ABD'de yabancı şebeke ekipmanı emrine paydaşlardan uygulama endişesi

ABD'de ana şebekeyi (bulk power system) yabancı tehditlerden korumayı hedefleyen yürütme emri, dış tedarikçilere bağımlılık riskini doğru tespit ediyor. Utility Dive'a konuşan paydaşlara göre ise bu riski şebeke yatırımlarını durdurmadan ve elektrik tüketicilerine ek maliyet yüklemeden azaltmak kolay olmayacak.

Emrin kapsamı ve takvim

26 Ağustos'ta yayımlanan 14421 sayılı Yürütme Emri, Enerji Bakanı Chris Wright'a ulusal güvenlik açısından aşırı risk oluşturan yabancı yapımı ekipmanın kurulumunu engelleme yetkisi tanıyor. Yetki yalnızca ekipmanı değil, onunla ilişkili kritik bileşeni, yazılımı, yazılım-donanımı (firmware), dijital hizmeti, bakım hizmetini ve uzaktan erişim kapasitesini de kapsıyor. Risk, kasıtlı sabotajdan ya da tedarik zinciri aksamasından doğabilir. Emir ayrıca bakana, daha önce kurulmuş ekipmanın sökülüp değiştirilmesini emretme yetkisi veriyor.

DOE'nin emri uygulayacak kural ve düzenlemeleri yayımlaması için son tarih 24 Aralık. Bakanlık Eylül ayında sektörden ve diğer paydaşlardan görüş istedi. Temiz enerji kuruluşu RMI'de federal politika yöneticisi Alice Wu, DOE kararlarını açıklayana kadar sektörün büyük belirsizlik ve önemli sorularla karşı karşıya olduğunu söyledi.

Wu'ya göre emir, DOE'den dağıtım sistemine değil, iletimle ilgili ekipmana ve 69 kV ve üzeri bileşenlere odaklanmasını istiyor. Yine de şüpheli kaynaklı yazılım içeren ve ana sisteme bağlı dağıtım bileşenleri de mercek altına giriyor.

Paydaşların görüşleri

DOE'ye verilen yanıtlar emrin amacına geniş destek gösteriyor, ancak uygulama biçimi endişe yaratıyor. Bazı yanıtlar, özellikle uzaktan erişime imkân veren yazılımlarda güvenlik standartlarının menşe ülkeden daha önemli olabileceğini belirtiyor; çünkü herhangi bir sistemdeki açık her yerden herkes tarafından istismar edilebilir. Sektör analisti Brendon Shank'in derlediği verilere göre, "menşe yerine işlev" sorusunda tutum belirten yanıtların büyük çoğunluğu DOE'nin yazılımın menşei yerine işlevsel kontrollere ağırlık vermesini destekledi. Birçok yanıtlayıcı ayrıca yeni uyum kurallarının kademeli getirilmesini ve bazı tedarikçilerin güvenilir olarak ön yeterlilik almasını istedi.

300'den fazla elektrik ekipmanı üreticisini temsil eden Ulusal Elektrik Üreticileri Birliği (NEMA) ile diğer paydaşlar ve uzmanlar, emrin yazılıma, bakım desteğine ve uzaktan erişim getiren hizmetlere vurgusunu olumlu karşıladı. DOE'nin uygulayabileceği mevcut güvenlik standartları olarak NERC, NIST ve IEEE gibi kuruluşların standartlarını gösterdiler.

Politika düşünce kuruluşu Rainey Center'ın analizi ise kısıtlamaların yetenek ve işlev yerine coğrafyaya dayanmasının mantığını sorguladı. Rapora göre emrin saydığı riskler kod, bağlantı ve kontrol üzerinden ilerliyor; cihaz yurt dışında ya da içeride üretilmiş olsa da aynı şekilde işliyor. Rapor, yasağın coğrafyayı, standardın ise her cihazdaki riski yönettiğini belirtiyor. Rainey Center, DOE'nin riski mevcut kontrollere dayanan doğrulanabilir, teknolojiden bağımsız bir standartla tanımlamasını ve tedarikçilerin bağımsız ABD testleriyle ön yeterlilik alabileceği bir sistem kurmasını önerdi.

Yazılımın izini sürmenin zorluğu

Check Point Software Technologies'te güvenlik mimarı yöneticisi Aaron Rose, emrin kritik altyapıyı devreye alanları yazılımlarından sorumlu tuttuğu için doğru güvenlik alanlarına odaklandığını söyledi. Check Point, elektrik şirketleri ve diğer kuruluşlar için güvenlik değerlendirmesi yapıyor. Rose, şirketin büyük bir kuruluş başına haftada ortalama yaklaşık 3.000 siber saldırı gördüğünü aktardı.

Rose'a göre DOE'nin yazılım kararları karmaşık olacak, çünkü güç sistemindeki hemen her şey yazılım tanımlı, yazılımla kontrol edilen ve yazılımla yönlendirilen yapıda. DOE bir yazılımın kaynağını, bakımını kimin yaptığını, kimin uzaktan erişimi olduğunu ve güncellemelerin nereden geldiğini sorabilir. Ancak çoğu firmware, bulut kontrol sistemi, trafo merkezi sistemi ve müşteri sahibi cihazın güncellemeleri açık kaynak kütüphanelerden ya da başka kullanımlar için yazılmış koddan geliyor. Bu durum menşe ülkeyi belirlemeyi zorlaştırıyor. Rose'a göre menşei belirsiz tüm yazılımı ortadan kaldırmak pratik değil.

Rose, güç sistemi yazılımının üçüncü bir tarafa alt yükleniciye verilmiş olabileceğini de belirtti. Donanım üreticilerinin yazılımın geliştiricisine ya da güncellemeler için kimin uzaktan erişimi olduğuna dair belgesi olmayabilir; yapay zekâ araçlarıyla bile bunları izleyemeyebilirler. Güvenlik ekibinin karmaşık bir derleme-çözme (decompiling) işine girmesini önlemek için DOE'nin gelecekteki güncellemelerin ve uzaktan erişimin güvenli kaynaklardan gelmesini şart koşabileceğini söyledi. Bu tür önlemlerin maliyetinin yazılım tedarikçilerine, altyapı sahiplerine ya da tüketicilere mi yüklenece��i ise belirsiz.

Tedarik zinciri ve maliyet baskısı

Elektrik şirketlerinin 2030'a kadar şebeke yenilemeleri için bir trilyon doların üzerinde harcama yapması öngörülüyor. Şirketler, üreticilerdeki birikmiş sipariş yükü artarken ekipman sözleşmesi almak için yarışıyor. NEMA, birçok elektrik sanayisi ürün kategorisinde tedarik zincirlerinin zaten kırılma noktasına yaklaştığını söyledi. Birlik, DOE'yi elektrik sistemi için yapılan ekipmanı değerlendirmek, yeniden tasarlamak, geliştirmek ve üretmek için gereken zamanı, parayı ve kaynağı dikkate almaya çağırdı. NEMA'ya göre yüksek talep ve istikrarlı büyüme dönemlerine kıyasla daha uzun teslim süreleri, üretim hatlarının yeniden donatılması veya yapılandırılmasıyla zamanlamayı dengelemeyi daha da zorlaştırıyor.

Wood Mackenzie analizine göre ABD, 2025'ten bu yana 22 milyar dolardan fazla ana şebeke ekipmanı ithal etti; özellikle Çin'den. Emirden en çok etkilenecek ülkenin büyük olasılıkla Çin olduğu belirtiliyor. Kuruluşa göre 2026'da trafolarda tahmini %15, trafo merkezlerinde %8 piyasa açığı var ve Çin yapımı birimlerin kullanımına getirilecek kısıtlamalar tedarik zinciri sorunlarını daha da ağırlaştıracak. 100 MVA güç trafosu piyasası özellikle risk altında; 10 MVA üzeri güç trafosu piyasası 2020'den bu yana yaklaşık %300 büyüdü.

RMI ve BloombergNEF'in farklı bir analizine göre 2025'te şebeke ithalatının değeri 30 milyar doların üzerindeydi. Meksika, Güneydoğu Asya ve Avrupa Birliği birlikte bunun yarısından fazlasını oluşturdu. Çin'in payı 3,5 milyar dolar, "diğer" ülkelerin payı 7,4 milyar dolar oldu.

Wu, üretim, iletim ve dağıtım işletmecilerinin her ekipmanı söküp değiştirmesinin ve DOE'nin bunu denetlemesinin mümkün olmadığını söyledi. Wu, bunun yerine geçecek güvenli ölçütün ne olacağını ve tüketicilere olası maliyet etkisinin ne olacağını sordu.

Esneklik ve kesinlik çağrısı

ABD ulusal ve ekonomik güvenliğine odaklanan kâr amacı gütmeyen SAFE'in icra direktörü Danielle Russo'ya göre emrin kademeli uyum gibi esneklikleri, olumsuz ekonomik etkilerden kaçınan kararlara imkân verebilir. Russo, DOE'nin güvenli tedarik zinciri ekipman ve bileşenlerinin belirli listelerini yayımlayarak üreticilere ve geliştiricilere gereken netliği sağlayabileceğini söyledi. Ona göre bu, yük artışını karşılamak için gereken üretim yatırımının ve proje geliştirmenin yavaşlamasını önler.

Russo, gümrük tarifelerinden siyasi liderlik değişikliklerine kadar belirsizliklerin yatırımcıları atıl varlık riskiyle karşı karşıya bırakabileceğini, yatırımcıların bu nedenle zorlanmasını kınamanın zor olduğunu belirtti. Russo'ya göre DOE'nin güvenlik kısıtlamaları, uzun vadeli kesinlik sağlayan yasal teşviklerle dengelenmeli.