Text: Thomas Olsson. Executive Solutions Consultant på Octave
Cybersäkerhetslagen, som genomför EU:s NIS2-direktiv, trädde i kraft den 15 januari. Anmälningsplikten öppnade i februari, NCSC tog över anmälningarna den 1 juli och tillsynsmyndigheterna har börjat höra av sig till organisationer. Lagen är alltså inte längre en framtidsfråga utan en konkret uppgift, och där saknar en stor del av den kommunala infrastrukturen svar.
Den gamla NIS-regleringen omfattade sju sektorer. Den nya lagen omfattar 18. Till det kommer en tröskel på 50 anställda eller tio miljoner euro i omsättning, vilket drar in verksamheter som aldrig tidigare betraktat sig som reglerade. I praktiken handlar det om hundratals kommunala energibolag, VA-bolag, hamnar och trafikhuvudmän. Många av dem har en handfull personer på IT och ingen alls som arbetar heltid med säkerhet i driftmiljön.
Det är också just de sektorer som EU:s cybersäkerhetsbyrå ENISA placerar i riskzonen: där mognaden inte står i proportion till hur samhällsviktig verksamheten är. Vatten och avlopp, järnväg, sjöfart och offentlig förvaltning återfinns alla här. ENISA konstaterar dessutom att ungefär två av fem verksamheter inom transportområdet helt utelämnar sina styrsystem vid sina säkerhetsbedömningar.
Driftmiljön ligger långt efter IT Glappet går att beskriva enkelt. På IT-sidan har en organisation med ett ledningssystem för informationssäkerhet enligt ISO 27001 redan täckt uppskattningsvis 70 till 80 procent av kraven. Styrning, behörigheter, incidenthantering och kontinuitetsplanering finns på plats.
I driftmiljön ser det annorlunda ut. Det gäller den operativa tekniken (OT) som styr pumpar, ställverk, spårväxlar och pannor. Utrustningen är ofta äldre än de personer som sköter den. Den går dygnet runt och kan inte stoppas för uppdatering, och tillverkaren har i vissa fall slutat leverera säkerhetsuppdateringar. Insynen i vad som faktiskt finns anslutet är begränsad.
Här görs ett vanligt misstag: verksamheter köper övervakningsverktyg innan de vet vad de ska övervaka. Det går inte att bedöma en risk, prioritera en åtgärd eller avgränsa en incidentrapport för utrustning som ingen har en förteckning över. Ordningsföljden är avgörande. Den skiljer ett program som rör sig framåt från ett som står still efter arton månader.
Leverantörerna är den svaga länken Leverantörsberoendet gör frågan ännu mer akut. Attacken mot Miljödata i augusti 2025 slog mot en systemleverantör vars lösningar används av över 200 kommuner, och den omfattade uppgifter om runt 1,5 miljoner personer. Det var ett IT-fall, men mönstret är detsamma i driftmiljön. Underhållspartner och systemleverantörer har fjärråtkomst till anläggningar, ofta via uppkopplingar som ingen har kartlagt.
Lagen kräver att en första varning om en incident lämnas till tillsynsmyndigheten inom 24 timmar. Den tiden räcker inte långt om den första timmen går åt till att ta reda på vilka system som berörs och vem som har tillgång till dem.
Börja med att veta vad som finns Vägen framåt behöver varken vara dramatisk eller komplicerad. Den börjar med en förteckning över de industriella tillgångarna, och den kan tas fram automatiskt. Kalkylark räcker inte när anläggningarna är geografiskt spridda och utrustningen kommer från kanske tio olika tillverkare. Samma verktyg kan sedan passivt kartlägga sårbarheter, utan att störa driften, och larma när en konfiguration ändras. Först då går det att prioritera utifrån faktisk risk, och först då går det att skriva en incidentrapport som betyder något.
Det här är inte i första hand en fråga om att undvika sanktionsavgifter, även om de är kännbara och ansvaret vilar personligen i styrelsen och vd. Det handlar om att kommuner ska kunna leverera vatten, värme och transporter även den dag någon försöker hindra dem. Lagen anger vad som krävs. Vägen dit måste varje verksamhet staka ut själv, och den börjar med att veta vad man har.
