KI und kritische Infrastruktur in Norwegen: Sikkerhetsloven und NSM

Plattformen in der Nordsee, Stromnetze, Wasserkraftwerke, Gaspipelines zum Kontinent: Norwegen betreibt Infrastruktur, von der ein großer Teil Europas abhängt. Die Ingenieure und Betreiber, die sie am Laufen halten, nutzen wie alle anderen generative KI, um zu schreiben, zusammenzufassen und zu analysieren.

In dieser Branche ist ein Datenabfluss nicht nur ein Compliance-Problem. Ein Verfahrensschema, ein Wartungsplan oder ein Schwachstellenbericht kann feindliche Akteure interessieren. So gelten das norwegische Sicherheitsgesetz und die Vorgaben der NSM für die Nutzung von KI.

Das Gesetz über nationale Sicherheit im Überblick

Das Gesetz über nationale Sicherheit (sikkerhetsloven) von 2018 ist am 1. Januar 2019 in Kraft getreten. Es schützt nationale Sicherheitsinteressen, darunter grundlegende nationale Funktionen (grunnleggende nasjonale funksjoner) sowie schutzwürdige Objekte und Infrastrukturen.

Es gilt für öffentliche Stellen und für private Unternehmen, die in seinen Anwendungsbereich fallen, insbesondere wenn sie Verschlusssachen verarbeiten oder als kritisch eingestufte Infrastruktur kontrollieren. Die nationale Sicherheitsbehörde, Nasjonal sikkerhetsmyndighet (NSM), überwacht die Umsetzung und veröffentlicht praktische Leitfäden.

Für Verschlusssachen gilt eine einfache Regel: Sie dürfen nur auf Systemen verarbeitet werden, die für diese Stufe zugelassen sind. Ein öffentlicher KI-Dienst gehört selbstverständlich nicht dazu.

Das eigentliche Risiko: sensible, aber nicht eingestufte Daten

In der Praxis sind die meisten Dokumente eines Energieunternehmens nicht eingestuft. Sensibel sind sie trotzdem. Und genau sie landen am häufigsten in einem Chatbot:

• Rohrleitungs- und Instrumentierungsschemata, Anlagenpläne;

• Konfigurationen industrieller Steuerungssysteme und Netzwerkadressen;

• Wartungspläne, Störungsberichte und Risikoanalysen;

• Notfallpläne und Kontaktlisten der Bereitschaft;

• Verträge und Lieferantendaten.

Einzeln betrachtet wirken diese Elemente harmlos. Zusammengesetzt können sie eine genaue Karte der Schwachstellen einer Anlage ergeben. Das ist das bekannte Aggregationsproblem der Sicherheitsfachleute: Das Ganze ist mehr wert als jedes einzelne Teil.

Ein typisches Beispiel: Nach einem ungeplanten Stillstand muss ein Wartungsingenieur einen Bericht schreiben. Er kopiert Alarmprotokolle, Anlagenkennzeichen und die Namen der Kollegen in Bereitschaft in einen Assistenten, um einen sauberen Text zu erhalten. In wenigen Sekunden haben Details über den Betrieb einer kritischen Anlage das Unternehmen verlassen.

Was die NSM empfiehlt

Die Grundprinzipien der NSM für IKT-Sicherheit (grunnprinsipper for IKT-sikkerhet) nennen kein bestimmtes KI-Tool. Sie geben aber den Rahmen vor: wissen, welche Informationen man hat, Datenflüsse kontrollieren, externe Dienste steuern, Abweichungen erkennen und darauf reagieren können.

Auf generative KI angewendet führt das zu einem klaren Ergebnis. Eine Organisation muss wissen, welche KI-Dienste ihre Teams nutzen, was dorthin gesendet wird und in welchem Land diese Daten verarbeitet werden. Das klingt selbstverständlich, ist in der Praxis aber selten erfüllt: In vielen Unternehmen weiß niemand genau, welche KI-Dienste im Alltag tatsächlich verwendet werden, und schon gar nicht, welche Inhalte dort landen.

Diese Prinzipien gelten auch entlang der Lieferkette. Ein großer Teil der Engineering- und Wartungsarbeit wird an Dienstleister vergeben, deren KI-Nutzung der Betreiber oft gar nicht sieht.

Die Frage der Souveränität

Für Betreiber kritischer Infrastruktur zählt der Ort der Verarbeitung ebenso wie der Inhalt. Ein Dienst außerhalb des Europäischen Wirtschaftsraums kann anderen Gesetzen zum Datenzugriff unterliegen. Viele norwegische Akteure bevorzugen daher Angebote, die in Europa oder in eigenen Umgebungen betrieben werden.

Unser Artikel zu souveräner KI für europäische CISOs vergleicht diese Optionen. Doch keine Hosting-Entscheidung löst das Problem der Verbraucher-Tools, die nebenher genutzt werden.

Personenbezogene Daten bleiben ein Thema

Bereitschaftslisten, Unfallberichte und Bewertungen von Subunternehmern enthalten ebenfalls personenbezogene Daten. Für ihre Verarbeitung gilt die DSGVO, die in Norwegen über den Europäischen Wirtschaftsraum anwendbar ist, unter der Aufsicht von Datatilsynet. Unser erster Artikel zum Land betrachtet das von der menschlichen Seite: Vertrauen am Arbeitsplatz und zu viel Offenheit gegenüber der KI.

Ein Vorgehen in vier Schritten

1. Erfassen, welche Informationen sensibel sind: Pläne, Konfigurationen, Sicherheitsberichte, Lieferantendaten.

2. Freigeben einer begrenzten Zahl von KI-Tools, mit passendem Hosting und passenden Verträgen.

3. Prüfen im Moment des Absendens, auf den Arbeitsplätzen, auch für Offshore-Crews und Subunternehmer.

4. Dokumentieren der Vorfälle für interne Audits und den Austausch mit Behörden.

Unser 90-Tage-Rollout-Playbook für KI-DLP zeigt, wie sich diese Schritte umsetzen lassen, ohne den Betrieb zu stören.

Wo ZeusLock ansetzt

ZeusLock läuft auf Arbeitsplatzrechnern und in Browsern. Es erkennt in Prompts und Dateien, was Sie als sensibel festlegen: Anlagenkennzeichen, interne IP-Adressen, Namen von Anlagen, personenbezogene Daten. Je nach Regel warnt es, blockiert oder ersetzt die Daten durch einen realistischen Wert im gleichen Format. Jeder Vorfall wird protokolliert, sodass das Sicherheitsteam einen konkreten Überblick über die Datenflüsse zur KI erhält.

Die Regeln lassen sich je Standort oder Funktion anpassen: Ein Engineering-Team hat andere Anforderungen als der Einkauf. Und weil die Prüfung auf dem Gerät stattfindet, begleitet sie die Laptops der Teams, die zwischen Büros an Land und Offshore-Anlagen wechseln. So bleibt der Schutz derselbe, egal wo gearbeitet wird.

Zusammenfassung

Für Norwegens Energiesektor und kritische Infrastruktur ist generative KI ein nützliches Werkzeug, doch die Informationen, mit denen sie arbeitet, können die nationale Sicherheit berühren. Sikkerhetsloven und die Grundprinzipien der NSM geben den Rahmen vor. Entscheidend ist, ihn genau in dem Moment anzuwenden, in dem ein Ingenieur ein Dokument in einen Assistenten kopiert.

Sie möchten sehen, wie ZeusLock Ihre Betriebsdaten in KI-Tools schützt? Demo anfragen.