Svenska verksamheter träffades av i genomsnitt 2 352 cyberattacker i veckan under juli 2026. Det är en ökning på 36 procent jämfört med samma månad året innan, enligt mätningar från säkerhetsföretaget Check Point Software och den kraftigaste uppgången i Norden. Samtidigt visar undersökningar bland chefer inom samhällskritisk verksamhet att mer än varannan ser cybersäkerhet som något IT-avdelningen eller någon myndighet hanterar. Det är där gapet finns: hotbilden växer snabbare än ansvarskänslan.
Det här handlar inte om stulna kreditkort. Samhällskritisk infrastruktur betyder vattenverk, elnät, sjukhusjournaler, betalningssystem och kommunala trygghetslarm. När sådant slutar fungera får det konsekvenser som inte mäts i kronor.
60 allvarliga incidenter mot svensk kritisk infrastruktur under 2025
Under 2025 registrerades ett sextiotal allvarliga cyberincidenter riktade mot svensk kritisk infrastruktur, enligt kartläggning från DNV Cyber. Två av tre chefer inom sektorn uppger att de sett attackerna öka de senaste åren och hälften beskriver ett läge med konstanta lågnivåattacker från främmande makt.
Lågnivåattacker låter harmlöst. I praktiken är det kartläggning. Någon knackar systematiskt på dörrar, ser vilka som är olåsta och antecknar. Skarpa lägen kommer senare, när det passar den som knackar.
Mörkertalet är dessutom stort. Många verksamheter berättar inte om lyckade intrång, ibland av rena affärsskäl, ibland med hänvisning till rikets säkerhet. Statistiken över 60 incidenter är alltså ett golv, inte ett tak. Cyberattackerna mot samhällskritisk infrastruktur beskrivs som ett hot som kan kosta människoliv i Sverige, en bedömning som understryker varför frågan inte längre kan hanteras enbart av IT-avdelningen.
Offentlig sektor är den mest utsatta branschen i Sverige, följd av finanssektorn och hälso- och sjukvården. Det är ingen slump. Kommuner och regioner driver samhällsviktiga tjänster med begränsade IT-budgetar och stora, gamla systemlandskap där en enda inloggning ofta öppnar mer än den borde.
AI kortade tiden från sårbarhet till attack från 63 dagar till 5
Den siffra som borde skaka mest är den här: tiden från att en sårbarhet blir känd till att den utnyttjas i skarpa attacker har sjunkit från 63 dagar till fem, enligt DNV Cyber. Angriparna använder AI för att läsa säkerhetsuppdateringar, förstå vad som lappats och bygga fungerande angreppskod.
Två månader räckte för att planera in en patchfönster på nästa underhållsstopp. Fem dagar gör det omöjligt för organisationer som uppdaterar enligt kvartalsplan.
Ransomware följer samma kurva. Globalt registrerades 964 offentliggjorda ransomwareoffer under juli 2026, en ökning med 87 procent på ett år och 49 procent bara sedan juni. Europa stod för 28 procent av fallen. Vi har skrivit mer om hur försvaret nu måste möta AI-drivna hot med AI och det är precis den kapprustningen som pågår.
Samtidigt läcker organisationer information i andra riktningen. Under juli använde en genomsnittlig organisation åtta olika AI-verktyg. Av instruktionerna som skickades från företagsnätverk innehöll 22 procent potentiellt känslig information och var 36:e bedömdes som högriskexponering. Vanligast var personuppgifter, därefter finansiella uppgifter och information om nätverk och IT-infrastruktur. En anställd som klistrar in en nätverkskarta i en chatbot gör angriparens kartläggning gratis. Läs mer om hur generativ AI förändrar arbetsflöden och var gränserna går.
Valdagen 13 september 2026 är ett test på beredskapen
Säkerhetspolisen har konstaterat att riskerna för hot, sabotage och desinformation mot svenska val har ökat sedan 2018. Ryssland pekas ut som den främmande makt som har tydligast intresse av att påverka svensk opinion, med målet att skapa splittring inom Nato och minska stödet till Ukraina.
Överbelastningsattacker mot myndigheters webbplatser inträffade både 2018 och 2022 och samma scenario finns med i planeringen inför valdagen den 13 september 2026. En DDoS-attack mot en valmyndighets webbplats stoppar inte rösträkningen men den skapar bilden av ett system som inte fungerar. Det är ofta hela syftet.
Kartläggningen sker också fysiskt. Misstänkt bevakning av skyddsobjekt, ungdomar som rekryteras via Telegram för att fotografera anläggningar och AI-drivna intrångsförsök mot samma mål. Digitalt och fysiskt är två sidor av samma operation.
Fem steg som stänger gapet mellan hotbild och beredskap
Det som skiljer förberedda organisationer från oförberedda är sällan budgeten. Det är om ledningen har tagit besluten eller delegerat dem nedåt tills ingen äger dem. Så här ser ordningen ut:
- Placera ansvaret hos vd och styrelse, skriftligt. Så länge cybersäkerhet är en IT-fråga får den IT-budget och IT-mandat. Ett dokumenterat ledningsansvar är vad NIS2-regelverket kräver och det är också det som gör att någon faktiskt fattar beslut när larmet går klockan tre på natten.
- Kartlägg vad som verkligen är kritiskt. De flesta verksamheter skyddar allt lika illa. Ta reda på vilka fem system som stoppar verksamheten om de faller och vilka beroenden de har till leverantörer och molntjänster. Listan blir nästan alltid längre och obehagligare än väntat.
- Korta uppdateringscykeln till dagar, inte månader. Med fem dagar mellan känd sårbarhet och aktiv exploatering fungerar kvartalsvisa patchfönster inte längre. Kritiska säkerhetsuppdateringar behöver en snabbfil som inte kräver ändringsråd. Det innebär också att sluta köra system som inte längre får uppdateringar, ett problem som blir konkret när [Microsoft slopar supporten för äldre versioner](https://datamuseet.se/operativsystem/office-2021-windows-support-slut/).
- Sätt regler för AI-verktyg innan de sätter sig själva. Bestäm vilka verktyg som är godkända, vad som aldrig får klistras in i dem och vem som får installera nya. Var 36:e prompt är en högrisk och åtta verktyg per organisation betyder att skuggan är större än policyn.
- Öva på att vara utslagen, inte på att stå emot. Räkna med att intrånget lyckas. Testa att köra löneutbetalning, journalföring eller vattenrening utan de digitala systemen. Testa också att återställa från backup, i skarpt läge, med tidtagning. Många upptäcker då att backuperna aldrig verifierats.
Steg fem är det som oftast hoppas över och det som gör mest skillnad. En organisation som har övat vet vem som ringer vem. En som inte har övat läser instruktioner på ett papper som ligger på en filserver som just krypterats.
CERT-SE och Myndigheten för civilt försvar tar emot svenska incidentrapporter
CERT-SE är Sveriges nationella funktion för hantering av IT-incidenter och driver både varningar och incidentrapportering. Där finns aktuella sårbarhetsmeddelanden och kontaktväg vid pågående incidenter. Myndigheten för civilt försvar ansvarar för det bredare civila försvaret och samordning av samhällets krisberedskap.
För privatpersoner ser hotbilden annorlunda ut men grundprinciperna är samma. Uppdatera, använd olika lösenord och tvåfaktor och var skeptisk mot oväntade kontakter. Vi har samlat konkreta åtgärder i guiden om hur du skyddar dig mot dataintrång.
FAQ
Vad räknas som samhällskritisk infrastruktur i Sverige?
Verksamheter som samhället inte klarar sig utan i vardagen: el- och vattenförsörjning, transporter, betalningssystem, elektronisk kommunikation, hälso- och sjukvård, livsmedelsdistribution och offentlig förvaltning. Många av dem drivs av kommuner, regioner eller privata bolag, vilket gör att ansvaret för säkerheten är spritt över hundratals organisationer.
Kan en cyberattack faktiskt skada människor fysiskt?
Ja. Ett sjukhus som förlorar tillgången till journaler och labbsvar tvingas skjuta upp behandlingar och operera med ofullständig information. Ett vattenverk med manipulerade styrsystem kan doseras fel. Ett larmsystem som ligger nere gör att hjälp inte kommer i tid. Den fysiska skadan uppstår indirekt men den uppstår.
Vad är NIS2 och vem berörs?
NIS2 är EU:s regelverk för cybersäkerhet i samhällsviktiga sektorer. Det ställer krav på riskhantering, incidentrapportering och dokumenterat ansvar hos ledningen och det omfattar betydligt fler verksamheter än det tidigare NIS-direktivet. För svenska organisationer innebär det bland annat att styrelsen inte längre kan hänvisa uppåt eller nedåt när säkerhetsarbetet brister.
Varför säljs svenska personuppgifter på dark web?
För att de är användbara. Med namn, personnummer, adress och telefonnummer blir bedrägeriförsök trovärdiga nog att lura även försiktiga personer och kompletta identiteter kan användas för att öppna konton eller ta krediter. Prisnivåer runt 90 dollar per svensk identitet har rapporterats, vilket säger något om hur låga marginalerna behöver vara för att affären ska gå ihop.
Attackfrekvensen kommer knappast att sjunka under 2027. Det som kan förändras är hur många svenska ledningsgrupper som fattat besluten innan larmet går, i stället för under.
