Cybersäkerhetslagen & Sveriges Största Energiaktörer

Jag har analyserat de affärsmässiga och regulatoriska konsekvenserna av Sveriges nya cybersäkerhetslag för de viktiaste aktörerna inom den svenska energibranschen. (Jag fuskade med AI)

Ulf Dellborg

Sveriges energisektor genomgår en stor omställning, driven av två samverkande krafter: en teknisk marknadsrevolution genom nordisk och europeisk integration, och en regulatorisk revolution genom Cybersäkerhetslagen (NIS2).

Den nya lagen flyttar det yttersta ansvaret för cybersäkerhet och riskhantering till ledningsnivå, med potentiellt personligt ansvar, vilket gör det till en central affärsstrategisk fråga. Samtidigt tvingar marknadsomställningen, med automatiserade system som mFRR EAM, fram ett arkitektoniskt skifte där manuella, nationella system måste ersättas av en ny teknisk grund byggd på automation och integration.

Denna djupa integration innebär att attackytan expanderar bortom den egna organisationen till att omfatta hela det europeiska ekosystemet av partners och plattformar, där en sårbarhet hos en tredjepartsleverantör kan få direkta konsekvenser för den egna operativa driften (OT).

Denna rapport analyserar sambanden mellan marknadsdynamik, teknisk arkitektur och cybersäkerhet. Den argumenterar för ett skifte mot en affärsdriven säkerhet, där säkerhet inte ses som en kostnad, utan som en strategisk förutsättning för tillförlitlighet, regelefterlevnad och framtida utveckling.

Innehåll

1. Det Nya Regulatoriska Landskapet: Cybersäkerhetslagen (NIS2)
2. Europeiska Balansmarknaden ur Ett Svenskt Kundperspektiv
3. Den Tekniska Omställningen: mFRR EAM och Optimeringsmotorn AOF
4. Affärsdriven Säkerhet Med Svenska Kunder i Centrum
5. Från Metodik till Värde: Att Kommunicera Affärsdriven Säkerhet
6. Balansmarknaden, Konsoliderad Analys Aktörer / Cybersäkerhetslagen
7. Riskanalys och Strategiska Åtgärder
8. Slutsats
9. Källor från aktörerna

Analys av årsrapporter och cybersäkerhet.

Jag roade mig med att ur perspektivet affärsdriven säkerhet och cybersäkerhetslagen analysera den svenska enerigimarknade, med europa i kontext. Jag hade ju givetvis inte så mycket tid för att göra analysen men eftersom jag som verksamhetsarkitekt arbetat med balansering var det en kul test av AI.

Jag tog min huvudartikel om affärsdriven säkerhet som grund och bad gemini göra en analys av det 20-30 viktigaste aktörerna. Jag specificerade att resultatet skulle bli på formatet här i artikeln, främst tabellformat. Jag sa åt gemini att använda sig av årsredovisningar och jobbannonser, sedan tryckte jag på return.

Efter en del fråganden och kompletteringar fck jag ut den här artikeln. Den insatte hittar fel och behov av kompletteringar. Men jag är imponerad av innehållet och ser vilka möjligheter det finnas i arkitekturarbete och säkerhetsarbet, om dusitter på insidan av en viktig aktör.

1. Det Nya Regulatoriska Landskapet: Cybersäkerhetslagen (NIS2)

Införandet av EU:s NIS2-direktiv genom Cybersäkerhetslagen är en betydande skärpning av säkerhetskraven. För energisektorn, som klassas som "högkritisk", innebär detta att i stort sett alla aktörer kommer att klassas som "väsentliga verksamhetsutövare". Detta medför en rad tvingande skyldigheter:

Systematiskt Riskhanteringsarbete: Lagen kräver att ett riskbaserat säkerhetsarbete implementeras med tio specificerade säkerhetsåtgärder. Av NIS2 genomförandeförordning framgår att detta innebär ISO 27000 + safety by desing, som kan lösas med t ex ISO 61508.
Säkerhet i Leveranskedjan: Varje aktör är ansvarig för att identifiera, bedöma och hantera de cybersäkerhetsrisker som härrör från deras direkta leverantörer och tjänsteleverantörer.
Ledningens Ansvar: Ansvaret för att godkänna och övervaka säkerhetsåtgärderna ligger nu på ledningen (styrelse och VD). De kan hållas personligt ansvariga för överträdelser, vilket förankrar cybersäkerhet som en strategisk ledningsfråga.
Tillsyn och Sanktioner: Energimyndigheten föreslås bli tillsynsmyndighet och får kraftfulla verktyg för att granska efterlevnad. Sanktionsavgifterna är betydande

Sammantaget driver lagen fram ett förändrat förhållningssätt, från reaktiv IT-säkerhet till proaktiv, med affärsintegrerad cybersäkerhet.

2. Europeiska Balansmarknaden ur Ett Svenskt Kundperspektiv

För den enskilda elkunden är förväntningen enkel: elen ska finnas där när man trycker på knappen, till ett rimligt pris. Bakom denna självklarhet döljer sig ett komplext samspel för att i varje sekund upprätthålla balansen mellan produktion och förbrukning. Denna balansering är nyckeln till ett stabilt elnät, och den sker idag på en arena som sträcker sig långt utanför Sveriges gränser.

Hur fungerar det?

Det Nationella Ansvaret: I Sverige är det Svenska kraftnät (SvK) som agerar systemansvarig för elsystemet. Deras uppdrag är att säkerställa att frekvensen i nätet konstant ligger på 50 Hz. När produktionen och förbrukningen inte matchar perfekt uppstår en obalans som måste korrigeras omedelbart. För att göra detta köper SvK in "stödtjänster" från en rad olika aktörer – Leverantörer av Balanstjänster (BSP) – som snabbt kan öka eller minska sin produktion eller förbrukning.
Det Nordiska Samarbetet (NBM): Sverige är en del av det nordiska synkronområdet, vilket innebär att våra elnät är direkt sammankopplade med Norges, Finlands och östra Danmarks. Istället för att varje land löser sina problem isolerat, samarbetar de nordiska TSO:erna inom Nordic Balancing Model (NBM).¹ Detta samarbete, som drivs via gemensamma IT-plattformar som
Fifty (för handel) och eSett (för ekonomisk avräkning), gör att länderna kan dela på sina resurser. Om Sverige har ett underskott av el kan en norsk vattenkraftsproducent snabbt reglera upp sin produktion och hjälpa till att stabilisera hela det nordiska nätet.
Den Europeiska Integrationen (PICASSO & MARI): Det nordiska samarbetet är i sin tur anslutet till de ännu större, pan-europeiska plattformarna PICASSO (för automatiska reserver) och MARI (för manuella reserver). Dessa plattformar, som drivs av den europeiska samarbetsorganisationen
ENTSO-E, skapar en gemensam europeisk marknad för balansering. När en svensk BSP lägger ett bud på den nordiska marknaden blir detta bud, via SvK, även tillgängligt för hela Europa. MARI- och PICASSO-plattformarna väljer sedan, oavsett land, det mest kostnadseffektiva budet för att lösa en uppkommen obalans.

Vad innebär detta för den svenska kunden?

Ökad Tillförlitlighet: Genom att ha tillgång till en stor, gemensam pool av balanseringsresurser från hela Europa minskar risken för störningar och strömavbrott. En plötslig produktionsstörning i Sverige kan snabbt kompenseras av en resurs i Tyskland eller Danmark, vilket gör hela systemet mer stabilt.
Lägre Kostnader: Principen om en gemensam prioriteringslista ("merit order list") säkerställer att den billigaste tillgängliga resursen i Europa alltid aktiveras först. Detta pressar de totala kostnaderna för att balansera nätet, vilket i sin tur bidrar till att hålla nere de nättariffer som kunderna betalar.
Möjliggörande av Energiomställningen: Denna storskaliga, flexibla marknad är en grundläggande förutsättning för att kunna integrera stora mängder väderberoende vind- och solkraft. Utan möjligheten att snabbt balansera deras varierande produktion med resurser från hela Europa skulle elnätet bli instabilt. Samarbetet är därmed en direkt möjliggörare för den gröna omställning som svenska kunder efterfrågar.

Sammanfattningsvis är den europeiska integrationen inte bara en teknisk fråga för experter; den är en grundläggande mekanism som varje dag arbetar för att ge svenska hushåll och företag en tryggare, billigare och grönare elförsörjning.

3. Den Tekniska Omställningen: mFRR EAM och Optimeringsmotorn AOF

Under ytan på den nordiska balansmarknaden pågår en teknisk omställning. För att hantera ett alltmer komplext kraftsystem med mer förnybar energi och för att kunna integreras med Europa, genomför de nordiska TSO:erna programmet Nordic Balancing Model (NBM). En av de viktigaste delarna i detta program är övergången från manuell, timvis balansering till en automatiserad marknad med 15 minuters upplösning.

3.1 Den Nordiska Optimeringsmotorn (AOF)

Kärnan i denna nya, automatiserade process är den gemensamma nordiska Activation Optimisation Function (AOF). Detta är en avancerad IT-lösning som fungerar som den centrala funktionen för att aktivera balanseringsresurser i hela Norden. Tidigare aktiverades reserver manuellt av operatörer i kontrollrummen, en process som blir ohållbar när marknadens tidsupplösning fyrdubblas.

Processen fungerar genom att varje TSO, som Svenska kraftnät, skickar sina prognostiserade balanseringsbehov till AOF. Samtidigt lämnar leverantörer av balanstjänster (BSP) sina bud till en gemensam nordisk budlista. AOF skapar då en kostnadsoptimerad prioriteringslista (Merit Order List) och väljer automatiskt de billigaste tillgängliga buden för att täcka de totala nordiska behoven, med hänsyn till överföringskapaciteten mellan elområdena. Detta säkerställer maximal samhällsekonomisk nytta och är ett nödvändigt tekniskt mellansteg innan Norden fullt ut kan ansluta sig till den europeiska plattformen MARI.

3.2 Svenska kraftnäts Styrning av mFRR EAM

Införandet av den nya marknaden, mFRR Energy Activation Market (mFRR EAM), är en av de mer komplexa IT-omställningarna i nordisk krafthistorik och är planerad att gå i drift den 4 mars 2025. Svenska kraftnät har en viktig roll i denna övergång, inte bara som användare av systemet utan som en av de huvudansvariga för implementering och riskhantering.

SvK:s styrning manifesteras på flera sätt:

Regeländringar för ökad flexibilitet: För att tillgängliggöra fler resurser har SvK sänkt minimikravet för bud på mFRR-marknaden från 5 MW till 1 MW, en förändring som möjliggörs just av automatiseringen.
Noggrann riskhantering: SvK:s planer för övergången visar på en hög riskmedvetenhet. De inkluderar parallell budgivning i både det gamla och nya systemet veckorna innan, extra bemanning dygnet runt under den initiala driftperioden och detaljerade planer för att kunna hantera incidenter och vid behov genomföra en "rollback" till det gamla systemet.
Systemtäckande säkerhetsåtgärder: För att ytterligare minska riskerna under den kritiska övergångsperioden har de nordiska TSO:erna, inklusive SvK, beslutat att tillfälligt öka upphandlingen av den snabbare reserven aFRR. Detta görs för att säkra systemstabiliteten och säkerställa en trygg övergång till den nya balanseringsmodellen.

Denna noggrant styrda övergång till en automatiserad, kvartsvis marknad är en grundläggande förutsättning för att den nordiska och svenska elmarknaden ska kunna fortsätta sin utveckling mot en grönare och mer integrerad framtid.

4. Affärsdriven Säkerhet Med Svenska Kunder i Centrum

Den nya Cybersäkerhetslagen tvingar fram ett skifte, men det bör inte ses som enbart en regulatorisk börda. Istället erbjuder den en möjlighet att omdefiniera säkerhetsarbetet från att vara en teknisk kostnadspost till att bli en affärsdriven nödvändighet som skyddar kärnvärdena i erbjudandet till den svenska elkunden.

Traditionellt har säkerhet motiverats med interna argument om att skydda system och data. Ett affärsdrivet perspektiv vänder på frågan och frågar istället: "Vilka värden lovar vi våra kunder, och hur skyddar cybersäkerhet dessa löften?"

Löftet om Tillförlitlighet: Kundens mest grundläggande förväntan är att elen alltid fungerar. I ett modernt elsystem styrs allt från produktion i vattenkraftverk till omkopplingar i ställverk av digitala OT-system (Operational Technology). En cyberattack mot dessa system är inte längre ett IT-problem; det är ett direkt hot mot elförsörjningen. Att investera i tillförlitlig OT-säkerhet är därför detsamma som att investera i leveranssäkerhet. Säkerhet är tillförlitlighet.
Löftet om Trygghet och Integritet: Med införandet av smarta mätare och digitala kundtjänster anförtror kunderna energibolagen med stora mängder personlig och känslig data – från personnummer och betalningsinformation till detaljerade förbrukningsmönster som kan avslöja när någon är hemma. En dataintrång eller en läcka skulle allvarligt skada detta förtroende. Ett systematiskt säkerhetsarbete enligt ramverk som ISO 27001 skyddar denna data. Säkerhet är kundtrygghet.
Löftet om Prisvärdhet: Kostnaden för att hantera en allvarlig cyberincident – vare sig det handlar om att återställa system efter en ransomware-attack, betala sanktionsavgifter till Energimyndigheten eller kompensera för produktionsbortfall – är stor. Dessa kostnader försvinner inte, utan hamnar i slutändan i de tariffer och avgifter som kunderna betalar. Proaktivt, riskbaserat säkerhetsarbete är en investering som minimerar risken för dessa oförutsedda och mycket höga kostnader. Säkerhet är långsiktig kostnadskontroll.
Löftet om Hållbarhet: Energiomställningen är beroende av ett smart, flexibelt och digitaliserat elnät som kan hantera förnybar produktion och nya förbrukningsmönster. Denna digitalisering ökar samtidigt attackytan och de tekniska sårbarheterna. Utan en hög nivå av cybersäkerhet blir det "smarta nätet" ett "sårbart nät". Att säkra den digitala infrastrukturen är därmed en förutsättning för att den gröna omställningen ska lyckas. Säkerhet är en möjliggörare för hållbarhet.

Genom att rama in säkerhetsarbetet på detta sätt blir det tydligt att investeringar i cybersäkerhet inte är en intern teknisk fråga, utan en strategisk investering för att säkra hela affärsmodellen och det värde som levereras till slutkunden. Cybersäkerhetslagen fungerar som en drivkraft som påskyndar denna affärsdrivna syn på säkerhet i hela branschen.

5. Från Metodik till Värde: Att Kommunicera Affärsdriven Säkerhet

Skiftet mot affärsdriven säkerhet, påskyndat av NIS2, är inte bara en teknisk eller processuell utmaning; det är i grunden en kommunikationsutmaning. För att säkerhet ska bli genuint integrerat i affären måste det förstås, prioriteras och finansieras på högsta ledningsnivå. Hur säkerhetsinitiativ ramas in och presenteras för ledningsgruppen är därför avgörande. Lärdomar kan dras från närliggande fält, såsom verksamhetsarkitektur, där klyftan mellan tekniska experter och affärsledare är ett känt hinder.

En vanlig fallgrop är att överbetona process och metodik på bekostnad av affärsresultat. Presentationer blir ofta detaljerade genomgångar av hur ett ramverk ska implementeras (kontrollfamiljer, revisionsscheman, tekniska specifikationer) istället för varför det är en viktig affärsinvestering. För en VD eller COO är en diskussion om att implementera en specifik ISO-standard långt mindre övertygande än en diskussion om hur det arbetet kommer att minska risken för produktionsstopp med X %, skydda ett varumärke värderat till Y, eller möjliggöra en ny digital tjänst som genererar Z i intäkter. Kärnbudskapet i "Affärsdriven Säkerhet" måste översättas från processens språk till språket för resultaträkning, riskreducering och konkurrensfördelar.

En annan fara är att presentera säkerhet som ett statiskt, toppstyrt försvar av den nuvarande affärsmodellen. Detta "fästningstänkande", där säkerhet är en sköld som skyddar befintliga tillgångar, missar en viktig poäng med modern digitalisering. En stabil och flexibel säkerhetsarkitektur är inte bara ett försvar; den är en möjliggörare. Den skapar en trygg plattform på vilken nya innovationer kan byggas. En högsäker datainfrastruktur förhindrar inte bara dataintrång; den bygger det kundförtroende som krävs för att lansera nya, personaliserade energitjänster. Ett motståndskraftigt elnät förhindrar inte bara strömavbrott; det blir en strategisk tillgång för att attrahera nya, energiintensiva industrier. Kommunikationen till ledningen måste därför illustrera denna dynamiska, värdeskapande cykel, där investeringar i säkerhet möjliggör affärsinnovation, vilket i sin tur motiverar fortsatta säkerhetsinvesteringar.

Slutligen är det viktigt att inse att en ledningsgrupp inte är en monolit. Ett budskap om säkerhet som är lika för alla kommer sannolikt att misslyckas. Medan en CTO/CIO kan uppskatta den tekniska utformningen av en säkerhetsarkitektur, är en VD:s primära filter strategisk tillväxt och marknadsposition, och en COO:s är operativ effektivitet och stabilitet. Effektiv kommunikation kräver att man översätter samma kärninitiativ till dessa olika "språk". Säkerhetsinvesteringen måste ramas in som en tillväxtfaktor för VD:n, en operativ riskreducerare för COO:n och en framtidssäkrande kapabilitetsbyggare för CTO/CIO:n. Genom att misslyckas med dessa översättningar riskerar säkerhetsansvariga att deras initiativ uppfattas som en nischad "IT-fråga" istället för en central affärsfråga.

6. Analys Aktörer på Balansmarknaden vs Cybersäkerhetslagen

Följande tabell sammanfattar analysen av de centrala aktörerna på den svenska balansmarknaden. Den ger en översiktlig bild av deras kärnverksamhet, hur de berörs av den nya cybersäkerhetslagen, deras nuvarande säkerhetsstatus och de mest prioriterade åtgärderna för att uppnå efterlevnad.

Aktör (Typ av aktör)	Riskanalys (NIS2)	Certifierade (ISO 27001 / Annat systematiskt arbete)	Motivering för Certifieringsstatus	Berörda tjänster (NIS2)	Andra skyddsvärda tjänster (Interna/Affärskritiska)	Motivering
Svenska kraftnät (TSO/Systemansvarig myndighet)	Ja	NJA	Omfattas av säkerhetsskyddslagen, har ett dedikerat SOC, genomför säkerhetsklassificering och kräver säkerhetsutbildning för entreprenörer. Jobbannonser refererar till ISO 27000. Detta indikerar ett omfattande och systematiskt säkerhetsarbete, även utan formell certifiering.	Drift av transmissionsnätet, balansering av kraftsystemet, marknadsinformationstjänster (Mimer), datautbyte (Ediel/ECP).	Affärssystem (IFS), HR-system (ReachMee), dokumenthantering (Alfresco), system för markåtkomst (LARS), interna kontrollrumssystem (SCADA/EMS).	Nationell systemoperatör med ansvar för hela Sveriges kraftsystems stabilitet och funktion. En störning får omedelbara och landsomfattande konsekvenser.
Vattenfall (Elproducent/Distributör)	Ja	NJA	Har en egen säkerhetspolicy (GI26) som är explicit baserad på ISO 27001, genomför obligatorisk cybersäkerhetsutbildning och har en uppförandekod för leverantörer. Detta visar på ett väletablerat och systematiskt säkerhetsarbete.	Elproduktion (kärnkraft, vattenkraft), eldistribution (region- och lokalnät), fjärrvärmedistribution, elhandel och laddningstjänster.	Styrsystem för produktion (OT/SCADA), kund- och faktureringssystem, system för elhandel och riskhantering, digitala plattformar för nya tjänster.	En av Europas största elproducenter och ägare av kritisk infrastruktur inom både produktion och distribution, avgörande för Sveriges och Nordens elförsörjning.
Ellevio (DSO)	Ja	NJA	Verksamheten omfattas av säkerhetsskyddslagen. De har en etablerad process för säkerhetsskyddad upphandling (SUA), en krisledningsorganisation och genomför regelbundna cyberhotövningar, vilket visar på ett väletablerat systematiskt säkerhetsarbete.	Distribution av elektricitet via region- och lokalnät.	Nätinformationssystem (GIS), SCADA/driftövervakningssystem, kundinformations- och mätdatainsamlingssystem, system för underhållsplanering.	Ett av Sveriges största elnätsbolag med nästan en miljon kunder. En störning i deras nät får stora regionala konsekvenser för samhälle och industri.
Uniper (Elproducent)	Ja	Nej	Årsredovisningen nämner att koncernens revisions- och riskkommitté diskuterar "status för informationssäkerhet", men saknar detaljer om specifika ramverk, processer eller certifieringar för den svenska verksamheten. Informationen är för generell för att påvisa ett systematiskt arbete.	Produktion av elektricitet (kärnkraft, vattenkraft), tillhandahållande av reservkraft.	Styrsystem för kärnkraftverk (OT/ICS), styrsystem för vattenkraftverk (OT/SCADA), system för elhandel och produktionsplanering, fysiskt tillträdesskydd.	Stor elproducent och delägare i samtliga svenska kärnkraftverk, vilket gör dem kritiska för landets baskraftsförsörjning och systemstabilitet.
E.ON (DSO/Energilösningar)	Ja	Nej	I likhet med Uniper nämner koncernens årsredovisning att cyberrisker hanteras på kommitténivå, men specifik information om systematiska ramverk eller certifieringar för den svenska distributionsverksamheten saknas.	Distribution av elektricitet, fjärrvärme/kyla och gas, elhandel och laddningstjänster.	Nätinformationssystem (GIS), SCADA-system, kundinformations- och faktureringssystem, system för hantering av laddinfrastruktur.	En av de största nätägarna i Sverige. Deras infrastruktur är stor för el- och värmeförsörjningen i stora delar av landet.
Göteborg Energi (Kommunalt energibolag)	Ja	Nej	Årsredovisningen för nätbolaget nämner en riskanalys, men det finns ingen information om ett formaliserat ledningssystem för informationssäkerhet (LIS) eller efterlevnad av specifika säkerhetsstandarder.	Distribution av el och fjärrvärme, tillhandahållande av stadsnät (digital infrastruktur).	Driftövervakningssystem (SCADA), kund- och faktureringssystem, interna IT-system och nätverk.	Tillhandahåller multipel kritisk infrastruktur för Sveriges andra största stad, vilket gör deras tjänster oumbärliga för regionens funktion.
Jönköping Energi (Kommunalt energibolag)	Ja	NJA	VD:s uttalande om att vilja "ligga i framkant inom de alltmer utmanande säkerhet- och beredskapsfrågorna" indikerar en hög strategisk medvetenhet och ambition, vilket tyder på ett pågående eller planerat systematiskt arbete.	Produktion och distribution av el och fjärrvärme, tillhandahållande av bredbandsnät.	System för produktionsplanering, styrsystem för kraftvärmeverk (OT/SCADA), kund- och faktureringssystem, system för elhandel.	Central aktör för energiförsörjning och digital infrastruktur i Jönköpingsregionen, med direkt påverkan på regionala samhällsfunktioner.
Mälarenergi (Kommunalt energibolag)	Ja	NJA	Hållbarhetsredovisningen beskriver ett systematiskt säkerhetsarbete som inkluderar klassificering av informationstillgångar, riskhantering och säkerhetskontroller. De nämner även NIS2 explicit, vilket visar på hög medvetenhet.	Produktion/distribution av el, fjärrvärme/kyla, dricksvatten, avloppshantering, bredband.	Styrsystem för kraftverk och reningsverk (OT/SCADA), system för krafthandel, kund- och faktureringssystem, system för mätinsamling.	Brett ansvar för en rad samhällsviktiga tjänster i den tätt befolkade Mälardalen, vilket skapar komplexa beroenden och höga skyddsvärden.
Tekniska Verken i Linköping (Kommunalt energibolag)	Ja	NJA	Bolaget är certifierat enligt flera andra ISO-standarder (9001, 14001, 45001), vilket visar på en etablerad kultur av att arbeta med ledningssystem. De har koncerngemensamma riktlinjer för informationssäkerhet och inkluderar IT-angrepp i sin krisplanering.	Distribution av el och fjärrvärme/kyla, dricksvattenförsörjning, avlopps- och avfallshantering, bredband.	Styrsystem för produktions- och avfallsanläggningar (OT/SCADA), faktureringssystem, kundinformationssystem.	Leverantör av ett brett spektrum av samhällskritisk infrastruktur i Linköpingsregionen, från energi och vatten till digital kommunikation.
Öresundskraft (Kommunalt energibolag)	Ja	NJA	Årsredovisningen har en dedikerad säkerhetspolicy och anger att de arbetar systematiskt med att utveckla robustheten i sina system. De hänvisar till skyddsskäl för att inte redovisa detaljer, vilket indikerar att ett strukturerat arbete finns.	Distribution av el, fjärrvärme/kyla och gas, produktion av el och värme, tillhandahållande av stadsnät.	Styrsystem för el-, värme- och gasnät (OT/SCADA), kundinformationssystem, system för energihandel och riskhantering (via Modity).	Kritisk infrastrukturleverantör i nordvästra Skåne, en strategiskt viktig region med närhet till kontinenten.
Skellefteå Kraft (Kommunalt energibolag)	Ja	NJA	Årsredovisningen identifierar explicit IT-säkerhet som en risk, beskriver ett fokus på kontinuerlig utveckling av teknik och kompetens, och nämner genomförandet av en ny obligatorisk informationssäkerhetsutbildning för alla anställda under 2023.	Produktion av förnybar el (vatten, vind), distribution av el och fjärrvärme, tillhandahållande av fibernät.	Styrsystem för produktionsanläggningar och nät (OT/SCADA), system för produktionsoptimering och elhandel, kund- och faktureringssystem.	Stor producent av förnybar energi och en nyckelaktör för elektrifieringen i norra Sverige, en region med stora industriinvesteringar.
Jämtkraft (Kommunalt energibolag)	Ja	NJA	Årsredovisningen beskriver ett "systematiskt, förebyggande och riskbaserat säkerhetsarbete" med ett uttalat mål om att uppnå en "hög nivå av informations- och cybersäkerhet". Detta är en direkt beskrivning av ett systematiskt angreppssätt.	Produktion av förnybar el, distribution av el och fjärrvärme, balansansvarstjänster.	Styrsystem för produktionsanläggningar (OT/SCADA), system för portföljförvaltning och elhandel, kundsystem.	Viktig regional producent och distributör av förnybar energi, samt en aktör på den nationella balansmarknaden.
Borås Energi och Miljö (Kommunalt energi- och miljöbolag)	Ja	Nej	Granskningsrapporten bedömer den interna kontrollen som "tillräcklig", men detta avser sannolikt finansiell kontroll. Det saknas information som pekar på ett systematiskt arbete specifikt med informationssäkerhet.	Distribution av fjärrvärme, produktion av biogas, dricksvattenförsörjning, avlopps- och avfallshantering.	Styrsystem för anläggningar (OT/ICS), kund- och faktureringssystem, system för avfallslogistik, ekonomisystem.	Ansvarar för flera grundläggande och samhällskritiska tjänster i Borås stad, där ett avbrott snabbt får stora konsekvenser för invånarna.
Borlänge Energi (Kommunalt energibolag)	Ja	NJA	Årsredovisningen anger att "vårt arbete genomförs systematiskt. Varje år granskas vi av en extern part". Detta är ett tydligt påstående om ett systematiskt arbetssätt, även om standarden inte specificeras.	Distribution av el och fjärrvärme, dricksvattenförsörjning, avloppshantering, stadsnät, frekvensregleringstjänster.	Styrsystem för nät och anläggningar (OT/ICS), styrsystem för batterilager, kund- och faktureringssystem.	Brett ansvar för kritisk infrastruktur i Borlänge och en aktiv deltagare på den nationella marknaden för stödtjänster.
OX2 (Projektutvecklare)	Ja	NJA	Årsredovisningen anger explicit att de har ett ramverk för informationssäkerhet som är "baserat på standarden ISO/IEC 27001:2017" och att de arbetar systematiskt och riskbaserat. Detta är en tydlig indikation på ett systematiskt angreppssätt.	Utveckling, byggnation, försäljning och förvaltning av förnybara energianläggningar (vind, sol, lagring).	Projektledningssystem, finansiella system, kommunikationsplattformar med leverantörer och kunder, system för anläggningsövervakning.	En av de största utvecklarna av ny förnybar elproduktion i Norden. Viktig aktör i leveranskedjan för att möjliggöra energiomställningen.
Fifty AS (IT-utvecklingsbolag)	Ja	Nej	Information om specifik certifiering eller systematiskt arbete enligt standarder ej tillgänglig i det analyserade materialet.	Tillhandahållande av den nordiska handelsplattformen för mFRR (Fifty mFRR EAM).	Interna utvecklings- och testmiljöer, källkod, system för driftsövervakning av plattformen.	Deras plattform är en central och kritisk komponent för funktionen hos den nordiska balansmarknaden för mFRR. Ett avbrott eller en manipulation skulle direkt påverka elsystemets stabilitet.
eSett Oy (Servicebolag för avräkning)	Ja	Nej	Information om specifik certifiering eller systematiskt arbete enligt standarder ej tillgänglig i det analyserade materialet.	Tillhandahållande av den nordiska plattformen för obalansavräkning (NBS).	Kundportaler (Online Service), system för datahantering och fakturering, system för hantering av säkerheter (collaterals).	Deras plattform är avgörande för den finansiella avräkningen av hela den nordiska elmarknaden. Ett fel eller intrång skulle skapa omfattande ekonomiskt kaos.
ENTSO-E (Europeisk samarbetsorganisation)	Ja	Nej	Information om specifik certifiering eller systematiskt arbete enligt standarder ej tillgänglig i det analyserade materialet.	Drift av pan-europeiska balansplattformar (PICASSO, MARI) och dataplattformar (Transparency Platform).	Interna system för datahantering och analys, kommunikationsplattformar mellan TSO:er, system för utveckling av nätkoder.	Organisationen driver de centrala IT-plattformar som möjliggör en integrerad europeisk elmarknad. Deras funktion är kritisk för gränsöverskridande handel och systemstabilitet i hela EU.

7. Riskanalys och Strategiska Åtgärder

Varje aktör i detta komplexa ekosystem står inför unika risker kopplade till sin specifika roll. Nedan följer en analys av de organisatoriska riskerna och en preliminär faroanalys för varje aktörs kärntjänster, följt av förslag på strategiska åtgärder.

7.1 Svenska kraftnät (SvK)

Organisatorisk Riskanalys: SvK:s största risker är kopplade till den stora komplexiteten i deras uppdrag. Operativt är de beroende av sina SCADA/EMS-system för realtidsstyrning. Inom utveckling är det stora projektet "Kraftsystemhubben" en central riskfaktor, där integration med äldre system och brist på specialkompetens är stora utmaningar. Driftmässigt är den ständigt växande attackytan som skapas av IT/OT-konvergensen den primära risken.
Preliminär Faro- och Riskanalys (Tjänst: Säkerställa kraftsystemets balans): En statsunderstödd cyberattack mot SCADA/EMS-systemet utgör den högsta risken (Risknivå 15), då det kan leda till en riksomfattande blackout. Även interna mjukvarufel i samma system utgör en hög risk (Risknivå 10) då det kan leda till felaktiga operativa beslut och systemkollaps.
Strategiska Åtgärder:

Stärkt OT-säkerhet: Implementera ramverket IEC 62443 för industriella styrsystem, förbättra nätverkssegmenteringen mellan IT och OT, och införa dedikerade system för OT-övervakning.

Säkerhet i Leverantörskedjan: Införa bindande och verifierbara cybersäkerhetskrav i alla avtal med leverantörer av kritiska system.

Säkerhet by Design: Säkerställa att "Kraftsystemhubben" och andra nya system byggs med säkerhet som en grundläggande arkitekturprincip från start.

7.2 Leverantör av Balanstjänster (BSP)

Organisatorisk Riskanalys: För en BSP är teknisk tillförlitlighet och regelefterlevnad de största riskerna. Operativt kan ett tekniskt fel i den egna anläggningen leda till oförmåga att leverera och därmed ekonomiska viten. Utvecklingsmässigt måste de ständigt anpassa sin teknik till nya krav från SvK, vilket kan kräva stora investeringar. Driftmässigt är säkring av de egna OT-systemen och kommunikationen mot TSO:n en kritisk utmaning.
Preliminär Faro- och Riskanalys (Tjänst: Tillhandahålla reglerkraft): Ett internt tekniskt fel i den egna anläggningen är den högsta risken (Risknivå 15), följt av kommunikationsavbrott mot TSO:ns plattformar (Risknivå 12) och cyberattacker som låser de egna styrsystemen (Risknivå 10).
Strategiska Åtgärder:

Robusthet och Redundans: Investera i redundanta styrsystem och kommunikationsvägar.

Grundläggande OT-säkerhet: Genomföra en riskanalys av de egna styrsystemen och implementera grundläggande skydd som nätverkssegmentering och åtkomstkontroll.

Testning och Validering: Regelbundet testa hela kedjan från mottagen aktiveringssignal till faktisk leverans.

7.3 Balansansvarig Part (BRP)

Organisatorisk Riskanalys: BRP:ns riskprofil är nästan uteslutande finansiell. Den operativa risken är att göra felaktiga prognoser för produktion och förbrukning, vilket kan leda till mycket höga kostnader på obalansmarknaden. Utvecklingsmässigt måste de ständigt förbättra sina prognos- och handelsverktyg för att hantera en alltmer volatil marknad.
Preliminär Faro- och Riskanalys (Tjänst: Upprätthålla finansiell balans): Ett stort fel i den egna prognosmodellen är den högsta risken (Risknivå 20), tätt följt av extrema och oförutsedda prisrörelser på marknaden (Risknivå 15).
Strategiska Åtgärder:

Avancerade Prognosverktyg: Investera i och kontinuerligt validera prognosmodeller.

Riskhanteringsstrategi: Utveckla och följ en strikt finansiell riskhanteringsstrategi för att hantera prisvolatilitet.

Systemintegritet: Säkerställa hög tillgänglighet och skydd mot manipulation av de system som används för prognoser och handel.

7.4 Fifty AS & eSett Oy

Organisatorisk Riskanalys: Som specialiserade IT-tjänsteleverantörer är deras risker koncentrerade till systemens tillgänglighet, integritet och prestanda. Ett avbrott i deras plattformar får omedelbara konsekvenser för hela den nordiska marknaden. De är attraktiva mål för cyberattacker och måste kontinuerligt utveckla sina system för att möta nya marknadskrav.
Preliminär Faro- och Riskanalys (Tjänst: Tillhandahålla nordiska marknadsplattformar): En riktad cyberattack (t.ex. DDoS) är den högsta risken (Risknivå 15). Korrupt eller försenad indata från en TSO är också en hög risk (Risknivå 12), liksom ett kritiskt systemfel i plattformens kärnlogik (Risknivå 10).
Strategiska Åtgärder:

Kontinuerlig Säkerhetsgranskning: Genomföra regelbundna penetrationstester och säkerhetsrevisioner.

Resiliens och Katastrofåterställning: Säkerställa och testa planer för katastrofåterställning för att minimera nertid.

Safety & security by design: Integrera säkerhet i hela utvecklings- och driftsättningscykeln.

7.5 ENTSO-E

Organisatorisk Riskanalys: ENTSO-E:s risker är främst kopplade till samordning och standardisering. Den största utmaningen är den politiska och tekniska komplexiteten i att få över 30 TSO:er att enas om och implementera gemensamma standarder. Förseningar hos enskilda medlemmar kan bromsa hela den europeiska marknadsintegrationen.
Preliminär Faro- och Riskanalys (Tjänst: Tillhandahålla europeiska balansplattformar): Förseningar i medlemsländers anslutning, bristande efterlevnad av datastandarder (CGMES) och politiska oenigheter utgör de högsta riskerna (alla Risknivå 12). Ett tekniskt haveri i en plattform är också en hög risk (Risknivå 10).
Strategiska Åtgärder:

Driva Standardisering: Fortsätta arbetet för en strikt och enhetlig implementering av gemensamma standarder som CGMES.

Gränsöverskridande Övningar: Initiera och samordna regelbundna cybersäkerhetsövningar som testar hela den europeiska incidenthanteringskedjan.

Säkerhet i Plattformarna: Säkerställa att de gemensamma plattformarna (PICASSO/MARI) uppfyller de högsta säkerhetskraven och genomgår oberoende granskningar.