5.1.2 Adgangskontroll for uvedkommende
Kravet innebærer at virksomheten må ha kontroll over hvem som ut fra et tjenstlig behov skal ha selvstendig fysisk adgang til anlegg og områder. Adgangskontrollen omfatter også hvem som kan gis adgang i følge med, eller under oppsyn av en person som har selvstendig adgang. For alle andre skal området være effektivt avstengt.
Figuren viser prinsippene for område, skall og soner med angitt nivå for adgangskontroll av disse.
Sjekkliste: Adgangskontroll skal som minimum gjelder for:
- Driftssentraler, inkludert reservesentraler, sambandsanlegg og rom med tilhørende utrustning for driftskontroll og lokalkontroll i klassifiserte anlegg
- Beredskapsrom og rom med IKT-utstyr av betydning for beredskap, drift og sikkerhet
- Bygg og områder med klassifiserte kraftforsyningsanlegg
- Bygg for ledelse, drift og andre vesentlige ressurser for beredskap, drift, sikkerhet og gjenoppretting
- Lagerområder ute og inne for materiell, kjøretøy og annet av vesentlig betydning for beredskap, drift, sikkerhet og gjenoppretting
Virksomheten kan etablere adgangskontroll med kombinasjoner av avlåsing, vakthold, overvåking, registrering og/eller ved bruk av andre tekniske løsninger. Det må være balanse mellom adgangskontroll og andre fysiske sikringstiltak.
Virksomheten må innarbeide en rutine for å kontrollere at porter, dører og vinduer fungerer etter hensikten, dvs. både at de lar seg lukke og låse og at de normalt holdes lukket og låst. Virksomheten må ha full kontroll med tilgangsrettigheter for nøkkelsystemer. Alminnelige låsesystemer er sårbare for at nøkler mistes, og virksomheten må ha rutiner for administrering, slik at nøkler på avveie oppdages og at relevante tiltak blir gjennomført. Virksomheten bør bruke adgangskontrollsystemer som kan logge aktivitet. Slike logger bør gjennomgås jevnlig for å avdekke hendelser av sikkerhetsmessig betydning.
I anleggsfaser må virksomheten etablere adgangskontroll senest fra det tidspunkt bygge- eller installasjonsarbeidet starter. Alle faste adgangsberettigede må utstyres med adgangskort. Tilfeldige arbeidstakere, leverandører, besøkende og liknende må gis tidsbegrensede adgangskort. Kjøretøyer må være registrert og ha parkeringstillatelse.
Det er viktig å deaktivere adganger og tillatelser ved avslutning av anleggsfasen.
NVE anbefaler å holde kontroll (loggføring) med egne autoriserte ansattes gange og opphold inne i et anlegg, selv om denne forskriften ikke krever det. For anlegg med adgangsrestriksjoner etter § 5-11 er det krav om å bekrefte identitet for personer på besøk og det skal være protokollføring av besøkene.
Sjekkliste: Andre relevante krav til adgangskontroll:
- § 5-4 Sikringstiltak for klasse 1, vedlegg 1.1.1 og 1.1.3
- § 5-5 Sikringstiltak for klasse 2, vedlegg 2.2.3, 2.3.1, 2.3.5 og 2.4.1.3
- § 5-6 Sikringstiltak for klasse 3, vedlegg 3.2.5, 3.3.1, 3.3.4 og 3.4.1.3
- § 5-11 Restriksjoner for adgang til steder og områder
Særlig om adgangskontroll ved driftssentraler mv:
Driftssentraler med tilhørende utrustning omfatter:
Driftssentraler, sambandsanlegg og øvrige anlegg og rom med komponenter som ivaretar driftskontrollfunksjoner eller kan gi fysisk eller elektronisk adgang til slike.
- Alle deler av bygningen eller anlegget der driftssentralen, operatørrom, prosessanlegg, viktige IT- og sambandsanlegg og nødstrøm er plassert
- Alle rom der driftskontroll kan utøves, som f.eks. styring av koblinger og overvåking av tilstand i anleggene
Slike steder skal være egne adgangskontrollerte sikkerhetssoner for å hindre at uvedkommende får adgang. Virksomheten må holde disse rommene avlåst for alle som ikke skal ha selvstendig adgang. Personer kan få selvstendig adgang gjennom autorisering. Øvrige personer må ledsages av personer som har gyldig autorisasjon.
Sikkerhetssonen skal være utstyrt med adgangskontrollsystemer av en slik kvalitet at et innbrudd eller innbruddsforsøk vil etterlate synlige spor. For ytterligere krav til sikring av driftskontrollsystemer, se veiledning til kapittel 7 om beskyttelse av driftskontrollsystem. For veiledning om fysiske barrierer, se veiledningen til bestemmelsene om sikringsnivå under §§ 5-4, 5-5 og 5-6.