I juli ble sensitive dokumenter stjålet og publisert av hackere. Dokumentene inneholder kart over vann- og avløpsnettet, risikovurderinger og beredskapsplaner. Flere av dokumentene er unntatt offentlighet av sikkerhetshensyn.
I takt med at kritisk infrastruktur digitaliseres, øker også risikoen for at digitale angrep kan få fysiske konsekvenser.
Manipulerte styringssystem
I Norge har flere hendelser de siste årene vist at trusselen er reell. I 2025 fikk hackere tilgang til styringssystemer knyttet til et damanlegg i Bremanger. Hendelsen gjaldt ikke et kommunalt vannverk, men viser tydelig hvordan digitale styringssystemer ved fysiske anlegg kan manipuleres.
Vannverket i Drammen har også vært utsatt for digitale angrep, og Nasjonal sikkerhetsmyndighet (NSM) har advart om at både kriminelle og prorussiske aktører viser økt interesse for norsk kritisk infrastruktur.
Utviklingen er ikke unik for Norge. I Finland har flere vannverk blitt utsatt for innbrudd og forsøk på sabotasje. I Sverige rapporterte myndighetene om en rekke hendelser mot vannforsyningssektoren i 2024, både fysiske og digitale. Danske myndigheter vurderer samtidig cybertrusselen mot vannverk som svært høy.
PST trekker i sin nasjonale trusselvurdering fram vannforsyningen som en del av samfunnets kritiske infrastruktur. Et vellykket angrep mot et vannverk kan få konsekvenser langt utover den tekniske driften. Rent drikkevann er en grunnleggende samfunnsfunksjon, og selv begrensede hendelser kan skape usikkerhet, mistillit og betydelige kostnader.
Flere innganger
Mange vannverk opererer som mindre enheter med begrensede ressurser. Samtidig benyttes ofte eldre driftssystemer, i noen tilfeller driftssystemer som aldri ble utviklet for å være koblet til internett. Kombinert med økt bruk av fjernstyring og digitale kontrollsystemer gir dette angripere flere mulige innganger.
Motivene bak angrepene varierer. Cyberkriminelle ser vannverk som potensielle mål for løsepengevirus og utpressing. Andre ønsker å skape frykt eller demonstrere sårbarheter i kritisk infrastruktur. Statlige aktører kan ha interesse av å kartlegge systemer og etablere tilganger
som kan brukes senere i en krise eller konflikt.
Selv om scenarier som forgiftning av drikkevann ofte får mye oppmerksomhet, viser erfaringene at de mest realistiske konsekvensene er driftsforstyrrelser, redusert kapasitet, feil i styringssystemer eller tap av kontroll over sentrale prosesser. Hendelsen i Oldsmar i Florida i 2021 illustrerte dette. Der fikk hackere tilgang til kontrollsystemene ved et vannbehandlingsanlegg og forsøkte å endre kjemikaliedoseringen.
Angrepet ble oppdaget i tide, men viste hvor alvorlige konsekvensene kan bli når grunnleggende sikkerhetstiltak mangler.
Det mest oppsiktsvekkende er at mange av angrepene ikke skyldes avanserte metoder, men helt grunnleggende sikkerhetsfeil. Standardpassord, manglende multifaktorautentisering, utilstrekkelig kontroll med fjernaksess og svak segmentering mellom kontornettverk og driftssystemer går igjen som sentrale svakheter.
Strengere krav
For å møte utviklingen, skjerpes regelverket nå. EUs NIS2-direktiv stiller strengere krav til virksomheter som leverer kritiske tjenester, inkludert vannforsyning. Direktivet stiller strengere krav til ledelsen, risikovurderinger, leverandørkontroll og rapportering av alvorlige hendelser.
Likevel vil ikke regulering alene løse utfordringen. Vannsektoren er fragmentert, og en kan anta at sikkerhetsnivået varierer betydelig mellom de ulike aktørene. Mange virksomheter mangler fortsatt full oversikt over hvilke systemer som er koblet til nettverkene deres og hvem som har tilgang til dem.
Et effektivt forsvar starter derfor med grunnleggende kontroll. Virksomhetene må vite hvilke systemer som er i drift, hvilke kontrollsystemer som er tilgjengelige utenfra, og hvilke leverandører som har tilgang. Driftssystemer bør skilles tydelig fra ordinære IT-systemer, og ekstern tilgang må sikres med multifaktorautentisering og strenge tilgangsregler.
Evnen til å oppdage avvik er også viktig. Moderne overvåkingsløsninger kan identifisere uvanlige endringer i pumpestyring, vanntrykk eller kjemikaliedosering lenge før konsekvensene blir alvorlige. Kombinert med manuelle reserveprosedyrer kan dette begrense skadeomfanget
dersom et angrep først inntreffer.
Den siste forsvarslinjen er ofte den mest undervurderte: Fysisk sikkerhet. Digitale sikkerhetstiltak har begrenset verdi dersom uvedkommende kan få fysisk tilgang til kontrollskap, nettverksutstyr eller styringssystemer. Derfor burde cybersikkerhet og fysisk sikring ses som to sider av samme sak.
Cyberangrep mot vannforsyningen er ikke lenger et hypotetisk framtidsscenario. Trusselen er allerede her. Det avgjørende spørsmålet er om norske vannverk er godt nok forberedt når neste angrep kommer.
– Telefonen din virker ikke, strømmen er borte og det er ikke vann eller oppvarming