Digital infrastruktur

Vilka kan omfattas i sektorn

• Leverantörer av internetknutpunkter (IXP)
• Leverantörer av DNS-tjänster, utom operatörer av rotnamnservrar
• Toppdomänregister
• Leverantörer av molntjänster och datacentertjänster
• Leverantörer av nätverk för innehållsleverans (CDN)
• Tillhandahållare av betrodda tjänster
• Tillhandahållare av allmänna elektroniska kommunikationsnät och kommunikationstjänster

Att verksamheten finns i sektorn räcker inte. Enligt lagförslaget krävs ett beslut om identifiering, och det fattas bara om verksamhetsutövaren tillhandahåller en samhällsviktig tjänst, har kritisk infrastruktur i Sverige och om en incident skulle få en betydande störande effekt (2 kap. 2 §).

Lagens skyldigheter gäller inte för sektorn

För en verksamhetsutövare som har identifierats som kritisk inom digital infrastruktur gäller inte lagens skyldigheter för den delen av verksamheten. Skälet enligt CER-direktivet är att NIS2, som i Sverige genomförs genom cybersäkerhetslagen, redan ställer krav som är minst likvärdiga. Cybersäkerhetslagen kräver åtgärder som skyddar nätverks- och informationssystemen och systemens fysiska miljö mot incidenter (2 kap. 3 §). Det fysiska skyddet av datacenter, noder och teknikbodar är alltså fortfarande ett krav, men enligt en annan lag.

Undantaget följer av 1 kap. 4 § i lagförslaget och artikel 8 i CER-direktivet. Verksamheten kan ändå identifieras som kritisk och ingå i den nationella riskbedömningen. Har samma verksamhetsutövare identifierats som kritisk även inom en annan sektor gäller lagen fullt ut för den delen av verksamheten.

Typiska anläggningar

• Datacenter och samlokaliseringsanläggningar
• Teknikbodar, master och noder
• Kabelbrunnar och korskopplingsutrymmen

Risker som är typiska för sektorn

• Obevakade noder och teknikbodar. Noder, master och teknikbodar ligger ofta avsides. En obevakad bod kan vara ingången till ett nät som bär andra samhällsviktiga tjänster.
• Kabelbrunnar och korskopplingar. Fiber och kraft kan slås ut på ställen där ingen förväntar sig ett angrepp.
• Klimat och vatten i datorhallar. Temperatur, fukt och vattenläckage kan orsaka avbrott och behöver larma i samma kedja som intrång.

Vad som väger tyngst i det fysiska skyddet

• Flera skyddslager från perimeter till rack. Varje lager fördröjer och larmar, så att ett intrång upptäcks innan det når utrustningen.
• Passerloggning på alla nivåer. Logg för byggnad, sal och rack gör att åtkomsten kan följas upp i detalj.
• Detektering vid obemannade noder och bodar. Detektering på dörr och lucka med video ger larm när en bod öppnas utanför planerad service.
• Driftlarm för temperatur, fukt och vattenläckage. Klimatlarm och säkerhetslarm i samma gränssnitt ger en samlad bild av läget.

Tillsyn

Eftersom lagens skyldigheter inte gäller för sektorn blir det ingen tillsyn enligt CER-lagen över den delen av verksamheten. Tillsynsmyndighet för sektorn enligt cybersäkerhetslagen är i dag: Post- och telestyrelsen (cybersäkerhetsförordningen 2025:1507, 7 §).

Så stödjer Sitewatch ert arbete

Sitewatch övervakar datorhallar, noder och teknikbodar med passerloggning, detektering, kameror och klimatgivare i ett gränssnitt, och larm skickas med video. En kamera bakom Sitewatch Security Hub har ingen egen inloggning som går att nå från internet. Ingen säkerhetsdata lämnar EU. Drift och lagring sker hos svensk hostingleverantör.

• Driftövervakning
• Accesskontroll
• Cybersäkerhetslagen och NIS2

Vanliga frågor

Gör självskattningen

Tolv frågor ger dig en gapanalys, en prioriterad åtgärdslista och en PDF att ta med till nästa möte. Starta verktyget.

Andra sektorer

• Energi
• Transport
• Bankverksamhet
• Finansiell marknadsinfrastruktur
• Alla elva sektorer