riskanalys, riskutvärdering, sårbarhetsanalys och åtgärdsplan. Rapporteringsfasen innehåller vägledning för hur rapportering till Energimarknadsinspektionen samt hur uppgiftslämnande till Svenska kraftnät ska ske.

6

1. Inledning 7 Kunskap och medvetenhet om de risker och sårbarheter som varje organisation står inför ökar möjligheterna att identifiera och genomföra lämpliga åtgärder. Genom ett systematiskt risk- och säkerhetsarbete ökar denna kunskap och medvetenhet och därmed möjligheterna att driva en robust verksamhet med så få och små störningar som möjligt. I detta arbete är risk- och sårbarhetsanalyser en viktig komponent. Denna vägledning syftar till att ge stöd till organisationer i elbranschen i arbetet med upprättandet av risk- och sårbarhetsanalyser. Elnätsföretag, elproduktionsföretag och elhandelsföretag ska samtliga upprätta risk- och sårbarhetsanalyser. Elnätsföretagen har sedan 2006 reglerats av ellagen och sedan 2012 anger elberedskapslagen skyldigheter att upprätta risk- och sårbarhetsanalyser för samtliga aktörer i elsektorn. På grund av dessa förändrade förutsättningar har Svensk Energi och Svenska kraftnät genomfört en uppdatering av den vägledning för risk- och sårbarhetsanalyser som togs fram 2010. Uppdateringen syftar främst till att utöka vägledningen till att också omfatta kraven på risk- och sårbarhetsanalys enligt elberedskapslagen och utöka målgruppen till att också omfatta elproduktionsföretag och elhandelsföretag. Vägledningen omfattar därmed såväl kraven på elnätsföretag enligt ellagen 1. Konferenser till vilka representanter från hela elsektorn bjuds in för att diskutera olika teman. Konferenserna hölls 2013 i Helsingborg, Göteborg och Stockholm och temat var bland annat risk- och sårbarhetsanalyser. Representanter från elnätsföretag har varit i majoritet vid dessa konferenser. som kraven på elnätsföretag, elproduktionsföretag och elhandelsföretag enligt elberedskapslagen. Vägledningen är framtagen av Svensk Energi och Svenska kraftnät. En referensgrupp med representanter från hela elsektorn (produktion, distribution och handel) samt Energimarknadsinspektionen och Energimyndigheten har löpande inkommit med synpunkter och ingångsvärden till arbetet. Vidare har representanter från elsektorn fått lämna synpunkter genom Kraftsamling 2013 1. 1.1 Syfte Syftet med denna vägledning är att ge stöd till aktörer i elbranschen vid upprättandet av risk- och sårbarhetsanalyser och tillhörande åtgärdsplaner. Stödet omfattar förberedelsearbete, analysarbete samt rapportering till Energimarknadsinspektionen och uppgiftslämnande till Svenska kraftnät. I vägledningen återfinns exempel och mallar samt råd för hur resultatet från arbetet med riskoch sårbarhetsanalyser kan användas och skapa nytta i den egna organisationen. Vägledningen följer de regleringar och föreskrifter som finns, vilket innebär att elbranschens aktörer, genom att arbeta enligt den process som föreslås i vägledningen, uppfyller de krav på risk- och sårbarhetsanalys som ställs i olika regleringar. Vägledningen är inte styrande eller reglerande, utan ska ses som ett stöd i arbetet med att upprätta risk- och sårbarhetsanalyser. De tips och uppslag som ges i vägledningen kan användas på det sätt

8 som passar den egna organisationens specifika förutsättningar. 1.2 Målgrupp Primär målgrupp för vägledningen är personer som är ansvariga för risk- och sårbarhetsanalyser på elnätsföretag, elhandelsföretag och elproduktionsföretag. 1.3 Utgångspunkt Vägledning för risk- och sårbarhetsanalyser för elsektorn är en uppdatering av Svensk Energis vägledning från 2010 2. Uppdateringen syftar till att ta hänsyn till de förändrade förutsättningarna och kraven gällande risk- och sårbarhetsanalyser i elsektorn. Även Myndigheten för samhällsskydd och beredskaps (MSB:s) Vägledning för risk- och sårbarhetsanalyser 3 har använts som referensdokument. I den vägledningen ges en översiktlig bild av hur statliga myndigheter, kommuner och landsting kan arbeta med risk- och sårbarhetsanalys. Denna handledning är tänkt att ge motsvarande stöd till aktörer inom elsektorn. För de delar av en risk- och sårbarhetsanalys som korrelerar med riskhanteringsprocessen har den internationella standarden för detta använts som utgångspunkt; ISO 31000. Exempel på metoder och arbetssätt har hämtats från det vägledande dokumentet ISO 31010. Andra exempel på dokument och handböcker som använts som referensdokument till denna vägledning är: 2. 3. 4. > > Riskanalysmetod lokalnät - kartläggning och reduktion av risker i elnät (Elforsk rapport 07:58). > > FOI:s modell för risk- och sårbarhetsanalys (FORSA), > > Handbok för riskanalys, Räddningsverket. >PAS > 55 4.. Risk- och sårbarhetsanalyser för elnät vägledning för elnätsföretag, Svensk Energi (2010) Vägledning för Risk- och sårbarhetsanalyser, MSB 2011 Under 2014 ersattes PAS 55 av ISO 55000. 1.4 Disposition och läsanvisningar Vägledning för risk- och sårbarhetsanalyser för elsektorn består av sju kapitel och tre bilagor. Nedan presenteras det övergripande innehållet i respektive kapitel. Kapitel 1 Inledning: I detta kapitel presenteras bakgrund, syfte och mål med vägledningen. I kapitlet beskrivs också formella krav på risk- och sårbarhetsanalyser samt risk- och sårbarhetsanalyser på alla samhällsnivåer. Avslutningsvis beskrivs att risk- och sårbarhetsanalyser inte bör genomföras som en separat process utan inkluderas i organisationens löpande risk- och säkerhetsarbete för att effektivisera arbetet och därmed skapa synergier. Kapitel 2 Risk- och sårbarhetsanalyser i elsektorn: Här beskrivs syftet med upprättandet av riskoch sårbarhetsanalyser i elsektorn. I kapitlet förs också ett resonemang kring utgångspunkten i dessa risk- och sårbarhetsanalyser utifrån de krav och allmänna råd som anges i Energimarknadsinspektionens och Svenska kraftnäts föreskrifter. Kapitlet avslutas med en beskrivning av hur dokumentationen av risk- och sårbarheter kan genomföras. Kapitel 3 Process för upprättande av risk- och sårbarhetsanalys: Detta kapitel beskriver en process för hur risk- och sårbarhetsanalyser kan upprättas, indelat i förberedelsefas, analysfas och rapporteringsfas. Kapitlet består dels av avsnitt som är gemensamma för samtliga aktörer och dels av målgruppsspecifik information, såsom exempel och mallar. De målgruppsspecifika avsnitten presenteras i färgade rutor; grå för elnätsföretag, blå för elproduktionsföretag och svart för elhandelsföretag. De exempel som anges i vägledningen är endast förenklade exempel och syftar till att fungera som stöd i metod och tankesätt. De ska inte användas som direkta ingångsvärden i aktörernas risk- och sårbarhetsanalyser. Kapitel 4 Förvaltning och utveckling: Detta kapitel beskriver hur arbetet med risk- och sårbarhetsanalyser kan bidra till att skapa en robust organisation med så få störningar som möjligt. Detta sker bland annat genom att resultatet från risk- och sårbarhetsanalyserna används, tillsammans med resultatet av andra riskanalyser, som beslutsunderlag för att rikta insatser mot prioriterade områden. Arbetet inkluderar också utbildning, övning och granskning av genomförda analyser.

9 Kapitel 5 Sekretess: Detta kapitel behandlar sekretessfrågan. Innehållet i risk- och sårbarhetsanalyserna kan vara av skyddsvärd karaktär. Det är därför viktigt att ta hänsyn till behovet av att skydda vissa uppgifter både i den interna hanteringen och när information lämnas till externa intressenter. Kapitel 6 Termer och begrepp: Här redovisas definitioner av termer och begrepp som används i vägledningen. Kapitel 7 Referenslista: Här listas lagar, förordningar och föreskrifter, standarder samt vägledningar och handböcker som berörs i vägledningen. Bilagorna finns i ett separat dokument. Bilaga 1 innehåller detaljerade metodbeskrivningar för de metoder som nämns i vägledningen. Bilaga 2 innehåller information om hur man kan arbeta med scenarier, något som lämpar sig väl vid en risk- och sårbarhetsanalys. Bilaga 3 innehåller en exempelmall för hur en risk- och sårbarhetsanalys kan dokumenteras. 1.5 Formella krav på riskoch sårbarhetsanalyser Aktörerna i elbranschen är reglerade av ett antal lagar, förordningar och föreskrifter. Nedan presenteras de mest centrala för arbetet med risk- och sårbarhetsanalyser. 1.5.1 Ellagen Enligt ellagen 5 ska de elnätsföretag som bedriver nätverksamhet med stöd av nätkoncession för linje med en spänning som understiger 220 kilovolt eller nätkoncession för område upprätta en risk- och sårbarhetsanalys avseende leveranssäkerheten i det egna elnätet. Med utgångspunkt från resultatet av analysen ska en åtgärdsplan som visar på hur leveranssäkerheten ska förbättras upprättas. En redovisning baserad på risk- och sårbarhetsanalysen och åtgärdsplanen ska årligen lämnas till Energimarknadsinspektionen. 1.5.2 Elberedskapslagen Den 1 juli 2012 reviderades elberedskapslagen 6 med ett antal nya skyldigheter för företag inom elsek- 5. 6. 7. Ellag (1997:857) Elberedskapslag (1997:288) EIFS 2013:3 torn. Ett av de nya kraven är att aktörer som bedriver produktion av el, handel med el eller överföring av el ska upprätta risk- och sårbarhetsanalyser avseende säkerheten i den egna verksamheten. Kravet innebär också att aktörerna ska lämna de uppgifter till elberedskapsmyndigheten, Svenska kraftnät, som myndigheten behöver för att kunna upprätta en nationell risk- och sårbarhetsanalys för elsektorn. 1.5.3 Energimarknadsinspektionens föreskrifter Energimarknadsinspektionens föreskrifter och allmänna råd om risk- och sårbarhetsanalyser och åtgärdsplaner avseende leveranssäkerheten i elnäten 7 gäller för innehavare av nätkoncession för linje med en spänning som understiger 220 kilovolt och innehavare av nätkoncession för området. Enligt föreskrifterna ska dessa aktörer upprätta riskoch sårbarhetsanalyser som innehåller följande information: > > Kartläggning av nuläget. > > Identifiering av riskkällor. > > Uppskattning av risker och sårbarhet. > > Identifiering och prioritering av åtgärder som leder till minskad risk och sårbarhet. Endast riskkällor som är av exceptionell karaktär och som inte omfattas av nätkoncessionsinnehavarens kontrollansvar får undantas från analysen. Upprättade risk- och sårbarhetsanalyser ska dokumenteras och rapporteras till Energimarknadsinspektionen. Redovisning ska ske årligen och de redovisade uppgifterna ska baseras på en risk- och sårbarhetsanalys och åtgärdsplan som inte är äldre än 1 år. Förutom att risk- och sårbarhetsanalysen ska ge koncessionshavaren vetskap om brister som kan leda till leveransavbrott och kunskap om hur dessa kan åtgärdas, ska analysen även utgöra underlag för kundinformation samt underlag till Energimarknadsinspektionen. Energimarknasinspektionen använder underlaget som en delmängd för att identifiera de nätföretag som särskilt bör granskas avseende leveranssäkerhet och för att bedöma koncessionshavarens leveranssäkerhetsarbete vid en granskning.

10 1.5.4 Svenska kraftnäts föreskrifter Mot bakgrund av de nya kraven i elberedskapslagen har Svenska kraftnät tagit fram föreskrifter och allmänna råd om elberedskap. Föreskrifterna trädde i kraft den 1 september 2013. I Svenska kraftnäts föreskrifter och allmänna råd om elberedskap 8 ges närmare bestämmelser om skyldigheterna i elberedskapslagen, vilka bland annat omfattar risk- och sårbarhetsanalys samt uppgiftslämnande till Svenska kraftnät för den som bedriver produktion av el, handel med el eller sådan överföring av el som sker med stöd av nätkoncession. Denna vägledning behandlar endast skyldigheter kopplat till risk- och sårbarhetsanalys, och under 2014 ska Svenska kraftnät ta fram en övergripande vägledning kopplat till hela elberedskapsföreskriften. Arbetet med risk- och sårbarhetsanalyser ska enligt föreskrifterna genomföras årligen och omfattas av att systematiskt identifiera, analysera och dokumentera riskkällor som kan påverka säkerheten i den egna verksamheten. I arbetet ingår också att bedöma hur sårbar verksamheten är mot dessa riskkällor, samt att föreslå åtgärder med anledning av resultatet av analysen. Riskkällor som är av mycket ovanlig eller exceptionell karaktär ska inte undantas. Den egna verksamhetens beroenden av andra verksamheter ska också beaktas i analysen. I Svenska kraftnäts föreskrift anges som allmänt råd att risk- och sårbarhetsanalysen kan omfatta följande moment: 8. 9. 10. 11. > > Identifiering av funktioner/verksamheter som alltid måste fungera för att en störning inte ska uppstå (se avsnitt 3.1.5). > > Identifiering av riskkällor som kan påverka/ hota dessa funktioner/verksamheter (se avsnitt 3.2.1). > > Riskanalys för att bedöma sannolikhet och konsekvens (se avsnitt 3.2.2). > > Riskutvärdering för att bedöma vilka av de identifierade riskkällorna som ska behandlas vidare, vilka åtgärder som ska vidtas för identifierade risker o.s.v. (se avsnitt 3.2.3). SvKFS 2013:2 Förordning om krisberedskap och höjd beredskap (2006:942) Förordning med länsstyrelseinstruktion (2007:825) Lag (2006:544) om kommuners och landstings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap > > Bedömning av förmåga att motstå och hantera identifierade riskkällor, inklusive identifiering av kritiska beroenden (se avsnitt 3.2.4). > > Riskbehandling genom identifiering och prioritering av åtgärder med anledning av analysens resultat (se avsnitt 3.2.5). Förutom att risk- och sårbarhetsanalysen ska ge företaget underlag för identifiering och prioritering av åtgärder för en robustare verksamhet ska resultatet av risk- och sårbarhetsanalysen kunna användas som underlag för uppgiftslämnande till Svenska kraftnät. Uppgifterna används av Svenska kraftnät för att sammanställa en nationell risk- och sårbarhetsanalys för elsektorn, vilken sedan utgör underlag för inriktning av elberedskapsåtgärder. Uppgifter ska endast lämnas till Svenska kraftnät på begäran. 1.6 Risk- och sårbarhets analyser på olika samhällsnivåer Det övergripande syftet med risk- och sårbarhetsanalyser är att minska sårbarheten i samhället och att öka förmågan att hantera kriser. Detta är viktigt på alla samhällsnivåer och därför ska såväl statliga myndigheter som kommuner och landsting genomföra risk- och sårbarhetsanalyser. Statliga myndigheter har varit ålagda att göra detta sedan 2002 medan kommuner och landsting kravställdes 2006. Enligt Förordning om krisberedskap och höjd beredskap 9 ska samtliga myndigheter, såväl nationella som regionala, årligen ta fram risk- och sårbarhetsanalyser. De myndigheter som har ett särskilt ansvar för krisberedskapen enligt 11 och de myndigheter som MSB beslutar i enskilda fall, ska årligen lämna en redovisning baserad på analysen till Regeringskansliet och MSB. För Svenska kraftnäts del innebär detta att verket årligen ska ta fram en nationell risk- och sårbarhetsanalys som både omfattar egen verksamhet och elsektorn. Länsstyrelserna ska stödja de aktörer som är ansvariga för krisberedskapen i länet avseende riskoch sårbarhetsanalyserna. Dessutom ska de själva upprätta regionala risk- och sårbarhetsanalyser 10. Enligt lagen om kommuners och landstings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap (LEH) 11 ska också

11 kommuner och landsting genomföra risk- och sårbarhetsanalyser. Kommuner och landsting ska redovisa en risk- och sårbarhetsanalys under mandatperiodens första år, och under mellanåren ska en uppföljning av risk- och sårbarhetsanalysen redovisas. Kommunerna rapporterar till länsstyrelsen och landstingen rapporterar till Socialstyrelsen med kopia till MSB. Både kommuner och länsstyrelser kan ha behov av att samverka med elsektorn vid framtagande av kommunala respektive regionala risk- och sårbarhetsanalyser. Företag inom elsektorn kan också ha nytta av denna samverkan i sitt arbete, till exempel genom att få information om vilka risker kommunen respektive länsstyrelser har identifierat inom respektive geografiskt område. MSB har utfärdat föreskrifter om kommuners och landstings respektive statliga myndigheters risk- och sårbarhetsanalyser som gäller från den 1 januari 2011 12. Föreskrifterna innehåller information om vilka punkter som ska redovisas, till vem rapportering ska ske samt indikatorer för förmågebedömning. Kommunens arbete med risk- och sårbarhetsanalys bör också involvera kommunala bolag, vilket innebär att dessa även berörs av MSB:s föreskrifter. MSB har inlett en revidering av de nu gällande föreskrifterna, och nya föreskrifter förväntas träda i kraft den 1 januari 2015. Resultatet av analyserna ger därefter ingångsvärden till åtgärder inom olika delar av risk- och säkerhetsarbetet. Arbetet med risk- och sårbarhetsanalys och säkerhetsanalys enligt säkerhetsskyddsförordningen 16 är ett exempel där utgångspunkterna skiljer sig åt, men där metod och process för analys kan vara densamma. Vid arbete med risk- och sårbarhetsanalys kan arbetet inledas med att identifiera verksamheter/funktioner som alltid måste fungera för att en störning inte ska uppstå. Därefter identifieras och analyseras de riskkällor som kan påverka dessa funktioner/verksamheter. Vid identifieringen av riskkällor tittar man i detta fall på olika typer av hot, som till exempel tekniska fel, smitta, väderstörningar och terrorism. När en säkerhetsanalys ska genomföras inleds arbetet istället med att identifiera verksamheter som är skyddsvärda med hänsyn till rikets säkerhet och/eller skydd mot terrorism, och vid den efterföljande riskinventeringen tittar man huvudsakligen på aktörsstyrda hot som till exempel terrorism och sabotage. Risk- och sårbarhetsanalys kan ses som en del i företagets systematiska säkerhetsarbete, och säkerhetsanalysen kan ses som en fördjupning av de delar av risk- och sårbarhetsanalysen som rör hot mot rikets säkerhet eller skydd mot terrorism. 1.7 Helhetssyn i säkerhetsarbetet Elnätsföretag, elproduktionsföretag och elhandelsföretag ska förhålla sig till olika lagstiftningar och regleringar med krav på riskanalyser och annan typ av säkerhetsarbete, däribland ellagen och elberedskapslagen, men också säkerhetsskyddslagen 13, lagen om skydd mot olyckor (LSO) 14, miljöbalken 15 med flera. Även om olika lagstiftningar har olika utgångspunkter består den riskanalysprocess som krävs ofta av samma delmoment. Arbetet med att identifiera, analysera, värdera och behandla riskerna kan därför i stort sett genomföras i en och samma process och med hjälp av samma metoder. 12. 13. 14. 15. 16. MSBFS 2010:6 respektive MSBFS 2010:7 Säkerhetsskyddslag (1996:627) Lag (2003:778) om skydd mot olyckor Miljöbalk (1998:808) Säkerhetsskyddsförordningen (1996:633) Figur 1 Förhållande mellan risk- och sårbarhetsanalys och övrigt säkerhetsarbete Fördelarna med att utföra säkerhetsarbete och riskanalyser i så enade arbetsprocesser som möjligt är många. Dubbelarbete undviks och resurser utnyttjas på ett effektivt sätt samtidigt som synergier skapas vilket leder till att organisationens beslutsunderlag förbättras. En av de största effektivitetsvinsterna finns framför allt i riskidentifieringsfasen. Vidare riskerar inte viktiga områden

12 inom säkerhetsarbetet att falla bort, eller tyngdpunkten i säkerhetsarbetet att bli felaktig. Denna vägledning söker visa på metoder och processer för risk- och sårbarhetsanalyser som med fördel kan integreras med övrigt säkerhetsarbete. För mer information om säkerhetsanalys hänvisas till Svenska kraftnäts Vägledning för säkerhetsanalys 17 och Vägledning IS/IT-säkerhet samt säkerhetsskydd 18. 17. 18,. Vägledning säkerhetsanalys, Svenska kraftnät (2005) Vägledning IS/IT-säk samt säkerhetsskydd, Svenska kraftnät, Version 1.0, Dnr: 2012/331

2. Risk- och sårbarhetsanalyser i elsektorn 13 Risk- och sårbarhetsanalyser ska genomföras av samtliga aktörer i elsektorn som regleras av ellagen och elberedskapslagen. De risk- och sårbarhetsanalyser som aktörerna i elbranschen ska upprätta förutsätts inkludera hela det egna verksamhetsområdet, med fokus på de delar som anses mest kritiska för att verksamheten ska kunna upprätthållas. Risk- och sårbarhetsanalyser i elsektorn har tre huvudsakliga syften: 1. Främja/skapa robustare elförsörjning genom färre och lindrigare störningar. 2. Skapa egennytta för verksamheterna i form av underlag för planering och beslut, information till den egna organisationen och externa intressenter samt utgöra en grundläggande komponent i det systematiska säkerhetsarbetet. 3. Ge en samlad riskbild för elsektorn som helhet. 19. Storlek på en risk eller kombination av risker, uttryckt i termer av en kombination av konsekvenser och deras sannolikhet (ISO 31000:2009) För att bedriva verksamhet med så få och så lindriga störningar som möjligt krävs en god uppfattning om vilka hot, sårbarheter och risker verksamheten står inför samt ett aktivt arbete för att motstå och hantera hot, sårbarheter och risker i det fall de skulle utfalla. För detta arbete är risk- och sårbarhetsanalyser ett viktigt verktyg som ger såväl systematik som möjlighet till uppföljning av verksamhetens robusthetshöjande åtgärder. Risk- och sårbarhetsanalyser ökar också medvetenheten och kunskapen hos beslutsfattare och verksamhetsansvariga om hot, risker och sårbarheter inom det egna verksamhetsområdet och skapar därmed ett underlag för planering och beslut. På en nationell nivå är risk- och sårbarhetsanalyserna ett viktigt verktyg för att kunna bedöma elförsörjningens beredskap i stort och behov av åtgärder för att stärka samhällets elförsörjning. 2.1 Utgångspunkt i risk- och sårbarhetsanalyser Som ovan nämnt bör företag och organisationer arbeta systematiskt och strukturerat med riskhantering. Detta arbete bör omfatta risker med både låga och höga risknivåer 19. För innehåll i risk- och sårbarhetsanalyserna bör dock utgångspunkten vara att inkludera de risker det som bedöms kunna leda till allvarliga störningar och avbrott verksamheten eller för elförsörjningen i stort. Särskilt fokus bör läggas på att analysera de delar av verksamheten och funktioner som har särskilda krav på att ständigt fungera för att undvika att störningar uppstår eller för att kunna hantera inträffade störningar. Lagkrav och andra regleringar kan användas som utgångspunkt för vad som bör inkluderas i risk- och sårbarhetsanalysen. Förutom risker kopplade till rent tekniska

14 system och anläggningar, bör också risker med koppling till organisationen, exempelvis personella resurser och kritiska verksamhetssystem inkluderas i analysen. Notera att ovanstående är krav på och rekommendationer för vad som ska ingå i de enskilda företagens risk- och sårbarhetsanalyser. För krav och rekommendationer avseende vad som ska rapporteras till Energimarknadsinspektionen respektive Svenska kraftnät, se avsnittet Rapporteringfas. Tabell 1. Energimarknadsinspektionens föreskrifter och allmänna råd om krav som ska vara uppfyllda för att överföringen av el ska vara av god kvalitet (EIFS 2013:1). Lastintervall (megawatt) Avbrottstid vid normala återställningsförhållanden (timmar) > 2 5 12 24 > 5 20 8 24 > 20 50 2 24 Avbrottstid vid onormala återställningsförhållanden (timmar) > 50 2 12 Krav och exempel elnätsföretag För elnätsföretag kan exempel på delar av verksamheten som ständigt måste fungera vara till exempel vara transformatorstationer, styr- och reglersystem och driftoperatörer. Också lagkrav eller andra regleringar kan fungera som utgångspunkt för vad som bör ingå i analysen. Exempelvis gäller enligt ellagen att ett avbrott inte får överstiga 24 timmar (funktionskravet). I vissa delar av elnätet, med högre lastnivåer, ska den maximala avbrottstiden vara betydligt lägre, se tabell 1. Händelser som riskerar att medföra att dessa tidskrav överskrids bör därmed inkluderas i analysen. Enligt EIFS 2013:3 ska koncessionshavaren identifiera de uttagspunkter i nätet där funktionskravet, eller strängare krav på leveranssäkerhet som följer av andra föreskrifter (exempelvis tabell 1), inte bedöms vara uppfyllt. För dessa uttagspunkter ska det anges vilka åtgärder som kommer att vidtas för att kraven ska uppfyllas, samt när dessa åtgärder ska vara genomförda. Exempel elproduktionsföretag För elproduktionsföretag kan exempel på delar av verksamheten som ständigt måste fungera vara till exempel viktiga produktionsanläggningar, fysiska tillgångar eller beroenden till kritiska leverantörer. Andra parametrar att utgå ifrån kan till exempel vara avtal med kunder, leverantörer eller intressenter avseende produktionskapacitet. Exempel elhandelsföretag För elhandelsföretag kan exempel på delar av verksamheten som ständigt måste fungera vara till exempel vara viktiga elhandelssystem. Kritiska delar av verksamheten för ett elhandelsföretag är ofta kopplade till den finansiella aspekten av verksamheten, till exempel analys av avtalsbestämmelser gentemot kunder eller elleverantörer.

2.2 Riskkällor av exceptionell karaktär Kraven i ellagen och i Energimarknadsinspektionens föreskrifter, vilka gäller för elnätsföretag, anger att riskkällor av exceptionell karaktär och som inte omfattas av nätkoncessionsinnehavarens kontrollansvar får undantas från analysen. I ett allmänt råd i Energimarknadsinspektionens föreskrifter anges att riskkällor som är av exceptionell karaktär och inte omfattas av kontrollansvaret är krig och terrorhandlingar. Exempel på händelser som normalt inte är av exceptionell karaktär, och som därmed ska ingå i analysen, är översvämningar, starka vindar och blixtnedslag samt tekniska risker hänförliga till anläggningarna. Ytterligare definitioner av vad riskkällor av exceptionell karaktär anges inte i föreskrifterna. Att händelser som till exempel översvämningar normalt sett inte är att betrakta som händelser av exceptionell karaktär innebär dock inte att översvämningar aldrig kan betraktas som en mycket ovanlig eller exceptionell händelse, utan det är snarare en fråga om allvarlighetsgrad och omfattning. Elberedskapslagen och kraven från Svenska kraftnät anger att riskkällor av mycket ovanlig karaktär inte ska undantas från analysen. Också den egna verksamhetens beroenden av andra verksamheter ska beaktas enligt dessa krav. Detta innebär att kraven på vad som ska ingå elnätsföretagens risk- och sårbarhetsanalys har utökats. Utgångspunkten bör därmed vara att samtliga riskkällor som anses vara av betydelse för den egna verksamheten och för elförsörjningen i stort inkluderas i analysen, oavsett om de bedöms vara av exceptionell karaktär eller inte. Det är först inför redovisning till Energimarknadsinspektionen och till Svenska kraftnät som en distinktion behöver göras, då endast risker som inte är av exceptionell karaktär och som faller inom kontrollansvaret ska rapporteras till Energimarknadsinspektionen, medan samtliga risker som bedöms kunna orsaka sådana störningar i elförsörjningen som kan medföra svåra påfrestningar på samhället ska rapporteras till Svenska kraftnät. Det är dock viktigt att ha i åtanke att det i flera fall inte finns någon tydlig gräns för i vilken kategori en riskkälla ska placeras, och att en och samma riskkälla därför kan behöva redovisas både till Energimarknadsinspektionen och till Svenska kraftnät. 15

16

3. Process för upprättande av riskoch sårbarhetsanalys 17 Nedan illustreras i en tabell de moment en risk- och sårbarhetsanalys kan och bör innehålla enligt kraven från Energimarknadsinspektionens föreskrifter och enligt allmänna råd i Svenska kraftnäts föreskrifter. Som synes är kraven från Energimarknadsin- spektionen och Svenska kraftnät snarlika, vilket talar för att analysarbetet kan genomföras i samma process. Nedan beskrivs ett förslag till en process för hur arbetet med att upprätta risk- och sårbarhetsanalyser kan genomföras. Arbetet kan delas in i tre faser vilket illustreras i figuren nedan. Tabell 2. Relation mellan kraven från Energimarknadsinspektionen och Svenska kraftnäts allmäna råd, med hänvisning till kapitel i vägledningen. Energimarknadsinspektionens föreskrifter Svenska kraftnäts allmäna råd Avsnitt i kapitel 3 Kartläggning av nuläget Identifiering av funktioner/ verksamheter som alltid måste fungera för att en störning inte ska uppstå 3.1 Förberedelsefas Identifiering av riskkällor Uppskattning av risker och sårbarhet Identifiering och prioritering av åtgärder som leder till minskad risk och sårbarhet Identifiering av riskkällor som kan påverka/ hota dessa funktioner/ verksamheter Riskanalys för att bedöma sannolikhet och konsekvens Riskutvärdering för att bedöma vilka av de identifierade riskkällorna som ska behandlas vidare, vilka åtgärder som ska vidtas för identifierade risker osv. Bedömning av förmåga att motstå och hantera identifierade riskkällor, inklusive identifiering av kritiska beroenden Riskbehandling genom identifiering och prioritering av åtgärder med anledning av analysens resultat 3.2 Analysfas Rapportering till Energimarknadsinspektionen Uppgiftslämnande till Svenska kraftnät 3.3 Rapporteringsfas

18 Figur 2. Risk- och sårbarhetsanalysens tre faser. För större företag med flera olika verksamhetsområden är det lämpligt att genomföra verksamhetsspecifika risk- och sårbarhetsanalyser. Inom dessa organisationer bör därför ovanstående process utföras parallellt på flera olika delar av verksamheten (exempelvis handel och distribution). Processbeskrivningen utgår ifrån att det är första gången en risk- och sårbarhetsanalys upprättas, vilket alltid innebär mer arbete än utveckling och revidering av redan befintliga risk- och sårbarhetsanalyser. I de fall en risk- och sårbarhetsanalys redan finns på plats handlar de årliga revideringarna om att granska framtaget material, uppdatera analysen med nytillkomna/bortfallna risker och att bedöma huruvida vidtagna åtgärder har haft önskad effekt på förmågan att förebygga, motstå och hantera störningar. Som ett resultat av denna analys ska även åtgärdslistan uppdateras. Mer omfattande revideringar bör genomföras på regelbunden basis, exempelvis vart fjärde år, för att mer djupgående analysera och komplettera befintlig risk- och sårbarhetsanalys. 3.1 Förberedelsefas I förberedelsefasen läggs grunderna för det fortsatta arbetet med risk- och sårbarhetsanalysen, bland annat genom: > > Formulering av syfte, mål, omfattning och avgränsningar. > > Definition och beslut kring riskkriterier. > > Beslut kring nominering av processledare och arbetsgrupp. > > Kartläggning av nuläget. > > Identifiering av funktioner/verksamheter som alltid måste fungera. 3.1.1 Syfte, mål omfattning och avgränsningar Ledningen bör utarbeta och dokumentera ett formellt beslut om arbetsinriktning. I detta beslut bör information om verksamhetens förutsättningar, avgränsningar och tidplan anges. För elnätsföretag är endast tidpunkten för rapportering till Energimarknadsinspektionen given, men analysarbetet kan genomföras enligt önskad tidplan. Till exempel kan det finnas andra processer/arbeten i organisationen med vilka arbetet med risk- och sårbarhetsanalys kan samordnas. Vidare bör syfte och tydliga mål med arbetet formuleras i detta skede. Det bör också tas fram en beskrivning av hur resultatet ska användas i verksamheten. Det är också viktigt att detta kommuniceras till organisationen.

19 3.1.2 Riskkriterier Ett viktigt ingångsvärde för arbetet med risk- och sårbarhetsanalyser är att ha en tydlig definition av riskkriterier, d.v.s. vilka konsekvenser organisationen kan acceptera till följd av en viss risk. Riskkriterierna bör baseras på organisationens riskaptit och beslutas på ledningsnivå. Ett verktyg för att arbeta med enhetlig definition av riskkriterier är att använda en så kallad kriteriemodell, se exempel i tabell 3, 4 och 5. Tabell 3. Exempel på kriteriemodell för elnätsföretag. TYP AV KONSEKVENS NIVÅ KLASS 1 OBETYDLIGA KLASS 2 LINDRIGA KLASS 3 ALLVARLIGA KLASS 4 OACCEPTABLA Ekonomi > Mindre kostnader för reparation/ återställning > Måttliga kostnader för reparation/ återställning > Höga kostnader för reparation/ återställning > Avbrottsersättning behöver betalas till fåtal kunder >Extremt höga kostnader för reparation/ återställning > Avbrottsersättning behöver betalas till flertal kunder Förtroende > Enstaka klagomål > Fåtal klagomål > Enstaka notis i lokal media > Mindre allvarligt kontraktsbrott mot en eller ett fåtal kunder >Många klagomål > Högt tryck på information från allmänhet och media > Allvarligt kontraktsbrott mot en eller ett fåtal kunder > Ohanterbart antal klagomål > Extremt högt tryck på information från allmänhet och media > Nationell (negativ) uppmärksamhet i media > Flertal allvarliga kontraktsbrott mot kunder Liv och hälsa > Tillbud > Allvarligt tillbud > Lindrig personskada som kräver vård > Allvarlig personskada som kräver vård > Dödsfall Leveranssäkerhet > Fåtal kunder drabbade av avbrott > Större antal kunder drabbade av avbrott > Flertal av kunderna drabbade av avbrott > Majoritet av kunderna drabbade av avbrott Avbrottstid <2 MW: 2 timmar 2-5 MW: 1 timme 5-20 MW: 1/4 timme >20 MW: 1/6 timme <2 MW: 4 timmar 2-5 MW: 2 timmar 5-20 MW: 1/2 timme >20 MW: 1/4 timme <2 MW: 12 timmar 2-5 MW: 6 timmar 5-20 MW: 2 timmar >20 MW: 1 timme <2 MW: 24 timmar 2-5 MW: 12 timmar 5-20 MW: 8 timmar >20 MW: 2 timmar Samhällets elförsörjning/påverkan på samhället > Mindre påverkan på samhällets elförsörjning > Mindre påverkan på samhället > Måttlig påverkan på samhällets elförsörjning > Måttlig påverkan på samhället > Allvarlig påverkan på samhällets elförsörjning > Allvarlig påverkan på samhället > Mycket allvarlig påverkan på samhällets elförsörjning > Mycket allvarlig påverkan på samhället

20 Tabell 4. Exempel på kriteriemodell för elproduktionsföretag. TYP AV KONSEKVENS NIVÅ KLASS 1 OBETYDLIGA KLASS 2 LINDRIGA KLASS 3 ALLVARLIGA KLASS 4 OACCEPTABLA Ekonomi > Mindre kostnader för reparation/ återställning > Måttliga kostnader för reparation/ återställning > Höga kostnader för reparation/ återställning > Extremt höga kostnader för reparation/ återställning Förtroende > Enstaka klagomål > Fåtal klagomål > Enstaka notis i lokal media >Många klagomål > Högt tryck på information från allmänhet och media > Ohanterbart antal klagomål > Extremt högt tryck på information från allmänhet och media > Nationell (negativ) uppmärksamhet i media Liv och hälsa > Tillbud > Allvarligt tillbud > Lindrig personskada som kräver vård > Allvarlig personskada som kräver vård > Dödsfall Produktionskapacitet > Kapacitet minskad med <1% > Kapacitet minskad med <5% > Kapacitet minskad med <25% > Kapacitet minskad med >25% Samhällets elförsörjning/påverkan på samhället > Mindre påverkan på samhällets elförsörjning > Mindre påverkan på samhället > Måttlig påverkan på samhällets elförsörjning > Måttlig påverkan på samhället > Allvarlig påverkan på samhällets elförsörjning > Allvarlig påverkan på samhället > Mycket allvarlig påverkan på samhällets elförsörjning > Mycket allvarlig påverkan på samhället Tabell 5. Exempel på kriteriemodell för elhandelsföretag. TYP AV KONSEKVENS NIVÅ KLASS 1 OBETYDLIGA KLASS 2 LINDRIGA KLASS 3 ALLVARLIGA KLASS 4 OACCEPTABLA Ekonomi > Mindre, negativa avvikelser i relation till budget. > Måttliga, negativa avvikelser i relation till budget > Stora, negativa avvikelser i relation till budget > Behov av omprioriteringar på lite längre sikt (verkan inom 6 mån) > Extremt stora, negativa avvikelser i relation till budget > Omprioriteringar bör ske omgående (verkan inom 3 mån) Förtroende > Enstaka klagomål > Fåtal klagomål > Enstaka notis i lokal media >Många klagomål > Högt tryck på information från allmänhet och media > Ohanterbart antal klagomål > Extremt högt tryck på information från allmänhet och media > Nationell (negativ) uppmärksamhet i media information vid prissättning > Mindre osäkerhet i information vid prissättning > Osäkerhet i information vid prissättning > Stor osäkerhet i information vid prissättning > Ingen information att tillgå vid prissättning Samhällets elförsörjning/påverkan på samhället > Mindre påverkan på samhällets elförsörjning > Mindre påverkan på samhället > Måttlig påverkan på samhällets elförsörjning > Måttlig påverkan på samhället > Allvarlig påverkan på samhällets elförsörjning > Allvarlig påverkan på samhället > Mycket allvarlig påverkan på samhällets elförsörjning > Mycket allvarlig påverkan på samhället

21 Figur 3. Förslag på organisation för arbetet med risk- och sårbarhetsanalys. En kriteriemodell formaliserar riskkriterierna utifrån verksamhetens mål, uttalade strategier, ekonomiska förutsättningar, lagkrav och regler etc. Kriteriemodellen signalerar till verksamheten vilka typer av konsekvenser som är oönskade och vilka som inte accepteras på en övergripande nivå. Modellen utgör en gemensam måttstock och söker därigenom säkerställa att analyser och bedömningar görs utifrån samma övergripande bild om vad företaget eftersträvar motverka. På samma sätt som konsekvenserna kan definieras i en kriteriemodell, kan också definitioner för sannolikhet beslutas och dokumenteras. Ett exempel visas i tabell 6: Tabell 6. Tabell för bedömning av sannolikhet. SANNOLIKHET Mycket låg Låg måttlig hög FREKVENS <1 gång/100 år <1 gång/25 år >1 gång/100 år <1 gång/år >1 gång/25 år >1 gång/år Ovanstående verktyg kan användas för att tydligt definiera och kommunicera konsekvens- och sannolikhetsnivåer, vilket utgör ett stöd i det fortsatta arbetet med risk- och sårbarhetsanalyser. 3.1.3 Processledare och arbetsgrupp Processledaren ska ha företagsledningens mandat att leda och bedriva arbetet med risk- och sårbarhetsanalysen. Som stöd till processledaren utses en grupp med tillräcklig och bred kompetens avseende verksamheten. Det kan vara en fördel om denna grupp är involverad, eller åtminstone har kompetens, inom strategiska områden inom organisationen, exempelvis beslutsfattande och investeringar. Arbetsgruppen behöver få en gemensam plattform och tid att utföra arbetet. I figur 3 presenteras ett förslag på formering av arbetsgrupp för arbetet med risk- och sårbarhetsanalyser. En person bör utses till RSA-ansvarig. Denne person har det övergripande ansvaret för att hålla ihop arbetet och för att säkerställa att risk- och sårbarhetsanalysen dokumenteras och att relevanta delar skickas till Energimarknadsinspektionen (för elnätsföretag) och till Svenska kraftnät efter begäran. I analysgruppen bör personer med kunskap om både de operativa och strategiska delarna av verksamheten ingå. Detta för att så många olika typer av risker som möjligt ska kunna identifieras och analy-

22 seras. Personer med beslutsmandat bör också ingå i analysgruppen för att kunna prioritera och besluta om åtgärder. En referensperson/referensgrupp bör få ta del av risk- och sårbarhetsanalysen för att bidra med nya infallsvinklar och därmed utgöra en typ av kvalitetskontroll för att säkerställa att alla typer av risker är inkluderade i analysen. Slutligen bör resultatet förankras och godkännas av ledningen. Ovanstående funktioner kan utgöras av fler eller färre antalet personer, beroende på storlek på organisationen. Exempelvis skulle RSA-ansvarig och personer med kunskap om företagets operativa verksamhet utgöras av en och samma person, liksom att personer med beslutsmandat och med kunskap om företagets strategiska målsättning kan vara en person. Om möjligt bör dock flera personer involveras i processen för att säkerställa flera olika infallsvinklar i analysen. 3.1.4 Kartläggning av nuläget Kartläggningen av nuläget bör inkludera en beskrivning av interna och externa faktorer som påverkar den egna organisationen och de delar av verksamheten som ska analyseras. Interna faktorer kan vara bland annat företagets syfte och mål, tillgängliga system, tillgänglig kompetens, kända svaga punkter, erfarenheter från tidigare störningar samt vilken typ av kunder som finns i nätet och om möjligt hur dessa påverkas av olika typer av leveransbrott beskrivas. Externa faktorer kan vara en beskrivning av den omvärld organisationen verkar i, exempelvis genom beskrivning av konkurrenter, lagar och regleringar, ekonomiska förutsättningar, klimat och miljöfaktorer som kan påverka den egna verksamheten, vilka externa intressenter som finns och som man måste förhålla sig till. I kartläggningen av nuläget bör också tidigare erfarenheter och statistikunderlag granskas, tillsammans med underlag från tidigare genomförda riskanalyser. 20. ISO 31010:2009 Risk management Risk management techniques 3.1.5 Identifiering av funktioner/ processer som alltid måste fungera En viktig utgångspunkt för analysen är kunskapen om vilka som är de kritiska delarna av verksamheten, d.v.s. vilka funktioner/anläggningar/system etc. som alltid måste fungera. En genomgång av verksamheten och dess olika beståndsdelar skapar förståelse för de kritiska delarna samt kritiska beroenden. Som stöd för detta arbete kan process- och verksamhetsbeskrivningar användas. För en visualisering av verksamhetens kritiska processer och beroenden kan en konsekvensanalys (business impact analysis) genomföras 20. Enligt denna metod identifieras kritiska processer och de interna och externa resurser som krävs för att de identifierade processerna ska fungera. För var och en av de kritiska processerna identifieras maximalt tolerabla avbrottstider. Dessa tider anger hur länge den kritiska processen kan vara otillgänglig innan organisationen drabbas av oacceptabla konsekvenser. I denna analys kan den framtagna kriteriemodellen vara till god hjälp. De maximalt tolerabla avbrottstiderna ställer i sin tur krav på återställningstid för de stödjande kritiska resurserna. Detta tidskrav innebär inom vilken tidsgräns respektive resurs måste vara fungerande efter en störning för att överliggande process ska kunna fungera inom uppsatta tidskrav. De processer och underliggande resurser med kortast tidskrav blir därmed de mest kritiska delarna av verksamheten och de delar som bör prioriteras i risk- och sårbarhetsanalysen och den efterföljande åtgärdsplanen. I det förenklade exemplet i figur 4,5 och 6 beskrivs Organisationerna XX:s kritiska processer. För var och en av processerna identifieras sedan de interna och externa resurser som krävs för att upprätthålla processen. Med stöd från exempelvis kriteriemodellen har den maximala avbrottstiden för de kritiska processerna definierats. De underliggande resurserna får därmed ett krav på återställningstid. I de fall resurserna är beroende av varandra eller om någon resurs kräver en viss tid för att startas/återställas blir kraven på återställningstid kortare än den överliggande processens maximala avbrottstid. Hur många nivåer av verksamheten man väljer att kartlägga i konsekvensanalysen kan

23 Figur 4. Exempel på konsekvensanalys för elnätsföretag. Figur 5. Exempel på konsekvensanalys för elproduktionsföretag. Figur 6. Exempel på konsekvensanalys för elhandelsföretag.

24 anpassas beroende på hur djupt analysen behöver gå/hur komplex verksamheten är. I ovanstående exempel skulle exempelvis de övergripande processerna kunna vara indelade i ett antal underprocesser, som i sin tur är beroende av olika resurser. Exempel elnätsföretag Att identifiera vilka komponenter som är kritiska kräver god kunskap om verksamheten och dess uppbyggnad. Det finns i elnätet komponenter som, om de slås ut enskilt, inte ger upphov till några anmärkningsvärda konsekvenser, medan verkan kan bli allvarlig om de slås ut tillsammans med en eller flera andra komponenter. Det ska även noteras att en komponent kan vara kritisk även om sannolikheten för dess felfunktion är liten. Ett exempel på detta är en distributionstransformator, som genom sin placering, är svåråtkomlig och medför lång avbrottstid vid byte. i ISO 31000). Sårbarhetsanalys beskrivs utifrån MSB: s vägledning för risk- och sårbarhetsanalyser för kommuner, landsting och statliga myndigheter och Åtgärdsplan beskrivs dels enligt steget Riskbehandling i ISO 31000 och dels enligt MSB: s vägledning. 3.2.1 Riskidentifiering Riskidentifieringen är en process för att upptäcka, klarlägga och beskriva risker och sårbarheter. Riskidentifieringen bör vara så komplett som möjligt, genom att beskriva riskkällor, händelser och en grov uppskattning av konsekvenser. Risker som inte identifieras i detta steg kommer inte att utredas vidare i den fortsatta analysen. Också riskkällor kopplade till verksamhetens kritiska beroenden ska identifieras. Utöver risker som kan påverka verksamheten internt bör också risker utanför organisationen och som kan skada systemet inkluderas i identifieringen. Riskidentifieringen bör också täcka in risker som uppstår som följdeffekter av en annan risk inträffar. För att underlätta identifieringen kan riskerna delas in i olika grupperingar. Se exempel på detta för respektive typ av aktör i rutorna nedan. 3.2 Analysfas I analysfasen inkluderas både riskanalys och sårbarhetsanalys. En riskanalys är ett systematiskt sätt identifiera riskkällor och bedöma sannolikheten för de oönskade händelserna samt de omedelbara konsekvenserna av dessa. En sårbarhetsanalys kan på motsvarande sätt beskrivas som ett systematiskt sätt att organisera och analysera kunskap och information om de konsekvenser i form av olika följdhändelser som en oönskad händelse medför. Analysfasen genomförs enligt nedanstående steg: > > Riskidentifiering > > Riskanalys > > Riskutvärdering > > Sårbarhetsanalys > > Åtgärdsplan De tre första stegen (riskidentifiering, riskanalys och riskutvärdering beskrivs enligt hur de beskrivs