---
title: "OT-sikkerhet for VA-anlegg: Komplett guide for tekniske ledere"
description: "Lillehammer kommune: det er mulig å bygge god OT-sikkerhet uten å skape kaos. Hvert tiltak du implementerer gjør anlegget ditt sikrere og mer robust."
---

[Fagstoff](https://fagstoff.lastmile.no)

# [OT-sikkerhet for VA-anlegg: Komplett guide for tekniske ledere](https://fagstoff.lastmile.no/ot-sikkerhet-for-va-anlegg-komplett-guide-for-tekniske-ledere)

 Skrevet av [Stig Mortvedt](https://fagstoff.lastmile.no/author/stig-mortvedt) | 10. september 2025

> *Artikkelen tar deg gjennom hvorfor cybersikkerhet i vann- og avløpssektoren ikke lenger er et "nice-to-have", men en forretningskritisk nødvendighet.*

 

## Når vannet slutter å renne

Forestill deg at du kommer på jobb mandag morgen og finner ut at ditt vannbehandlingsanlegg ikke lenger responderer på kommandoer. Pumpene står, SCADA-systemet viser feilmeldinger, og du vet ikke om vannet som pumpes ut til innbyggerne er trygt å drikke. Dette er ikke science fiction – det er virkeligheten for stadig flere VA-anlegg verden over.

I februar 2021 klarte hackere å fjernstyre et vannbehandlingsanlegg i Florida og øke natriumhydroksidnivået til farlige verdier. Kun årvåken operatørarbeid forhindret en katastrofe. I Norge har vi så langt vært forskånet for større hendelser, men truslene er de samme – og konsekvensene kan være enda mer alvorlige i våre tett befolkede områder.

Som teknisk leder i VA-sektoren har du ansvaret for både leveringssikkerhet og personsikkerhet. Mens IT-systemer kan være nede i noen timer uten katastrofale følger, kan manipulering av ditt OT-system (operasjonell teknologi) true liv og helse innen minutter.

## Hvorfor VA-anlegg er attraktive mål

Vann- og avløpsanlegg er særlig sårbare av flere grunner:

**Kritisk samfunnsfunksjon:** Angrip vannforsyningen, og du påvirker hele lokalsamfunnet. Dette gir stor politisk og mediaoppmerksomhet – akkurat det cyberkriminelle og statlige aktører søker.

**Ofte utdatert teknologi:** Mange VA-anlegg kjører på systemer som ble installert før cybersikkerhet var et tema. SCADA-systemer og PLS-er som er 10-20 år gamle mangler ofte grunnleggende sikkerhetsfunksjoner.

**Fjernoverføring og automatisering:** For å drive effektivt har mange anlegg fjernaksess og automatiserte styringssystemer. Hver fjernforbindelse er en potensiell inngangsport for angripere.

**Begrenset sikkerhetskompetanse:** Mens din kompetanse på vannkjemi og prosessteknologi er høy, har mange VA-bedrifter begrenset kompetanse på cybersikkerhet – særlig for OT-miljøer.

## Tre-pilar rammeverket for OT-sikkerhet

God OT-sikkerhet hviler på tre grunnpilarer: **Prevent (forebygg)**, **Detect (oppdag)** og **Respond (responder)**. La oss se på hva dette betyr i praksis for ditt VA-anlegg:

### 1. Prevent (Forebygg) – Steng døren før inntrengerne kommer

**Segmentering av nettverk** Det viktigste tiltaket du kan gjøre er å skille OT-nettverket ditt fra kontornettverket (IT). Tenk på det som å ha låste dører mellom rommene i huset ditt – selv om tyven kommer seg inn hovedinngangen, kan han ikke bevege seg fritt.

*Praktisk eksempel:* SCADA-systemet ditt skal ikke kunne "snakke" direkte med e-postserveren eller internett. All kommunikasjon skal gå gjennom kontrollerte passasjer med brannmurer som kun tillater nødvendig trafikk.

**Tilgangsstyring og autentisering** Hver person som skal ha tilgang til OT-systemene dine må ha:

- Unik brukerkonto (ikke delte "service"-kontoer)
- Sterke passord eller flerfaktorautentisering
- Tilgang kun til det de faktisk trenger for å gjøre jobben sin

**Oppdatering og patching** Dette er utfordrende i OT-miljøer fordi du ikke kan ta produksjonen ned for hver oppdatering. Løsningen er en planlagt tilnærming:

- Test alle oppdateringer i et separat miljø først
- Prioriter kritiske sikkerhetsoppdateringer
- Ha en nedetidsplan for større systemoppdateringer

### 2. Detect (Oppdag) – Se når noe uønsket skjer

Selv med gode forebyggende tiltak vil noen trusler slippe gjennom. Da er det avgjørende at du oppdager dem raskt.

**Overvåkning av nettverkstrafikk** Installer systemer som kontinuerlig overvåker datatrafikken i OT-nettverket ditt. Disse kan oppdage:

- Uvanlige data miner som kan indikere angrep
- Kommunikasjon med ukjente eksterne servere
- Endringer i normal operasjonell trafikk

**Logging og hendelseskorrelasjon** Samle logger fra alle kritiske systemer på ett sted:

- SCADA-alarmer og hendelser
- Brannmurlogger
- Innloggingsforsøk og autorisasjonsendringer
- Fysisk adgang til kontrollrom

**Anomali-detektering** Moderne overvåkningssystemer kan lære normal adferd i ditt anlegg og varsle når noe er annerledes:

- Pumper som startes på uvanlige tidspunkt
- Kjemikaliedoseringer som avviker fra normalen
- Datatrafikk med uvanlige mønstre

### 3. Respond (Responder) – Handle raskt og kontrollert

Når du oppdager en hendelse, er rask og korrekt respons avgjørende for å minimere skade.

**Beredskapsplan for cyberhendelser** Du trenger en spesifikk plan for cyberhendelser som er forskjellig fra vanlige driftsforstyrrelser:

- Hvem tar beslutninger når systemene ikke kan stoles på?
- Hvordan går du over til manuell drift?
- Når skal du kontakte politiet/PST?
- Hvordan kommuniserer du med innbyggere og media?

**Isolering og innkapsling** Ha forhåndsdefinerte prosedyrer for å:

- Koble fra berørte systemer fra nettverket
- Fortsette kritiske prosesser manuelt
- Sikre at rene backup-systemer er tilgjengelige

**Gjenoppretting og læring** Etter en hendelse må du:

- Dokumentere hva som skjedde og hvorfor
- Teste alle systemer grundig før normal drift gjenopptas
- Oppdatere prosedyrer basert på erfaringene

## Regulatoriske krav du må forholde deg til

Som VA-leverandør er du pålagt å følge flere regelverk:

**NIS2-direktivet (implementert i Norge 2024)** Dette pålegger deg som kritisk infrastruktur å:

- Ha systematisk risikostyring for cybersikkerhet
- Rapportere alvorlige hendelser til myndighetene
- Ha tiltak for å beskytte mot kjente trusler

**Vannforsyningsloven og drikkevannsforskriften** Stiller krav om at du skal sikre trygg vannforsyning, noe som inkluderer beskyttelse mot sabotasje og manipulering.

**Internkontrollforskriften** Krever systematisk oppfølging av risiko, inkludert cyber-risiko.

*Praktisk tips:* Start med en risikovurdering som dokumenterer dine sikkerhetsutfordringer og tiltak. Dette vil både hjelpe deg prioritere riktig og tilfredsstille regulatoriske krav.

## Case: Slik sikret Lillehammer kommune sin VA-drift

Lillehammer kommune VA er et utmerket eksempel på hvordan man kan modernisere OT-sikkerheten uten å skape kaos i driften. Med over 80 pumpestasjoner og anlegg under fjernkontroll, var de i samme situasjon som mange andre norske kommuner.

### Utfordringen

Lars Philip Olaussen, prosjektleder og sikkerhetskoordinator for vann og avløp, så tidlig at deres "gamle" VPN-baserte fjernaksess med enkelt passord ikke holdt mål lenger. Med NIS2-kravene som kom, og økt bevissthet om trusler mot norske VA-anlegg, trengte de en tryggere løsning.

*"Vi vet at andre vann- og avløpsvirksomheter i Norge har blitt utsatt for angrep. Det er en virkelighet vi må forholde oss til,"* forteller Olaussen.

### Løsningen

I stedet for å bare erstatte den gamle infrastrukturen, grep kommunen muligheten til å bygge noe mer fremtidsrettet. De valgte en Zero Trust-løsning som ga dem:

**Tofaktor-pålogging:** All fjerntilgang krever nå bekrefting via telefon **Full logging:** Komplett oversikt over hvem som har vært pålogget hvilket utstyr, og når **Virusscanning:** Automatisk kontroll av at eksterne filer ikke inneholder virus **Stabil drift:** Løsningen har fungert uten problemer siden implementering

[Les hele caset med Lillehammer kommune her.](https://fagstoff.lastmile.no/dette-gjorde-lillehammer-kommune-for-en-tryggere-va-drift)

### Implementeringsstrategi

Måten Lillehammer gjennomførte overgangen på er lærerikt for andre kommuner:

1. **Drift i parallell:** Beholdt den gamle løsningen som backup under utrulling
2. **Stegvis opplæring:** Lærte opp ansatte én etter én, ikke alle samtidig
3. **Minimal læringskurve:** Hver person brukte kun 1-2 timer på å bli trygg på systemet
4. **Brukersamhørig:** Løsningen fungerer i vanlig nettleser, ingen spesialprogramvare

 

Vi har tatt en prat med Knut Olav Bakke, automasjonsingeniør, og Lars Philip Olaussen, prosjektleder og sikkerhetskoordinator for vann og avløp i Lillehammer kommune. [Les hele caset med Lillehammer kommune her.](https://fagstoff.lastmile.no/dette-gjorde-lillehammer-kommune-for-en-tryggere-va-drift)

### Resultatene

*"Den største forskjellen nå er at vi sover litt bedre om natta. Vi vet at vi har en tryggere løsning,"*sier Olaussen.

De konkrete fordelene inkluderer:

- **Bedre sikkerhet** mot uautorisert tilgang
- **Enklere feilsøking** ved direkte tilkobling til stasjoner
- **Tidsbesparelse** på vedlikehold og support
- **Regulatory compliance** med NIS2 og andre krav

## Første steg: Din praktiske handlingsplan

**Uke 1-2: Kartlegging**

- Lag en oversikt over alle systemer som styrer vannkvalitet og leveringssikkerhet
- Identifiser alle eksterne tilkoblinger (fjernaksess, leverandøroppkobling, internett)
- Dokumenter hvem som har tilgang til hva

**Uke 3-4: Akutt sikring**

- Endre alle standard-passord på kritiske systemer
- Deaktiver unødvendige nettverkstjenester
- Installer grunnleggende brannmurregler mellom IT og OT

**Måned 2-3: Strukturert utbedring**

- Implementer overvåkning av kritisk nettverkstrafikk
- Etabler backup-prosedyrer for alle systemkonfigurasjoner
- Lag beredskapsplaner for cyberhendelser

**Måned 4-6: Modenhet og kontinuerlig forbedring**

- Test beredskapsplanene i øvelser
- Etabler kontinuerlig sikkerhetstrening for personalet
- Vurder avanserte løsninger for større anlegg

## Lillehammers råd til andre kommuner

Basert på sine erfaringer har Lillehammer kommune VA noen klare råd:

**Undersøk markedet:** Start med å høre hvor andre har lykkes og hvem de har lykkes med

**Kjenn dine egne systemer:** Det er lurt å vite hvor sårbarhetene dine er og hva som er viktigst å beskytte

**Start forsiktig:** Begynn i det små, test løsningen og bli trygg på den før den rulles ut til alle

**Velg riktig partner:** I driftsteknologi finnes det ingen "one-size-fits-all" – du trenger leverandører som forstår både teknologien og hverdagen din

## Sikkerhet gir dere et konkurransefortrinn 

OT-sikkerhet handler ikke bare om å unngå det verste. Gode sikkerhetstiltak gir deg:

- **Bedre driftskontinuitet:** Færre uplanlagte stopp og avbrudd
- **Regulatorisk compliance:** Oppfyll kravene fra NIS2 og andre regelverk
- **Økt tillit:** Innbyggere og myndigheter vet at du tar ansvaret på alvor
- **Kostnadsbesparelser:** Unngå dyrt emergency-arbeid og krisehåndtering

Som Lillehammer kommune viser, er det mulig å bygge god OT-sikkerhet uten å skape kaos. Hvert tiltak du implementerer gjør anlegget ditt sikrere og mer robust.

**Er du klar til å ta neste steg?**

*Har du spørsmål om OT-sikkerhet for ditt anlegg? Kontakt våre eksperter for en uforpliktende diskusjon om dine utfordringer og muligheter. *

[Vis hele posten](https://fagstoff.lastmile.no/ot-sikkerhet-for-va-anlegg-komplett-guide-for-tekniske-ledere)

```json
{
  "@context" : "http://schema.org",
  "@type" : "BlogPosting",
  "author" : {
    "@type" : "Person",
    "name" : "Stig Mortvedt"
  },
  "dateModified" : "2025-09-10T12:37:12.883Z",
  "datePublished" : "2025-09-10T12:37:12Z",
  "headline" : "OT-sikkerhet for VA-anlegg: Komplett guide for tekniske ledere",
  "image" : {
    "@type" : "ImageObject",
    "height" : 483,
    "url" : "https://5660057.fs1.hubspotusercontent-na1.net/hubfs/5660057/iStock-182811951.jpg",
    "width" : 724
  },
  "mainEntityOfPage" : "https://fagstoff.lastmile.no/ot-sikkerhet-for-va-anlegg-komplett-guide-for-tekniske-ledere",
  "publisher" : {
    "@type" : "Organization",
    "logo" : {
      "@type" : "ImageObject",
      "height" : 60,
      "url" : "/hs/hsstatic/content_shared_assets/static-1.4092/img/default-amp-logo.png",
      "width" : 60
    },
    "name" : "Fagstoff"
  }
}
```