The Status of Operational Technology Cybersecurity within The Norwegian Food Supply Sector

Abstract

Denne oppgaven utforsker statusen for cybersikkerhet i Operasjonell Teknologi (OT) innen den norske matforsyningssektoren. Matforsyningssektoren er en kritisk samfunnsfunksjon, som er avhengig av OT-systemer for å produsere og distribuere sine produkter. OT-systemer opererte tidligere i isolerte miljøer, men trenden går nå mot en konvergens av IT og OT, som øker effektiviteten og bringer med seg nye muligheter. Dette introduserer imidlertid også cybersikkerhetsrisikoer som må adresseres. EU kategoriserer matforsyning som en viktig sektor, noe som betyr at den vil bli påvirket av det kommende NIS2-direktivet og dets tilhørende krav og reguleringer innen cybersikkerhet.

Studien undersøker hvordan cyberangrep på OT-systemer blir definert og klassifisert i litteraturen og i industripraksis. Den ser også på sektorens nåværende OT-cybersikkerhetnivå, utfordringer og implementerte tiltak, blant annet med hensyn til lover, reguleringer og trender. Studien benytter en kvalitativ metode, med bruk av semi-strukturerte intervjuer med bedrifter i sektoren for å vurdere den nåværende statusen for OT-cybersikkerhet og hvor forberedt sektoren er for NIS2-etterlevelse.

Funnene avslører en betydelig variasjon i hvordan bedrifter håndterer OT-cybersikkerhet. Mens den generelle statusen var bedre enn forventet, ble flere forbedringsområder identifisert, inkludert forbedring av samarbeid og kunnskapsdeling, bedre oversikt over enheter, høyere grad av overvåking og økt trusselbevissthet. Disse tiltakene kan bidra til å redusere cyberrisikoer og forbedre motstandskraften til Norges matforsyningssektor mot cybertrusler. Samtidig viser funnene en høy bevissthet og forberedelse knyttet til NIS2-direktivet.

Innsiktene fra denne studien bidrar til en dypere forståelse av OT-cybersikkerhetsutfordringer og beredskap innen den norske matforsyningssektoren, og gir et grunnlag for fremtidige forbedringer på dette kritiske området.

This thesis explores the state of cybersecurity in Operational Technology (OT) within the Norwegian food supply sector. The food supply sector, a critical societal function, relies on OT systems to produce and distribute many of their products. While OT systems previously operated in isolated environments, the trend is moving towards the convergence of IT and OT, which enhances efficiency and brings new possibilities. However, this also introduces cybersecurity risks that need addressing. The EU categorizes the food supply sector as an important entity, meaning that it will be affected by the upcoming NIS2 directive and its associated requirements and regulations within cybersecurity.

The study investigates how cyberattacks on OT systems are defined and classified in literature and industry practice. It also examines the sector’s current OT cybersecurity practices, challenges, and implemented measures, including considering laws, regulations, and trends. The study employs a qualitative approach, utilizing semi-structured interviews with businesses in the sector to assess the current state of OT cybersecurity and the sector’s preparedness for NIS2 compliance.

Findings reveal significant variability in how businesses consider OT cybersecurity. While the overall status was better than expected, several areas for improvement have been identified, including enhanced collaboration and knowledge sharing, a better overview of devices, a higher degree of monitoring, and increased threat awareness. These measures can help mitigate cyber risks and improve the resilience of Norway’s food supply sector against cyber threats. On the other hand, findings reveal a high awareness and readiness related to the NIS2 directive.

The insights from this study contribute to a deeper understanding of OT cybersecurity challenges and readiness within the Norwegian food supply sector, providing a foundation for future enhancements in this critical area.