§ 4-6. Krav til sikkerhet for AMS

Nettselskapet er ansvarlig for å sikre AMS. Nettselskapet er ansvarlig for at sikkerhet vurderes ved oppstart og gjennomføring av endringsprosesser tilknyttet AMS. Nettselskapet skal velge løsninger som gir høyest sikkerhetsnivå i AMS så lenge kostnaden er forsvarlig etter en kost/nytte-vurdering. Sikkerhetsløsninger i AMS skal oppfylle kravene til digitale informasjonssystemer i kraftberedskapsforskriften. I tillegg skal følgende krav være oppfylt: a) Enheter og brukere som skal kommunisere til eller i AMS, må godkjennes i AMS av nettselskapet eller nettselskapets leverandør før de får tilgang. b) Enhver endring av programvare og konfigurasjon av dataprogram i AMS skal kunne spores tilbake til bruker, tidspunkt og endringen som ble gjort. c) Kommunikasjon i nettverket mellom AMS-måler og sentralsystem skal være beskyttet med ende-til-ende-kryptering. Ved bruk av et eget datanettverk, stengt for uvedkommende, kan kravet om ende-til-ende-kryptering fravikes. d) Programvare i AMS skal være oppdatert. Før ny programvare installeres i AMS, skal nettselskapet eller nettselskapets leverandør kontrollere at programvaren er autentisk. e) Hendelser som kompromitterer sikkerheten i en AMS-måler, eller dens kommunikasjon med sentralsystemet, skal ikke kompromittere sikkerheten i andre AMS-målere, deres kommunikasjon med sentralsystemet, eller sentralsystemet i seg selv. f) AMS skal til enhver tid kunne utføre de oppgaver systemet er designet for. Nettselskapet eller nettselskapets leverandør skal deaktivere funksjonalitet i AMS som ikke skal benyttes. g) I målepunkt for sluttbrukere i lavspenningsanlegg skal tilgang til AMS-målerens grensesnitt begrenses for andre enn sluttbruker, nettselskapet og andre aktører med legitimt behov. I øvrige målepunkt skal kun nettselskapet og andre aktører med legitimt behov ha tilgang til AMS-måleren. Dersom nettselskapet eller nettselskapets leverandør kobler andre enheter eller systemer til AMS, skal sikkerhetsnivået i AMS opprettholdes eller forbedres. Tilsvarende gjelder dersom sluttbruker eller tredjepart kobler seg til AMS. Nettselskapet skal dokumentere oppfyllelse av krav i første til fjerde ledd i et internkontrollsystem.