1. Beskrivning av sektorn

1.1 Sektorns funktion och betydelse

Vatten- och avloppssektorn är en av samhällets mest kritiska infrastrukturer. Vattenreningsverk producerar dricksvatten till hushåll, industri och samhällsfunktioner. Utan rent vatten stannar samhället — människor kan överleva veckor utan elektricitet men endast dagar utan vatten. Sektorn försörjer cirka 9 miljoner svenskar med kommunalt dricksvatten.

Ett vattenreningsverk tar in råvatten och renar det genom: silning, kemisk fällning, filtrering och desinfektion. Processen kräver exakt dosering av kemikalier som klor och flockningsmedel. För hög klordosering är hälsofarligt, för låg ger otillräcklig desinfektion.

Sektorn klassas som väsentlig entitet under NIS2-direktivet och regleras av Livsmedelsverket avseende dricksvattenkvalitet.

1.2 Tekniska miljöer

IT-miljö

Administrativa system för personal, ekonomi, kundhantering och fakturering. Ofta ansluten till kommunens nätverk och internet.

OT-miljö

Operativ teknologi som styr den fysiska vattenreningsprocessen. Inkluderar pumpar, ventiler, doseringssystem och kvalitetsmätning. Historiskt isolerad men med ökande behov av fjärrövervakning.

1.3 ICS/OT-system i vattenreningsverk

2. Hot, attacker och sårbarheter

Hot 1: Manipulation av kemikaliedosering via fjärråtkomst

En angripare får åtkomst till SCADA via osäker fjärråtkomst (VPN, TeamViewer) och ändrar doseringsnivåer för desinfektionsmedel. Detta är ett av de mest kritiska hoten mot vattensektorn.

Påverkade system: SCADA, PLC som styr doseringspumpar, HMI.

Konsekvenser

• För hög klordos: Hälsofarligt dricksvatten, akut förgiftningsrisk
• För låg klordos: Bakterietillväxt, sjukdomsutbrott
• Abrupt driftstopp, kokningsrekommendation, förlorat förtroende

Hot 2: Ransomware mot driftsystem

Ransomware krypterar Windows-baserade SCADA-servrar, HMI-stationer och Historian-databaser. Operatörer förlorar insyn i processen och kan inte övervaka vattenkvalitet.

Påverkade system: SCADA-servrar, HMI, Historian (L2–L3). PLC:er påverkas oftast inte direkt men kan inte övervakas.

Konsekvenser

• Övergång till manuell drift
• Förlust av processhistorik
• Kan inte verifiera vattenkvalitet
• Stilleståndskostnader

Hot 3: Insiderhot och bristande åtkomstkontroll

Anställd, tidigare anställd eller underleverantör med kunskap om systemen missbrukar åtkomst. Alternativt utnyttjas delade inloggningar.

Konsekvenser

• Svårupptäckt manipulation
• Ingen spårbarhet vid delade konton
• Kan pågå länge

3. IT/OT-arkitektur

En säker vattenverksarkitektur bygger på separation mellan IT och OT med kontrollerade övergångspunkter, baserat på Purdue-modellen.

IT-zon

Administrativa system, ekonomisystem, kundregister, e-post, internetåtkomst.

DMZ (demilitariserad zon)

• Jump Server för kontrollerad fjärråtkomst till OT
• Historian-replikering för att dela processdata med IT utan direkt anslutning
• Loggserver som samlar OT-loggar

OT-zon (Purdue-nivåer)

• Nivå 3: Historian, rapportserver
• Nivå 2: SCADA-server, HMI-stationer
• Nivå 1: PLC:er för pumpar, ventiler, dosering
• Nivå 0: Sensorer (pH, klor, turbiditet), ställdon, pumpar

Kommunikationsprinciper (best practice)

• IT ska inte kunna initiera trafik direkt mot OT
• OT skickar processdata till IT via DMZ (gärna envägskommunikation)
• Fjärråtkomst går via VPN → Jump Server i DMZ → OT (med MFA)
• Pumpstationer kommunicerar via krypterad länk till SCADA

4. NIS2-krav för sektorn

Dricksvattenförsörjning klassas som väsentlig entitet (Bilaga I, punkt 6). Tillsynsmyndighet i Sverige: MSB.

Krav 1 – Incidentrapportering (Artikel 23)

Krav 2 – Riskhantering (Artikel 21)

• Regelbundna riskanalyser av IT och OT
• Åtkomstkontroll och segmentering
• Incidenthantering och kontinuitetsplanering
• Leverantörssäkerhet

Krav 3 – Ledningens ansvar (Artikel 20)

Ledningen ska godkänna säkerhetsåtgärder, genomgå utbildning och kan hållas personligt ansvariga.

Krav 4 – Leverantörskedjesäkerhet (Artikel 21.2d)

Kravställning i leverantörsavtal, offboarding-rutin när avtal upphör.

Krav 5 – Utbildning (Artikel 21.2g)

Personal utbildas anpassat för deras roll — phishing-kännedom, lösenordspolicy, rapporteringsvägar.

Krav 6 – Kontinuitetsplanering (Artikel 21.2c)

Dokumenterade manuella driftsrutiner, backup och återställning, regelbundna övningar.

Gap-analys

5. Förenklad incidentrapport (MSB/NIS2-format)

Metadata

Sammanfattning

Den 20 januari 2025 kl. 02:15 upptäcktes obehöriga ändringar i vattenreningsverkets SCADA-system. Klordoseringen hade ändrats från 0,5 mg/l till 2,5 mg/l via en fjärrsession med ett gammalt servicekonto tillhörande en tidigare leverantör.

Påverkade system

Hur incidenten upptäcktes

1. Automatiskt larm: Klorsensorn vid utlopp larmade på högt värde
2. Nattoperatör: Såg i SCADA att börvärde var ändrat utan arbetsorder
3. Loggkontroll: VPN-inloggning från utländsk IP kl. 02:10

Initiala åtgärder

1. 02:20 — Klordosering återställd manuellt
2. Inom 30 min — VPN-session avslutad, servicekontot spärrat
3. Inom 1 timme — Alla fjärråtkomstkonton spärrade för granskning
4. Inom 2 timmar — Loggar säkrades från VPN, SCADA och brandvägg
5. Inom 6 timmar — Extra provtagning bekräftade normal vattenkvalitet
6. Inom 24 timmar — Tidig varning skickad till MSB enligt NIS2 Artikel 23

6. Fördjupad incidenthantering

Rollfördelning

Kommunikationsvägar

Återställningsarbete

1. Verifiera intrångets omfattning — inga kvarvarande bakdörrar
2. Sanera system — återställ SCADA från känd säker backup om nödvändigt
3. Åtgärda grundorsak — inaktivera komprometterat servicekonto permanent
4. Härdning — implementera MFA för alla fjärråtkomstkonton
5. Gradvis återställning — aktivera fjärråtkomst först efter säkerhetsgranskning
6. Förstärkt övervakning — extra loggranskning under 30 dagar

Uppföljning och lärande

• Lessons learned-möte inom 1 vecka
• Rotorsaksanalys: Varför fanns gammalt servicekonto kvar? Varför saknades MFA?
• Ny rutin för leverantörsåtkomst och offboarding
• Slutrapport till MSB inom 1 månad