Fysiskt skydd av VA-anläggningar

1. Utmaningen: många anläggningar, ingen personal på plats

VA-verksamhet är distribuerad av naturen. Vattenverk, högreservoarer, vattentorn, pumpstationer och reningsverk ligger utspridda över kommunens yta, ofta utan personal på plats och ibland utan fast bevakning alls. Den som tar sig in möts sällan av någon, och en upptäckt händelse innebär i praktiken att någon måste ta bilen dit.

Långa inställelsetider gör att skillnaden mellan en tidig indikation och ett konstaterat intrång blir avgörande. Samtidigt är bruset stort: väder, djur, entreprenörer, jour och egen personal genererar rörelse dygnet runt. Larm utan sammanhang leder därför antingen till onödiga utryckningar eller till att larm i praktiken ignoreras.

Det som behövs är inte fler larm, utan händelser med kontext. Att en lucka öppnas klockan tre på natten och att kameran samtidigt visar en person vid taket är en annan sak än att en givare indikerar rörelse. Läs mer om händelsebaserad säkerhet.

2. Regelverket som styr

• LIVSFS 2008:13 §§ 4 till 7: skyldighet att förebygga, upptäcka och åtgärda sabotage och annan skadegörelse vid dricksvattenanläggningar. Se även LIVSFS 2008:13 i ordlistan.
• Livsmedelsverkets operativa mål 2 för perioden 2023 till 2025: samtliga allmänna vattenverk och distributionsanläggningar som försörjer fler än 2 000 personer skulle inspekteras och revideras mot dessa paragrafer, med deadline 31 december 2025, utfört av kommunala kontrollmyndigheter.
• Cybersäkerhetslagen (NIS2): omfattar dricksvatten och avloppsvatten sedan 15 januari 2026. Läs mer om NIS2 och cybersäkerhetslagen.
• CER-lagen: omfattar dricksvatten och avloppsvatten från 1 januari 2027, med kravet i 3 kap. 3 § att säkerställa ett tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur. Läs mer om CER-lagen.
• Säkerhetsskyddslagen gäller för delar av verksamheten.

3. Vad tillsynsomgången betyder i praktiken

Den nationella inspektionsomgången mot LIVSFS 2008:13 avslutades vid årsskiftet 2025, i enlighet med operativt mål 2. Kommunala kontrollmyndigheter har gått igenom vattenverk och distributionsanläggningar som försörjer fler än 2 000 personer och bedömt dem mot paragraferna om sabotage och skadegörelse.

Konsekvensen är att många huvudmän nu har dokumenterade brister att åtgärda under 2026 och 2027. Åtgärderna ska genomföras samtidigt som CER-utpekandet landar och kraven i CER-lagen börjar gälla 1 januari 2027. Det är därför praktiskt att behandla bristerna från tillsynen och förberedelserna inför CER som ett och samma arbete, med samma dokumentation, i stället för två parallella projekt.

4. Dokumenterade händelser

Behovet är inte teoretiskt. Ett antal händelser vid svenska VA-anläggningar har rapporterats och beskrivits offentligt.

• Inbrott i vattentornet i Bollnäs, som ledde till en kokningsrekommendation.
• Intrång vid anläggningar i Hofors och Robertsfors.
• Drönarobservationer över anläggningar.
• MUST pekar ut sabotage mot dricksvattenförsörjning som ett säkerhetshot.

Gemensamt för händelserna är att de handlar om fysisk åtkomst till anläggningar som normalt står utan personal, och att konsekvensen för dricksvattenförsörjningen kan bli omfattande även vid ett enskilt intrång.

5. Vad som behöver skyddas och hur

Skyddet ser olika ut per anläggningstyp. Nedan beskrivs vad som vanligtvis behöver täckas, och vilka funktioner i Sitewatch som används.

Vattenverk

Skalskydd runt byggnaden, dörr- och portlarm på samtliga öppningsbara ytor, åtkomstlogg per person och passage samt processövervakning av de värden som visar att driften är normal. Dörr- och fönstergivare larmar vid öppning, och temperatur, fukt, vattenläckage och nivå övervakas kontinuerligt. Se även skalskydd.

Reservoarer och vattentorn

Luck- och takgivare som indikerar när en lucka öppnas, klätterdetektering mot stege och fasad samt perimeterdetektering runt anläggningen. Videoanalys klassificerar person och fordon, så att en indikation kan bekräftas innan någon skickas ut. Se även perimeterdetektering.

Avloppsreningsverk

Perimeter runt hela verksamhetsområdet, kontroll av fordonsflödet in och ut, samt loggning av besök. ANPR vid grind läser registreringsskylten och kan styra bom eller grind, vilket ger en verifierad post per fordon. Se obemannad grindhantering och ANPR.

Pumpstationer

Obemannade och ofta i bostadsnära lägen, vilket ställer krav på proportionalitet i valet av åtgärder. Dörrgivare och temperaturgivare täcker grundbehovet, kompletterat med nivå- och läckagegivare för driften. Akustisk drönardetektering finns som tillägg där drönare över anläggningen är en del av hotbilden, se Drone Watch.

6. Datasuveränitet som upphandlingskrav

För samhällsviktig VA-infrastruktur är frågan om var data lagras och vem som kan komma åt den inte en bekvämlighetsfråga. Larmdata, kamerabilder och driftvärden från vattenverk och reservoarer säger något om anläggningens uppbyggnad, bemanning och svaga punkter. Den informationen bör inte hamna under utländsk jurisdiktion.

Därför är svensk drift och svensk datalagring i praktiken ofta ett faktiskt upphandlingsvillkor, formulerat som ett skallkrav i underlaget, inte en önskan. Sitewatch driftas och lagras i Sverige och ingen säkerhetsdata lämnar EU. Läs mer i artikeln om datasuveränitet och i ordlistan om datasuveränitet.

7. Så genomförs det med partner

Lösningen levereras och installeras av certifierad partner. Partnern projekterar anläggningen på plats, ansvarar för montage, driftsättning och service, och är huvudmannens kontaktväg i det löpande arbetet. Sitewatch levererar plattformen, integrationerna och supporten bakom.

• Huvudmannen äger ändamålet med bevakningen, beslutar vilka anläggningar som ska omfattas, ansvarar för behörigheter, gallringstider och den dokumentation som regelverken kräver.
• Partnern projekterar, installerar, driftsätter och underhåller, och föreslår åtgärder utifrån anläggningens risk- och sårbarhetsbild.
• Sitewatch ansvarar för plattform, svensk drift och lagring, integrationer och vidareutveckling.

Läs mer om partnerledet.

8. Vanliga frågor

9. Källor

• Livsmedelsverket Kontrollwiki, "Åtgärder mot sabotage och annan skadegörelse"
• Livsmedelsverket, operativt mål 2, säkerhet vid vattenverk och reservoarer
• Svenskt Vatten, "Om VA-branschen"
• Regeringen, lagrådsremiss om lag för kritiska verksamhetsutövare