Det finns inte ett regelverk för säkerhet i VA utan flera, och de är inte tydliga med vem de gäller eller vad de kräver. Cybersäkerhetslagen trädde i kraft den 15 januari 2026. Regeringen har föreslagit ännu en lag, för kritiska verksamhetsutövare, som ska gälla från den 1 januari 2027. Därtill finns säkerhetsskyddslagen och Livsmedelsverkets krav på dricksvattenproducenter.

När jag skrev om öppna styrsystem stötte jag på frågor som verkar enkla men som jag inte kunde besvara utifrån öppna källor: vilka VA-organisationer omfattas, och vem utövar tillsynen över avlopp? När jag sedan tittade på personalsäkerhet blev listan längre: vad får en arbetsgivare kontrollera, och vad gäller för en studerande som söker praktik?

Det här är ett diskussionsunderlag. Det bygger på öppna källor och är min läsning av dem, inte juridisk rådgivning. Där något inte går att bekräfta står det så. Rättelser är välkomna.

Fyra regelverk, och vad som är oklart i varje

Jag går igenom dem ett i taget: vem som omfattas, vad som krävs, vem som utövar tillsyn och vad jag inte har kunnat reda ut.

Cybersäkerhetslagen (NIS 2)

  • Gäller: statliga myndigheter med vissa befogenheter, regioner, kommuner och kommunalförbund, samt medelstora eller större verksamhetsutövare i de sektorer som lagen pekar ut. Dricksvatten och avloppsvatten är två av dem, enligt cybersäkerhetsförordningen.
  • Krav: anmälan till tillsynsmyndigheten, lämpliga säkerhetsåtgärder, utbildning av ledningen och rapportering av betydande incidenter inom 24 timmar, med en fullständig rapport inom 72 timmar. Så står det i cybersäkerhetslagen, som gäller från den 15 januari 2026.
  • Tillsyn: Livsmedelsverket för dricksvatten och avloppsvatten, och länsstyrelserna för kommuner och regioner.
  • Oklart: vilken tillsynsmyndighet som gäller när VA drivs i kommunal förvaltning, och hur storleken räknas för en förvaltning eller ett kommunalt bolag. Svenskt Vatten varnade i sitt remissvar 2024 för "dubbla och i värsta fall motstridiga krav". I de texter jag har läst finns inget svar.

Säkerhetsskyddslagen

  • Gäller: den som "till någon del bedriver verksamhet som är av betydelse för Sveriges säkerhet", alltså säkerhetskänslig verksamhet, enligt lagen.
  • Krav: att organisationen analyserar vad som är skyddsvärt och att den som deltar i verksamheten säkerhetsprövas. Mer om det i nästa avsnitt.
  • Tillsyn: Livsmedelsverket finns inte med i Transportstyrelsens förteckning över tillsynsmyndigheter. Bedrivs verksamheten direkt av en kommun är det en länsstyrelse, Säkerhetspolisen eller Försvarsmakten. För ett kommunalt bolag är det den sektorsmyndighet som har området, eller länsstyrelsen om området saknar egen myndighet.
  • Oklart: om någon del av VA är säkerhetskänslig verksamhet. Jag har inte hittat någon källa som säger det. Enligt en kommunal riktlinje ska organisationens egen säkerhetsskyddsanalys identifiera vad som är skyddsvärt, så svaret kan variera mellan organisationer.

Förslaget om kritiska verksamhetsutövare (CER)

  • Gäller: verksamhetsutövare som en myndighet pekar ut som kritiska, bland annat inom dricksvatten och avloppsvatten. Kommuner kan vara offentliga verksamhetsutövare, och kommunala bolag ska enligt propositionen behandlas som enskilda.
  • Krav: riskbedömning, åtgärder för motståndskraft, rapportering av vissa incidenter och bakgrundskontroll av personal i utpekade befattningar.
  • Tillsyn: regeringen utser tillsynsmyndighet, och ingen är namngiven i förslaget.
  • Läge: regeringen lämnade propositionen till riksdagen i juli 2026. Lagen föreslås gälla från den 1 januari 2027, och skyldigheterna börjar gälla nio till tio månader efter att en verksamhetsutövare fått beskedet att den är kritisk. Något riksdagsbeslut har jag inte sett.
  • Oklart: vilka som pekas ut, av vem och när.

Livsmedelsverkets föreskrifter om skydd mot sabotage (LIVSFS 2008:13)

  • Gäller: dricksvattenverk och distributionsanläggningar som försörjer fler än 2 000 personer, ungefär 500 verk enligt Livsmedelsverkets vägledning.
  • Krav: åtgärder mot obehörigt tillträde, skydd av system för drift och övervakning och handlingsplaner för att upptäcka och avhjälpa sabotage.
  • Oklart: vägledningen, som uppdaterades i december 2024, säger att verksamheter som omfattas av NIS-lagstiftningen är undantagna från kraven på skydd av drift- och övervakningssystem. Den tidigare NIS-lagen ersattes av cybersäkerhetslagen den 15 januari 2026, och jag har inte hittat hur undantaget ska läsas efter det.

Redan med de regler som gäller kan en kommunal VA-organisation alltså ha både Livsmedelsverket och en länsstyrelse som tillsynsmyndighet.

Personal: prövning, kontroll och intervju

Två av regelverken säger något om personalen, och de säger olika saker.

Säkerhetsprövning enligt säkerhetsskyddslagen

Den som "genom en anställning eller på något annat sätt" ska delta i säkerhetskänslig verksamhet ska säkerhetsprövas, och prövningen ska vara gjord innan deltagandet börjar. Registerkontroll kräver samtycke från den som prövas. Det framgår av 3 kap. säkerhetsskyddslagen.

Hur prövningen går till visar två exempel som jag har läst. Enligt Köpings riktlinje består den av en säkerhetsprövningsintervju, kontroll av referenser, betyg och intyg, samt registerkontroll om anställningen placeras i säkerhetsklass. För högre klasser tillkommer en särskild personutredning som bland annat undersöker ekonomin. Försvarets materielverks intervjumall visar vad samtalet kan beröra: ekonomi, alkohol, narkotika, kontakter, publicitet på internet och kopplingar till utlandet.

Bakgrundskontroll enligt förslaget

Förslaget om kritiska verksamhetsutövare går inte lika långt. Den kritiska verksamhetsutövaren ska analysera vilka befattningar där deltagandet innebär möjlighet att orsaka "mer än ringa störning". De som deltar i eller ska delta i verksamheten, i den mån analysen kräver det, ska styrka sin identitet och visa upp ett utdrag ur belastningsregistret som inte är äldre än sex månader. Kontrollen ska förnyas när det finns skäl och med högst två års mellanrum. Någon annan dokumentation än en anteckning om att identitet och utdrag har visats får inte göras. Så står det i propositionen. Någon intervju eller referenstagning nämns inte i de paragrafer jag har läst.

Vad en arbetsgivare i övrigt får göra

Det här är det jag har haft svårast att få grepp om. Regeringens direktiv till en utredning från 2013, Registerutdrag i arbetslivet, beskriver att vissa arbetsgivare har rätt att begära utdrag ur belastningsregistret, men att arbetsgivare verkar begära det även i många andra fall, och att det enligt dåvarande personuppgiftslagen inte ens var möjligt att samtycka till att arbetsgivare som inte är myndigheter behandlade uppgifter om lagöverträdelser. Direktivet är gammalt, personuppgiftslagen har sedan ersatts av dataskyddsförordningen, och jag har inte hittat någon nyare genomgång. Vad en VA-organisation får kontrollera hos dem som inte omfattas av någon av de två lagarna kan jag därför inte svara på. Det är en fråga för en jurist eller ett dataskyddsombud.

Nästa generation: svårt att ta sig in i branschen

Otydligheten drabbar också dem som vill in i branschen. Jag har fått höra att studerande på yrkeshögskoleutbildningar inom VA ofta får nej när de söker plats för lärande i arbete, LIA 1, LIA 2 och så vidare, med hänvisning till att informationen är säkerhetsklassad. Det är en iakttagelse från samtal och ingen kartläggning, och jag har inte hittat någon publicerad undersökning av hur vanligt det är.

LIA är en stor del av yrkeshögskolans utbildningar. Enligt regeringens pressmeddelande den 5 juni 2026 ska minst en fjärdedel av utbildningstiden i alla yrkeshögskoleprogram som huvudregel bestå av lärande i arbete på en arbetsplats. Bestämmelserna träder i kraft den 1 april 2027. Säkerhet nämns inte i pressmeddelandet. Ju större del av utbildningen som är LIA, desto viktigare blir frågan om platser.

Vad säger reglerna?

Säkerhetsprövning krävs för den som ska delta i säkerhetskänslig verksamhet, och jag har inte hittat någon källa som säger att VA är det. "Säkerhetsklassad information" finns inte som begrepp i texterna jag har läst. Där talas det om säkerhetskänslig verksamhet, säkerhetsskyddsklassificerade uppgifter och anställningar som placeras i säkerhetsklass. Köpings riktlinje, som jag nämnde ovan, avgränsar kretsen till dem som får ta del av säkerhetsskyddsklassificerade handlingar, har tillträde till säkerhetskänsliga anläggningar eller på annat sätt deltar i verksamhet som berör Sveriges säkerhet. Praktikanter och studerande nämns inte i riktlinjen.

Förslaget om kritiska verksamhetsutövare nämner inte heller studerande i de paragrafer jag har läst. Bakgrundskontrollen gäller "en person som deltar i eller ska delta i verksamheten", i den mån organisationens egen befattningsanalys kräver det. Svaret hänger alltså på hur varje organisation analyserar sina befattningar.

Varför blir svaret nej?

Det vet jag inte. En möjlig förklaring, som jag inte har kunnat styrka, är att det känns tryggare att tacka nej än att riskera ett misstag när reglerna är oklara. En annan är att vissa delar av verksamheten verkligen är skyddade, och att det är enklare att stänga dörren helt än att dra gränser. Jag har inte underlag för att avgöra vilket som stämmer.

Tre saker som jag tycker är värda att diskutera:

  • Vilka arbetsuppgifter under en LIA-period ligger faktiskt inom det som organisationen har bedömt som skyddsvärt, och vilka gör det inte?
  • Kan svaret bli ja med gränser, så att den studerande får delta i det som inte är skyddat även om andra delar är stängda?
  • Kan tillsynsmyndigheter och branschorganisationer säga om studerande och praktikanter omfattas av säkerhetsprövningen eller av den föreslagna bakgrundskontrollen?

Så länge frågorna är obesvarade riskerar den som vill bli en del av branschen att få ett nej som ingen kan förklara.

Vad branschen har bett om

Det jag har kunnat läsa om vad branschen vill är vad Svenskt Vatten skrev i två remissvar: ett från maj 2024 om delbetänkandet Nya regler om cybersäkerhet och ett från januari 2025 om betänkandet Motståndskraft i samhällsviktiga tjänster. Det är Svenskt Vattens ord och inte hela branschens. Jag har inte läst remissvar från enskilda VA-organisationer eller från Sveriges Kommuner och Regioner, och jag har inte jämfört önskemålen med propositionen.

Svenskt Vatten bad bland annat om:

  • Tydlighet om vem som omfattas. "Det behöver vara lätt för verksamhetsutövarna att göra rätt", och det ska inte finnas några tveksamheter om huruvida verksamheten omfattas av kraven.
  • Inga dubbla krav. Svenskt Vatten såg en uppenbar risk för "dubbla och i värsta fall motstridiga krav" när föreskrifter från både Livsmedelsverket och länsstyrelsen gäller parallellt.
  • En tydlig gräns mot säkerhetsskyddet. Skyldigheten att rapportera incidenter kan enligt Svenskt Vatten komma i konflikt med säkerhetsskyddsregleringen, och de frågade i vilken mån den som omfattas av säkerhetsskyddslagen också ska omfattas av cybersäkerhetslagen.
  • Lika sanktioner oavsett driftform. VA kan drivas i kommunal förvaltning, kommunalt bolag eller kommunalförbund. Att räkna kommunala bolag som enskilda gör enligt Svenskt Vatten att maxnivån för sanktionsavgift blir tio gånger högre än för en offentlig verksamhet. Beloppet "måste vara organisationsneutralt".
  • Besked om hur utpekandet går till. Betänkandet beskrev inte hur bedömningen av vilka som är kritiska ska göras, eller om kommunen ska medverka.
  • Lagstöd för bakgrundskontroller, med tydliga skäl. Svenskt Vatten var positivt till lagstöd, men skrev att det kan bli administrativt tungt att göra om kontrollen efter två år och att det måste vara tydligt vad som är tillräckliga skäl.
  • Vägledning och dialog. "Vägledning blir ett viktigt stöd i att uppnå ett rimligt skydd", och den behöver sannolikt tas fram i samverkan mellan myndigheterna. Svenskt Vatten ville också att tillsynsmyndigheten stödjer verksamhetsutövarna "på ett dialog- och förtroendebaserat sätt", vilket enligt dem innebär rådgivning och vägledning och inte enbart tillsyn.

Svenskt Vatten ville också att Livsmedelsverket skulle vara tillsynsmyndighet för dricksvatten och avlopp. Det blev så i cybersäkerhetsreglerna, men länsstyrelserna har tillsyn över kommuner, och det är där otydligheten uppstår. Förslaget om kritiska verksamhetsutövare namnger ingen tillsynsmyndighet.

Det vi inte vet

Det här är frågorna som jag inte har kunnat besvara med öppna källor. Några av dem kan ha enkla svar hos en tillsynsmyndighet eller en jurist.

  1. Är någon del av VA säkerhetskänslig verksamhet enligt säkerhetsskyddslagen, och vem avgör det?
  2. Hur räknas storleken på en kommunal förvaltning eller ett kommunalt bolag när cybersäkerhetslagen ska tillämpas?
  3. Vilken tillsynsmyndighet gäller när VA drivs i kommunal förvaltning?
  4. Vilka verksamhetsutövare pekas ut som kritiska, av vem och när?
  5. Vem blir tillsynsmyndighet enligt förslaget om kritiska verksamhetsutövare?
  6. Hur ska undantaget i Livsmedelsverkets vägledning för verksamheter som omfattas av NIS-lagstiftningen läsas efter att den tidigare NIS-lagen ersattes av cybersäkerhetslagen?
  7. Vad får en VA-organisation kontrollera hos personal utanför säkerhetsskyddslagen och den föreslagna lagen, och spelar det roll om VA drivs i förvaltning eller bolag?
  8. Omfattas studerande på LIA, praktikanter, konsulter och entreprenörer av säkerhetsprövningen eller bakgrundskontrollen?
  9. Hur samordnas incidentrapporteringen med säkerhetsskyddet?

Frågor till dig som läser

Jag vill veta vad som gäller i verkligheten, inte bara vad texterna säger. Berätta gärna:

  • Har er organisation fått besked av sin tillsynsmyndighet om vilket regelverk som gäller, och i så fall vilket?
  • Har du sökt LIA, eller har du som handledare eller chef fått frågan? Vad blev svaret, och vilken orsak angavs?
  • Vilka av frågorna ovan har du fått besvarade, och av vem?
  • Vad saknar du för att kunna göra rätt?

Har du svar eller rättelser är du välkommen att höra av dig via VAKonsults sida. Beskriv inga enskilda anläggningar, system eller säkerhetsåtgärder, och skriv utan organisationens namn om du föredrar det.

Källor

Sidorna lästes i oktober 2026. Förslag och vägledningar kan ändras.

Lagar, förslag och myndigheter

Personal och säkerhetsprövning

Branschens önskemål och nästa generation