Transformatorstasjonen er et fremmed land
Der vind- eller solparken slutter og transformatorstasjonen begynner, slutter produsentens designautoritet absolutt — og hvorfor
7 min lesetid
Rajesh Khanikar
Hei, jeg er Rajesh Khanikar
Jeg jobber med OT-sikkerhet i et fornybarselskap, noe som stort sett handler om å tenke på hvordan strøm kommer fram til nettet — fra solkraftverk, vindparker, vannkraftverk, batterier og hybridanlegg — uten at noen bryter seg inn underveis.
Når jeg ikke gjør det, tukler jeg med kode, lodder noe jeg sannsynligvis ikke burde, lager mat, eller prøver å lure fisk i et norsk vann. Det meste her handler om cybersikkerhet, med en og annen avstikker innom programmering, elektronikk, mat eller fiske — det som lå på arbeidsbenken den uka.
Siste tekster
── 2026
Ta med ingeniørene dine, ikke kontoene
Produsentens ingeniører får navngitte identiteter i anleggseierens IAM med tidsbegrenset legitimasjon. Ingen delte kontoer, ingen federering ved OT-grensen
9 min lesetid
PLC-er, RTU-er, PPC-er og EMS-er — en innkjøpsguide for dem som ikke programmerer dem
En enkel innkjøpsguide til PLC-er, RTU-er, PPC-er og EMS-er for fornybar energi- og OT-sikkerhetsteam — hva de er, hvor de sitter, og hva man faktisk skal kjøpe
16 min lesetid
Personellet, sertifiseringene, forsikringen
De vetted, sertifiserte ingeniørene og det cyber-forsikrings-bilaget långiveren faktisk leser — det menneskelige og kommersielle laget ved siden av den tekniske arkitekturen
11 min lesetid
Oppdateringer ankommer på eierens tidsplan, ikke din
Oppdateringer ankommer som signerte artefakter til anleggseierens repo med dokumentasjon og tilbakerullings-prosedyre. Eieren planlegger distribusjon. Ingen auto-oppdatering
9 min lesetid
Når pengene kommer fra Europa, følger regelboken med
Et anlegg i Nord-Afrika, en EU-basert sponsor, et bud fra en produsent utenfor EU, og EU-regelboken som følger med pengene — åpningen av en 18-delers serie for leverandører
4 min lesetid
Logger leveres i formater noen andres SOC kan lese
Anleggseierens SIEM er systemet for registrering. Enheter sender ut standard-format-logger med dokumentert taksonomi og tamper-evident audit-logger
10 min lesetid
Komponentlisten sanksjons-pulten kommer til å lese
Sanksjoner og proveniens for produsenter utenfor EU — hva långiverens etterlevelses-pakke inneholder, og hvorfor en mislykket sjekk ikke har forhandlingsrom
10 min lesetid
Kommunikasjonsnettverket er ikke ditt å designe
Anleggsnettverket — segmentering, adressering, redundans og brannmurregler — tilhører operatøren, ikke produsenten. Hva du skal spesifisere, og hva du ikke skal
8 min lesetid
IEC 62443-bevismappe: enkeltsides versjon
En utskriftbar, meningssterk sjekkliste over det dokumentariske beviset en revisor vil be om under hver nummererte gruppe i IEC 62443 — og hva som aldri teller
12 min lesetid
Hvor hver av disse samtalene hører hjemme i anskaffelses-tidslinjen
Serie-avslutningen — femten substansielle temaer kartlagt mot åtte anskaffelses-porter, med avhengighetene som avgjør hvor hver samtale hører hjemme
9 min lesetid
Hva som er i firmwaren din: stykklisten ingen spurte etter før
Hva en SBOM er under CRA — hvorfor långiverens risikoteam leser den før sikkerhetsteamet gjør det, og hva som fanger ikke-EU-OEM-er
10 min lesetid
Hva «systemintegrator for L0/L1» faktisk betyr under 62443
Hva en OEM-som-systemintegrator arver under IEC 62443 — sone-og-kanal risikovurdering, Target Security Levels, kartlegging av komponent-kapabilitet
10 min lesetid
Fjerntilgang, men ikke den typen du husker
Vedvarende VPN-tunneler er en arkitektur fra 2015. Det som erstatter dem i EU-finansierte prosjekter — enveis-telemetri ut, formidlet akkurat-i-tid-tilgang inn
8 min lesetid
Fjern cellulærmodemet. Ikke deaktiver — fjern
Cellulærmodemer, Bluetooth, skjulte USB-porter — å deaktivere dem i firmware er ikke tilstrekkelig. Maskinvaren må være fysisk fraværende
7 min lesetid
E-post er ikke et sårbarhetsrapporterings-program
CRA krever et offentlig koordinert sårbarhetsrapporterings-program. En kunde-e-postliste er ikke en. Minimum-levedyktig PSIRT, på 4-6 uker
9 min lesetid
Den regulatoriske stakken, på femten minutter
En 15-minutters gjennomgang av fem EU-regelverk og ett rammeverk som dukker opp i alle EU-finansierte fornybar-prosjekter — CRA, NIS2, GDPR, bærekraftig finans, Equator Principles
14 min lesetid
Den kryptografiske grunnlinjen antatt i hvert europeisk bud
TLS 1.3, ingen SHA-1, AEAD-cipher, anleggseiers PKI, maskinvare-tillitsrot, sikker oppstart, post-kvante-agility — den europeiske kryptografiske grunnlinjen
10 min lesetid
Den fem-årige tjenesteavtalen og den tjuefem-årige støtteforpliktelsen
Tjenesteavtalen løper i fem år, anlegget i tjuefem — og CRAs deklarerte støtteperiode må reflektere driftslevetid, ikke kommersiell syklus
10 min lesetid
Dataen lander et sted. Långiveren vil vite hvor
Hvor OEM-ens analytikk-telemetri faktisk terminerer — GDPR Artikkel 44-49, Schrems II, og dataflyt-diagrammet långiverens DPO vil lese
9 min lesetid
Kartlegging av IEC 62443-kontroller mot NIS2 Artikkel 21-tiltak
NIS2 Artikkel 21 tiltak for tiltak, kartlagt mot IEC 62443-klausuler med samsvarsgrad og det ekstra beviset anleggseiere må produsere på toppen
27 min lesetid
IEC 62443-1-x: ordene alle krangler om
En gjennomgang av IEC 62443 Del 1 — fundamentdokumentene som definerer IACS, soner, kanaler, SL-T/SL-A/SL-C og de syv grunnkravene
27 min lesetid
Tesla Fleet API med Home Assistant
Å koble en Tesla Model Y til Home Assistant via Fleet API — Cloudflare Worker-en, dashbordet, og hjemmeladings-målere som overlever Nord Pool
7 min lesetid
IEC 62443-4-1 og 4-2: hva en OEM faktisk må bevise
Klarspråk-guide til de to IEC 62443-delene enhver industriell OEM blir nevnt med — hva 4-1 og 4-2 er, hva en OEM må bevise objektivt, og de røde flaggene i et samsvarskrav
19 min lesetid
IEC 62443-3-2 og 3-3: hva anleggseiere og integratorer må bevise
Hvordan IEC 62443-3-2 omsetter risiko til en partisjonert systemdesign med mål-sikkerhetsnivåer, hva IEC 62443-3-3 krever av det integrerte systemet, og hvilke bevis hver part må legge på bordet
28 min lesetid
IEC 62443-2-x: forvaltningssystemet bak et sikkert industrianlegg
Forvaltningssystem-halvdelen av IEC 62443 — hvordan anleggseiere driver sine sikkerhetsprogrammer, hvordan tjenesteleverandører beviser sine kapabiliteter, og hvordan oppdateringer faktisk når feltet
23 min lesetid
Hva Copilot ikke kan fortelle deg
Microsoft Copilot for 365 respekterer SharePoint-tilganger, noe som betyr at den svarer ut fra det du kan se — og aldri forteller deg hva som finnes bak veggen
3 min lesetid
Gjelder NIS2 for ditt EU-prosjekt?
En gjennomgang i elleve steg for å avgjøre om Direktiv (EU) 2022/2555 gjelder for organisasjonen din — med kildehenvisninger gjennom hele
25 min lesetid
Gjelder Cyber Resilience Act for ditt produkt?
En gjennomgang i elleve steg for å avgjøre om Forordning (EU) 2024/2847 gjelder for produktet ditt — med kildehenvisninger gjennom hele
27 min lesetid