Samhällsviktiga styrsystem ligger öppna på internet. Så lyder rubriken på en artikel från SVT som publicerades den 12 oktober 2026. SVT:s kartläggning visar tusentals industriella styrsystem i Sverige som går att nå från internet, och i över 2 000 fall saknas observerbart skydd.

Vatten och avlopp nämns inte i artikeln. Men samma sorts teknik, styrsystem som övervakas och fjärrstyrs på distans, används i VA.

Hur ser det då ut hos oss? Ingen verkar ha räknat hur många svenska VA-anläggningar som går att nå utifrån. Men det finns en svensk kartläggning och flera händelser i våra grannländer som visar vad som står på spel, och vad som hjälper.

Vad SVT hittade

SVT räknar med 3 809 unika IP-adresser där industriella styrsystem eller styrsystemtjänster var synliga på internet. Underlaget kommer från Censys, en sökmotor som kartlägger vad som syns utifrån. I över 2 000 fall fanns inget observerbart skydd på nätverksnivå eller genom kryptering, utöver eventuellt användarnamn och lösenord. Siffran är en uppskattning av det som syns, inte en exakt räkning av alla styrsystem i landet.

Exemplen är kylsystem i mataffärer och IVF-laboratorier, avfrostning på vindkraftverk, ventilation i vallokaler och utrustning på moderna lantbruk. I en byggnad i Skövde där Region Västra Götaland har kontor gick värme och ventilation enligt öppna data att styra utan lösenord. Fastighetsägaren stängde exponeringen direkt.

John Billow, chef för Nationellt cybersäkerhetscenter vid FRA, säger: ”Vi rekommenderar ingen att exponera på det här sättet.” Användarnamn och lösenord räcker inte: ”Det behövs något mer för att säkra sitt system.” FRA och Myndigheten för civilt försvar, tidigare MSB, har enligt SVT varnat för riskerna i flera år, och myndigheten anser att onödiga internetanslutningar till styrsystem bör tas bort.

SVT tar också upp norska Bremanger, där hackare i april 2025 kom förbi en inloggningssida och fjärrstyrde dammluckorna till sjön Risevatnet. En lucka öppnades och 500 liter vatten per sekund flödade ut.

Samma dag: hackade kylar och frysar i Frankrike

Den 12 oktober 2026, samma dag som SVT publicerade sin kartläggning, bekräftade franska stormarknader en attack mot uppkopplade kylsystem i hundratals butiker. Enligt Reuters, återgivet av ABC News, höjdes temperaturen i kylar och frysar till som mest 50 grader, maten förstördes och det uppstod bränder. Intermarchés vd uppskattar förlusten till tiotals miljoner euro i hela landet på en enda dag, enligt Al Jazeera. Frankrikes premiärminister har låtit cybersäkerhetsmyndigheten ANSSI utreda, och en källa nära regeringen pekar på en sårbarhet i programvara från danska Danfoss, vilket inte är officiellt bekräftat. Danfoss säger att de drabbade enheterna körde föråldrad programvara. Ingen har pekats ut bakom attacken.

Det är samma sorts system som SVT räknar upp först, kylsystem i mataffärer, och samma sorts följd som i Køge: någon styr ett fysiskt värde utifrån.

Samma teknik – även i VA

VA-anläggningar styrs på ungefär samma sätt som kylanläggningarna i SVT:s kartläggning: sensorer, styrenheter och ett övervakningssystem, ofta kallat SCADA, som visar läget och skickar kommandon. Anläggningarna ligger utspridda i kommunen, och för att personalen inte ska behöva åka ut vid varje larm är många uppkopplade för fjärrövervakning och fjärrstyrning, ofta även för entreprenörer och leverantörer. Det är praktiskt. Det är också där riskerna uppstår.

I de fall jag har läst om har följden varit tryck, pumpar och kontroll, inte förgiftat vatten. I Danmark sprack rör när trycket manipulerades. I USA har operatörer låsts ut från sina egna styrenheter och fått köra manuellt, och FBI noterade, enligt Cybersecurity Dive, att lågt tryck kan släppa in orenat vatten i ledningarna.

Hur många svenska VA-anläggningar som går att nå från internet vet vi inte. SVT:s kartläggning säger inget om VA, och jag har inte hittat någon svensk siffra. Däremot finns en äldre kartläggning av just våra system.

Så såg det ut i Sverige

Det finns en svensk kartläggning av just VA:s styrsystem, men den är från 2010. MSB och Svenskt Vatten publicerade då Kartläggning av SCADA-säkerhet inom svensk dricksvattenförsörjning. Enkäten gjordes 2009 och 87 organisationer svarade. Tillsammans stod de för över 73 procent av landets dricksvattenproduktion och försörjde mer än fem miljoner människor. Resultatet:

  • Många SCADA-system hade direkta länkar till internet och fjärranslutningar till systemleverantörerna. Bara en minoritet uppgav att styrsystemen var fysiskt skilda från kontorsnätverk och internet.
  • I en majoritet av anläggningarna fick extern underhållspersonal koppla in sin egen utrustning.
  • Flera organisationer hade inte bytt leverantörslösenord.
  • 88 procent var beroende av externt anlitad expertis.
  • Bara en av fyra ansåg att den nödvändiga kompetensen fanns i den egna organisationen, och en klar majoritet saknade informationssäkerhetspolicy för SCADA.
  • Cirka 8 procent hade haft IT-relaterade säkerhetsincidenter. De flesta anläggningar saknade dock rutiner för incidenthantering och intrångsdetektering, så siffran kan vara för låg.

Rapportens slutsats var att informationssäkerheten hos de svenska dricksvattenproducenterna var relativt låg. Rapporten bygger på självrapportering och gäller dricksvatten, inte avlopp, och mycket kan ha förbättrats sedan dess. Jag har dock inte hittat någon nyare kartläggning av samma slag.

Danmark: när trycket styrdes utifrån

Danmark visar vad som kan hända när styrsystemen i ett vattenverk tas över. En natt i december 2024 föll trycket till noll i pumparna på Tureby-Alkestrup vattenverk, ett litet verk söder om Køge. Ordföranden Jan Hansen trodde först på ett vanligt fel. När han inte kunde justera pumptrycket på distans återställde den driftansvarige pumparna manuellt, och vattnet var tillbaka inom några timmar. Därefter bekräftade leverantören av fjärrstyrningen att systemet var komprometterat, enligt TV2 Kosmopol.

Mindre än ett dygn senare höjde angriparna trycket i nätet och minst tre vattenrör sprack. Ungefär 50 hushåll var utan vatten i sju timmar och 450 hem i en timme, enligt Euronews. Den prorysska gruppen Z-Pentest tog på sig attacken. I december 2025 pekade Danmark ut Ryssland och uppgav att gruppen har kopplingar till den ryska staten.

Hansen har själv sagt att verket sovit på posten: det fanns larm för pumpar, borrhål och dörrar, men ingen övervakning av den elektroniska säkerheten.

Verket var litet, men det står inte ensamt. Danmarks Center for Cybersikkerhed bedömde i januari 2025 cyberbrottshotet mot vattenverken som ”mycket högt”. Det var första gången en sådan bedömning gjordes för vattenförsörjningen, och oron gällde främst ransomware, enligt The Local. I en enkät från Danske Vandværker, som Ritzau refererade i september 2026, svarade 83 av 691 konsumentägda vattenverk, 12 procent, att de någon gång utsatts för cyberangrepp, enligt Sjællandske Nyheder. Det betyder inte att alla fall var allvarliga.

Norge, Finland och fler

Fler grannländer visar samma mönster. I Norge sa säkerhetspolisen PST i augusti 2025 att man ser en förändring hos proryska hackare och pekade på attacken mot dammen i Bremanger som exempel. Syftet med den här typen av operationer är att skapa rädsla och kaos hos befolkningen, sa PST-chefen Beate Gangås enligt Wikipedia. En damm är inte VA, men styrsystemen är av samma slag.

I Finland visade en myndighetsrapport från ELY-centralen, som Kaleva återgav i juli 2024, att vattenverkens cybersäkerhet är delvis bristfällig. Vissa verk samlade inte ens in loggdata från sina IT-system, och ledningarna behöver mer utbildning om hur ett cyberangrepp kan slå mot verksamheten. Finland har över 1 100 vattenverk, och de mindre har ofta få anställda och små resurser.

I Polen sa vice premiärminister Krzysztof Gawkowski i augusti 2025 att en storstad kunde ha blivit utan vatten efter ett cyberangrepp, men att angreppet stoppades. Några detaljer lämnades inte, enligt CSO Online. I USA drabbades över 30 vattensystem i Minnesota i slutet av juli 2026, och FBI rapporterade incidenter i minst sju delstater. Angriparna kom åt styrenheter som gick att nå från internet, och flera system fick köras manuellt, enligt LevelBlue.

Så arbetar vi bort sårbarheterna

SVT:s expert och myndigheterna ger samma råd: ta bort det som inte behöver vara uppkopplat och skydda resten med mer än ett lösenord. För oss i VA kan det delas upp så här:

  1. Ta reda på vad som går att nå utifrån. Gå igenom alla uppkopplingar mot styrsystemen: fjärråtkomst för egen personal, entreprenörer och leverantörer, mobilmodem och gamla lösningar som ingen minns. Dokumentera alla leverantörsanslutningar, rekommenderar LevelBlue.
  2. Ta bort onödig exponering. Styrenheter, operatörspaneler och modem ska inte gå att nå direkt från internet, säger den amerikanska cybersäkerhetsmyndigheten CISA, enligt Cybersecurity Dive. Behövs fjärråtkomst ska den gå via en kontrollerad och loggad ingång.
  3. Byt standardlösenord och dela inga konton. MSB:s kartläggning visade att flera inte bytt leverantörslösenord. Livsmedelsverket varnar för delade leverantörskonton, eftersom inloggningarna sprids och inte byts när personal slutar.
  4. Kräv flerfaktorsinloggning vid fjärråtkomst. Livsmedelsverket kallar det en grundläggande åtgärd för industriella styrsystem. Reglera vilka som får styra via VPN, granska behörigheterna regelbundet och låt inte inloggningen bero på externa tjänster som SMS.
  5. Skilj styrsystemen från kontorsnätet. I MSB:s kartläggning var det bara en minoritet som hade gjort det.
  6. Ställ samma krav på leverantörer som på egen personal. Det går att göra redan i upphandlingen, och MSB:s rapport rekommenderade just riskanalys, upphandling och leverantörsuppföljning.
  7. Kunna köra manuellt, ha säkerhetskopior och öva. Håll verifierade säkerhetskopior av styrenheternas programvara och en plan för manuell drift. Udsholt vandværk i Gribskov kopplade hösten 2025 bort sig från internet efter ett angrepp och körde i ö-drift, utan att kunderna märkte något.

Att det går att göra snabbt visade Tureby-Alkestrup. Inom några timmar efter attacken hade styrelsen satt upp en VPN-anslutning, nya lösenord och tvåfaktorsinloggning, och hackarna var utlåsta. ”Det värsta är att det inte alls är svårt att skydda sig mot”, sa Jan Hansen till TV2 Kosmopol, här i fri översättning.

Lagen ställer krav

Cybersäkerhetslagen trädde i kraft den 15 januari 2026 och ställer krav på bland annat dricksvattenproducenter. Lagen bygger på EU:s NIS 2-direktiv och omfattar enligt Nationellt cybersäkerhetscenter verksamheter i 18 sektorer. De som omfattas ska bedöma sina risker, införa säkerhetsåtgärder kopplade till riskerna, rapportera betydande incidenter och utbilda sig, särskilt ledningen. Organisationerna ska själva ta reda på om de omfattas och anmäla sig till Myndigheten för civilt försvar.

Enligt Svenskt Vattens genomgång av regeringens förslag omfattas verksamheter som producerar dricksvatten eller renar avloppsvatten om de är minst medelstora, liksom kommuner och kommunalförbund. Tidigare gällde reglerna bara dricksvattenproducenter. Livsmedelsverket har tagit fram anpassad vägledning om cybersäkerhetslagen för dricksvattenproducenter.

Exakta storleksgränser och tillsynen över avloppsverksamhet har jag inte kunnat bekräfta i lagtexten, så det bör man kontrollera själv. Men en öppen styrenhet är just den sortens risk som riskbedömningen ska fånga.

Fem frågor att ställa i den egna organisationen

Fem frågor räcker för att se var man står:

  1. Vilka av våra styrsystem och modem går att nå från internet, och varför?
  2. Vem har fjärråtkomst – egen personal, entreprenörer eller leverantörer – och med vilken inloggning?
  3. Är styrsystemen skilda från kontorsnätet?
  4. Kan vi köra anläggningen manuellt om styrsystemet slås ut, och har vi övat på det?
  5. Vem ansvarar för styrsystemens säkerhet, och vet ledningen om det?

SVT:s kartläggning handlar inte om vatten, men tekniken är densamma. Danmark visar vad som kan hända, och verket i Køge visar att skyddet inte behöver vara svårt. Det gäller att göra det innan något händer.

Källor