Cybersäkerhet i energisektorn

Elnät, värmeverk, vindparker och laddstationer styrs i dag av datorer som är uppkopplade mot omvärlden. Det gör energisystemet effektivare men också sårbart. Attackerna mot Ukraina, Danmark och Polen visar hur det kan gå. I april 2026 avslöjades ett angreppsförsök mot ett svenskt värmeverk. Här går vi igenom de kända attackerna, de nya reglerna och vad företag och hushåll kan göra.

Varför är energisystemet ett mål?

Den som slår ut elen slår ut nästan allt annat. Betalsystem, telenät, vattenverk och sjukhus är beroende av el. När strömmen gick på hela Iberiska halvön i april 2025 i nästan 23 timmar verkade mer än hälften av betalsystemen och telenäten vara ur funktion, enligt Nationellt cybersäkerhetscenter. Orsaken var inte en cyberattack, men händelsen visar vad som står på spel.

Energisystemet har blivit mer decentraliserat. Tusentals vind- och solparker, laddstationer och värmepumpar är uppkopplade och fjärrstyrs. Varje uppkoppling kan bli en väg in för en angripare.

Kända cyberattacker mot energisystem

Ukraina 2015 och 2016

Den 23 december 2015 blev omkring 230 000 personer i Ukraina utan ström i upp till sex timmar när angripare tog kontroll över styrsystemen hos tre elbolag. Ett år senare släcktes ungefär en femtedel av Kiev i en timme av skadeprogrammet Industroyer, som beskrivs som det första kända skadeprogrammet byggt för att angripa elnät. Båda attackerna har tillskrivits den ryska militära underrättelsetjänstens grupp Sandworm.

Colonial Pipeline 2021

Colonial Pipeline, en av USA:s största bränsleledningar, stängde den 7 maj 2021 hela sitt system efter en ransomwareattack. Attacken drabbade it-systemen, men bolaget stoppade driften av försiktighet. Först den 13 maj var systemet igång igen, enligt amerikanska energidepartementet. Exemplet visar att även attacker mot kontorsdatorer kan stoppa en fysisk energiförsörjning.

Danmark 2023

I maj 2023 komprometterades 22 danska energibolag i den mest omfattande kända attacken mot dansk kritisk infrastruktur. Angriparna utnyttjade en allvarlig sårbarhet i brandväggar från Zyxel. Flera bolag kopplade bort sig från internet och körde i ö-drift, ett av dem i sex dygn, enligt den danska energisektorns säkerhetscenter SektorCERT.

Sverige och Norge 2025

Våren 2025 utsattes ett värmeverk i västra Sverige för ett angreppsförsök. Säkerhetspolisen identifierade en proryssk aktivistgrupp med kopplingar till rysk underrättelsetjänst. Ett inbyggt skydd stoppade angreppet utan allvarliga följder. Civilförsvarsminister Carl-Oskar Bohlin berättade om händelsen den 15 april 2026.

I Norge tog angripare i april 2025 kontroll över en ventil vid en damm i Bremanger och öppnade den helt i omkring fyra timmar innan operatörerna upptäckte det. Angriparna kom in via ett svagt lösenord till ett webbgränssnitt. Den norska säkerhetspolisens chef Beate Gangås kopplade i augusti 2025 attacken till proryska aktörer.

Polen december 2025

Den 29 december 2025 genomfördes destruktiva attacker mot mer än 30 vind- och solparker i Polen, ett stort kraftvärmeverk som levererar värme till nästan en halv miljon kunder och ett tillverkningsföretag. Vid parkerna förstördes fjärrterminaler så att kommunikationen med nätoperatören bröts. Elproduktionen fortsatte ändå. I kraftvärmeverket stoppade skyddsprogram ett skadeprogram som skulle radera data, enligt CERT Polska.

Attacken visar att förnybar och decentraliserad produktion är en ny måltavla. Det är relevant för Sverige, där vindkraften och solenergin växer snabbt.

Cybersäkerhetslagen och NIS2

Den 15 januari 2026 började cybersäkerhetslagen (2025:1506) gälla. Den genomför EU:s NIS2-direktiv och ersätter lagen om informationssäkerhet för samhällsviktiga och digitala tjänster från 2018. Lagen omfattar verksamheter i 18 sektorer, bland dem energi.

Vilka energiföretag omfattas?

• Företag med minst 50 anställda eller minst 10 miljoner euro i omsättning inom el, fjärrvärme och andra energislag.
• Elproducenter vars huvudsakliga verksamhet är att producera el, oavsett installerad effekt.
• Storskaliga fjärrvärmesystem som levererar till flera kunder.
• Operatörer av publika laddpunkter, inklusive betalsystem.
• Mindre aktörer kan omfattas om de är särskilt kritiska.

Anläggningar under 10 MW som främst används för eget bruk, till exempel solceller på en villa, omfattas inte. Företag som var registrerade enligt den gamla NIS-lagen avregistrerades automatiskt och måste anmäla sig på nytt, enligt Energimyndigheten.

Så ska incidenter rapporteras

1. Tidig varning inom 24 timmar. Så snart det kan ske efter att företaget fått kännedom om en betydande incident.
2. Incidentanmälan inom 72 timmar. Med en första bedömning av incidentens allvar och påverkan.
3. Delrapport på begäran. Om myndigheten vill ha en lägesbild under arbetet.
4. Slutrapport inom en månad. Räknat från incidentanmälan.

Rapporterna lämnas till Nationellt cybersäkerhetscenter, NCSC, vid FRA. CERT-SE tar emot dem och skickar vidare till tillsynsmyndigheten. Från den 1 juli 2026 flyttades cyberverksamheten från Myndigheten för civilt försvar, som hette MSB fram till årsskiftet, till NCSC.

Tillsyn och sanktioner

Energimyndigheten är tillsynsmyndighet för energisektorn och kan förelägga, granska och besluta om sanktionsavgifter. För väsentliga verksamhetsutövare kan avgiften bli upp till två procent av den globala årsomsättningen eller motsvarande 10 miljoner euro, beroende på vilket som är högst. För viktiga verksamhetsutövare är taket 1,4 procent eller 7 miljoner euro.

Sedan den 1 oktober 2026 gäller nya föreskrifter om säkerhetsåtgärder. Ledningen måste genomgå obligatorisk utbildning och säkerhetsåtgärderna ska täcka tio områden, bland dem incidenthantering, leveranskedjans säkerhet och kryptering.

Hur många incidenter rapporteras?

• Statliga myndigheter
• Leverantörer enligt NIS-lagen

Totalt kom 266 rapporter 2025, mot 330 tre år tidigare. Energiförsörjningen stod för tre procent av rapporterna från NIS-leverantörerna, medan hälso- och sjukvården dominerade med 80 procent. Bara omkring var tionde rapport 2025 berodde på ett angrepp. För knappt en tredjedel var orsaken okänd. Siffrorna gäller den gamla lagen och säger därför lite om läget efter 2026.

Svenska kraftnät och elberedskapen

Svenska kraftnät är elberedskapsmyndighet och hjälper elbranschen att förebygga, motstå och hantera störningar. Myndigheten finansierar beredskapsåtgärder som fysiskt skydd, kommunikation, reparationsberedskap och förmåga till ö-drift, där en del av nätet kan köras isolerat. Svenska kraftnät har också ett säkerhetscenter som övervakar alla digitala system dygnet runt och utbildar entreprenörer i säkerhet för industriella styrsystem. Läs mer om nätet i artikeln om smarta elnät.

Så skyddar sig energiföretagen

• Ta reda på om ni omfattas. Energimyndigheten har en självutvärdering. Gamla NIS-registreringar gäller inte längre.
• Ha en rutin för 24 timmar. Den tidiga varningen kräver att någon kan fatta beslut även en helg.
• Uppdatera brandväggar och VPN snabbt. Attacken i Danmark började med en enda känd sårbarhet.
• Skydda fjärråtkomsten. Både Norge och Polen visar att svaga lösenord och öppna gränssnitt till parker och stationer är en väg in.
• Öva ö-drift och manuell drift. De danska bolagen klarade sig genom att koppla bort sig från internet.
• Utbilda ledningen. Det är ett krav enligt de nya föreskrifterna.

Vad kan hushållen göra?

Hushållens solceller, laddboxar och värmepumpar omfattas inte av cybersäkerhetslagen, men de är uppkopplade och kan styras på distans. Byt standardlösenord på växelriktaren och laddboxen och uppdatera mjukvaran. Lägg gärna uppkopplade energiprodukter på ett separat nätverk och stäng av fjärråtkomst som inte används.

Från den 11 december 2027 gäller EU:s förordning om cyberresiliens fullt ut. Den ställer krav på säkerhet och uppdateringar för produkter med digitala delar, vilket omfattar mycket av den utrustning som säljs för solceller och laddboxar. Tillverkarna måste rapportera aktivt utnyttjade sårbarheter sedan den 11 september 2026.

Vanliga frågor

När började cybersäkerhetslagen gälla?

Den 15 januari 2026. Lagen (2025:1506) genomför EU:s NIS2-direktiv och ersatte NIS-lagen från 2018.

Vilka energiföretag omfattas?

Främst företag med minst 50 anställda eller minst 10 miljoner euro i omsättning. Elproducenter vars huvudverksamhet är elproduktion omfattas oavsett storlek, liksom storskalig fjärrvärme och operatörer av publika laddpunkter.

Vem utövar tillsyn i energisektorn?

Energimyndigheten. Den kan förelägga, granska och besluta om sanktionsavgifter.

Hur snabbt måste en incident rapporteras?

En tidig varning senast inom 24 timmar, en incidentanmälan inom 72 timmar och en slutrapport senast en månad efter anmälan.

Vart rapporterar man en incident?

Till Nationellt cybersäkerhetscenter vid FRA. CERT-SE tar emot rapporterna och skickar dem vidare till tillsynsmyndigheten.

Omfattas mina solceller hemma?

Nej. Produktion under 10 MW som främst används för eget bruk omfattas inte av cybersäkerhetslagen.

Har en cyberattack orsakat strömavbrott?

Ja. I Ukraina i december 2015 blev omkring 230 000 personer utan ström i upp till sex timmar efter en attack mot tre elbolag.

Har svensk energiinfrastruktur angripits?

Ja. Våren 2025 stoppades ett angreppsförsök mot ett värmeverk i västra Sverige. Säkerhetspolisen kopplade det till en proryssk grupp.