Byggbodar med fiberuppkoppling, maskiner som rapporterar driftdata i realtid och projektledare som godkänner ritningar från mobilen. Den svenska anläggningsbranschen har på några år gått från papperspärmar till en vardag där nästan allt arbete passerar genom molntjänster och mobila nätverk. Det har gjort projekten snabbare och samordningen bättre, men det har också öppnat en ny sårbarhet som många entreprenörer först nu börjar ta på allvar.

Arbetsplatsen finns inte längre bara på arbetsplatsen

Ett större infrastrukturprojekt drivs i dag från fler platser än själva bygget. Kalkylatorer sitter på huvudkontoret, konstruktörer arbetar hemifrån, underentreprenörer loggar in från sina egna system och platschefen kopplar upp sig från bilen mellan två möten. Varje sådan anslutning är en dörr in i projektets gemensamma miljö, och dörrarna blir fler för varje år.

Samtidigt hanterar branschen information som är intressant för fler än konkurrenterna. Anbudskalkyler, ritningar över samhällsviktiga anläggningar och avtalsvillkor med offentliga beställare är känsligt material. Att ritningar över VA-nät, elförsörjning eller järnvägsanläggningar hamnar i fel händer är inte bara en affärsrisk utan i förlängningen en säkerhetsfråga för hela samhället. Diskussionen om hur standardisering och samarbete avgör framtiden för AI och datacenter i Sverige visar hur tätt sammanflätad den fysiska och den digitala infrastrukturen har blivit. Den som bygger det ena är numera beroende av det andra.

Krypterad trafik borde vara lika självklart som hjälm

På ett bygge ifrågasätter ingen skyddsutrustningen. Hjälm, varselkläder och fallskydd är rutin, och den som slarvar får lämna området. Den digitala motsvarigheten har inte alls samma självklara ställning, trots att ett intrång kan stå ett medelstort entreprenadbolag lika dyrt som en allvarlig arbetsplatsolycka.

Grundskyddet är varken komplicerat eller dyrt. En krypterad anslutning mellan medarbetarnas enheter och företagets system gör att trafiken inte kan avlyssnas, oavsett om platschefen sitter på ett hotellwifi under en tjänsteresa eller använder mobilens delade nätverk ute i fält. För ett företag med tjugo tjänstemän handlar det om en kostnad i nivå med en enda arbetslunch per person och månad. Att jämföra VPN pris och licensmodeller mellan olika leverantörer tar en eftermiddag, och räknat mot vad ett enda dataintrång kostar i stillestånd, återställning och skadat förtroende hos beställare är det en av de billigaste försäkringar ett bolag i branschen kan teckna.

Till det kommer de vanliga grunderna. Tvåfaktorsinloggning på alla konton, separata behörigheter för underentreprenörer och en rutin för att stänga av åtkomst samma dag som någon lämnar projektet. Inget av detta kräver en egen IT-avdelning, bara att någon i ledningen äger frågan.

Lika viktigt är att förbereda sig för dagen då något ändå går snett. Säkerhetskopior av projektdata som förvaras åtskilda från den vanliga miljön avgör om ett utpressningsangrepp blir en dålig vecka eller ett hotat företag, och en enkel plan för vem som ringer vem vid ett intrång sparar dyrbara timmar när det väl smäller. Entreprenörer är vana vid att öva utrymning och hantera tillbud på arbetsplatsen. Att en gång om året gå igenom motsvarande scenario för den digitala miljön, med frågor som hur länge verksamheten klarar sig utan projektservern och var senaste kopian av kalkylerna faktiskt finns, borde vara en lika naturlig del av arbetsmiljöarbetet.

Beställarna har börjat ställa krav

Utvecklingen drivs inte enbart av hotbilden. Offentliga beställare skärper successivt sina krav på informationssäkerhet hos leverantörer, och EU-regelverket NIS2 gör att fler verksamheter inom transport, energi och vatten omfattas av formella säkerhetskrav. Kraven vandrar nedåt i leverantörskedjan, och entreprenörer som inte kan visa hur de skyddar projektinformation kommer att få allt svårare att kvalificera sig i upphandlingar.

För den som vill veta var det egna företaget står finns bra stöd att hämta hos myndigheterna. MSB erbjuder ett kostnadsfritt verktyg för systematiskt arbete med informationssäkerhet och cybersäkerhet som passar även mindre organisationer utan egen säkerhetsfunktion. En genomgång tar några timmar och ger en tydlig bild av vilka luckor som bör täppas till först.

Människan förblir den svagaste länken

Tekniken löser mycket, men de flesta lyckade angrepp mot företag i bygg- och anläggningssektorn börjar fortfarande med ett mejl. En falsk faktura från en underentreprenör, en förfrågan som ser ut att komma från beställaren eller en inloggningssida som är förvillande lik projektportalens. Fakturabedrägerier riktade mot just entreprenadbolag har blivit en egen nisch bland kriminella, eftersom stora belopp och många inblandade parter gör avvikelser svåra att upptäcka.

Därför behöver säkerhetsarbetet också nå ut i bodarna. Korta genomgångar vid säsongsstart, tydliga rutiner för hur ändrade kontouppgifter hos leverantörer verifieras per telefon och en kultur där det är självklart att flagga ett misstänkt mejl utan att skämmas. Den platschef som ringer och dubbelkollar en betalning framstår kanske som omständlig i stunden, men det är exakt den vanan som stoppar angreppen.

En bransch som bygger för framtiden måste även bygga säkert

Svensk infrastruktur står inför ett investeringstungt decennium med järnvägssatsningar, elnätsutbyggnad och nya datacenteretableringar. Projekten blir större, mer datadrivna och mer beroende av att många aktörer delar information friktionsfritt. Det är en utveckling med enorma effektivitetsvinster, men den förutsätter att branschen behandlar sin digitala miljö med samma allvar som den behandlar arbetsmiljön ute på plats.

De bolag som redan nu inför krypterade anslutningar, ordnade behörigheter och utbildad personal skaffar sig ett försprång som märks både i upphandlingar och i vardagen. De som väntar riskerar att lära sig läxan den dyra vägen, mitt i ett pågående projekt, när tidplanen redan är pressad. I en bransch där förseningar kostar miljoner per vecka är det ett scenario som ingen kalkyl klarar av att bära.