Fagstoff

OT-sikkerhet for VA-anlegg: Komplett guide for tekniske ledere

Skrevet av Stig Mortvedt | 10. september 2025

Artikkelen tar deg gjennom hvorfor cybersikkerhet i vann- og avløpssektoren ikke lenger er et "nice-to-have", men en forretningskritisk nødvendighet.

 

Når vannet slutter å renne

Forestill deg at du kommer på jobb mandag morgen og finner ut at ditt vannbehandlingsanlegg ikke lenger responderer på kommandoer. Pumpene står, SCADA-systemet viser feilmeldinger, og du vet ikke om vannet som pumpes ut til innbyggerne er trygt å drikke. Dette er ikke science fiction – det er virkeligheten for stadig flere VA-anlegg verden over.

I februar 2021 klarte hackere å fjernstyre et vannbehandlingsanlegg i Florida og øke natriumhydroksidnivået til farlige verdier. Kun årvåken operatørarbeid forhindret en katastrofe. I Norge har vi så langt vært forskånet for større hendelser, men truslene er de samme – og konsekvensene kan være enda mer alvorlige i våre tett befolkede områder.

Som teknisk leder i VA-sektoren har du ansvaret for både leveringssikkerhet og personsikkerhet. Mens IT-systemer kan være nede i noen timer uten katastrofale følger, kan manipulering av ditt OT-system (operasjonell teknologi) true liv og helse innen minutter.

Hvorfor VA-anlegg er attraktive mål

Vann- og avløpsanlegg er særlig sårbare av flere grunner:

Kritisk samfunnsfunksjon: Angrip vannforsyningen, og du påvirker hele lokalsamfunnet. Dette gir stor politisk og mediaoppmerksomhet – akkurat det cyberkriminelle og statlige aktører søker.

Ofte utdatert teknologi: Mange VA-anlegg kjører på systemer som ble installert før cybersikkerhet var et tema. SCADA-systemer og PLS-er som er 10-20 år gamle mangler ofte grunnleggende sikkerhetsfunksjoner.

Fjernoverføring og automatisering: For å drive effektivt har mange anlegg fjernaksess og automatiserte styringssystemer. Hver fjernforbindelse er en potensiell inngangsport for angripere.

Begrenset sikkerhetskompetanse: Mens din kompetanse på vannkjemi og prosessteknologi er høy, har mange VA-bedrifter begrenset kompetanse på cybersikkerhet – særlig for OT-miljøer.

Tre-pilar rammeverket for OT-sikkerhet

God OT-sikkerhet hviler på tre grunnpilarer: Prevent (forebygg), Detect (oppdag) og Respond (responder). La oss se på hva dette betyr i praksis for ditt VA-anlegg:

1. Prevent (Forebygg) – Steng døren før inntrengerne kommer

Segmentering av nettverk Det viktigste tiltaket du kan gjøre er å skille OT-nettverket ditt fra kontornettverket (IT). Tenk på det som å ha låste dører mellom rommene i huset ditt – selv om tyven kommer seg inn hovedinngangen, kan han ikke bevege seg fritt.

Praktisk eksempel: SCADA-systemet ditt skal ikke kunne "snakke" direkte med e-postserveren eller internett. All kommunikasjon skal gå gjennom kontrollerte passasjer med brannmurer som kun tillater nødvendig trafikk.

Tilgangsstyring og autentisering Hver person som skal ha tilgang til OT-systemene dine må ha:

  • Unik brukerkonto (ikke delte "service"-kontoer)
  • Sterke passord eller flerfaktorautentisering
  • Tilgang kun til det de faktisk trenger for å gjøre jobben sin

Oppdatering og patching Dette er utfordrende i OT-miljøer fordi du ikke kan ta produksjonen ned for hver oppdatering. Løsningen er en planlagt tilnærming:

  • Test alle oppdateringer i et separat miljø først
  • Prioriter kritiske sikkerhetsoppdateringer
  • Ha en nedetidsplan for større systemoppdateringer

2. Detect (Oppdag) – Se når noe uønsket skjer

Selv med gode forebyggende tiltak vil noen trusler slippe gjennom. Da er det avgjørende at du oppdager dem raskt.

Overvåkning av nettverkstrafikk Installer systemer som kontinuerlig overvåker datatrafikken i OT-nettverket ditt. Disse kan oppdage:

  • Uvanlige data miner som kan indikere angrep
  • Kommunikasjon med ukjente eksterne servere
  • Endringer i normal operasjonell trafikk

Logging og hendelseskorrelasjon Samle logger fra alle kritiske systemer på ett sted:

  • SCADA-alarmer og hendelser
  • Brannmurlogger
  • Innloggingsforsøk og autorisasjonsendringer
  • Fysisk adgang til kontrollrom

Anomali-detektering Moderne overvåkningssystemer kan lære normal adferd i ditt anlegg og varsle når noe er annerledes:

  • Pumper som startes på uvanlige tidspunkt
  • Kjemikaliedoseringer som avviker fra normalen
  • Datatrafikk med uvanlige mønstre

3. Respond (Responder) – Handle raskt og kontrollert

Når du oppdager en hendelse, er rask og korrekt respons avgjørende for å minimere skade.

Beredskapsplan for cyberhendelser Du trenger en spesifikk plan for cyberhendelser som er forskjellig fra vanlige driftsforstyrrelser:

  • Hvem tar beslutninger når systemene ikke kan stoles på?
  • Hvordan går du over til manuell drift?
  • Når skal du kontakte politiet/PST?
  • Hvordan kommuniserer du med innbyggere og media?

Isolering og innkapsling Ha forhåndsdefinerte prosedyrer for å:

  • Koble fra berørte systemer fra nettverket
  • Fortsette kritiske prosesser manuelt
  • Sikre at rene backup-systemer er tilgjengelige

Gjenoppretting og læring Etter en hendelse må du:

  • Dokumentere hva som skjedde og hvorfor
  • Teste alle systemer grundig før normal drift gjenopptas
  • Oppdatere prosedyrer basert på erfaringene

Regulatoriske krav du må forholde deg til

Som VA-leverandør er du pålagt å følge flere regelverk:

NIS2-direktivet (implementert i Norge 2024) Dette pålegger deg som kritisk infrastruktur å:

  • Ha systematisk risikostyring for cybersikkerhet
  • Rapportere alvorlige hendelser til myndighetene
  • Ha tiltak for å beskytte mot kjente trusler

Vannforsyningsloven og drikkevannsforskriften Stiller krav om at du skal sikre trygg vannforsyning, noe som inkluderer beskyttelse mot sabotasje og manipulering.

Internkontrollforskriften Krever systematisk oppfølging av risiko, inkludert cyber-risiko.

Praktisk tips: Start med en risikovurdering som dokumenterer dine sikkerhetsutfordringer og tiltak. Dette vil både hjelpe deg prioritere riktig og tilfredsstille regulatoriske krav.

Case: Slik sikret Lillehammer kommune sin VA-drift

Lillehammer kommune VA er et utmerket eksempel på hvordan man kan modernisere OT-sikkerheten uten å skape kaos i driften. Med over 80 pumpestasjoner og anlegg under fjernkontroll, var de i samme situasjon som mange andre norske kommuner.

Utfordringen

Lars Philip Olaussen, prosjektleder og sikkerhetskoordinator for vann og avløp, så tidlig at deres "gamle" VPN-baserte fjernaksess med enkelt passord ikke holdt mål lenger. Med NIS2-kravene som kom, og økt bevissthet om trusler mot norske VA-anlegg, trengte de en tryggere løsning.

"Vi vet at andre vann- og avløpsvirksomheter i Norge har blitt utsatt for angrep. Det er en virkelighet vi må forholde oss til," forteller Olaussen.

Løsningen

I stedet for å bare erstatte den gamle infrastrukturen, grep kommunen muligheten til å bygge noe mer fremtidsrettet. De valgte en Zero Trust-løsning som ga dem:

Tofaktor-pålogging: All fjerntilgang krever nå bekrefting via telefon Full logging: Komplett oversikt over hvem som har vært pålogget hvilket utstyr, og når Virusscanning: Automatisk kontroll av at eksterne filer ikke inneholder virus Stabil drift: Løsningen har fungert uten problemer siden implementering

Les hele caset med Lillehammer kommune her.

Implementeringsstrategi

Måten Lillehammer gjennomførte overgangen på er lærerikt for andre kommuner:

  1. Drift i parallell: Beholdt den gamle løsningen som backup under utrulling
  2. Stegvis opplæring: Lærte opp ansatte én etter én, ikke alle samtidig
  3. Minimal læringskurve: Hver person brukte kun 1-2 timer på å bli trygg på systemet
  4. Brukersamhørig: Løsningen fungerer i vanlig nettleser, ingen spesialprogramvare

 

Vi har tatt en prat med Knut Olav Bakke, automasjonsingeniør, og Lars Philip Olaussen, prosjektleder og sikkerhetskoordinator for vann og avløp i Lillehammer kommune. Les hele caset med Lillehammer kommune her.

 

Resultatene

"Den største forskjellen nå er at vi sover litt bedre om natta. Vi vet at vi har en tryggere løsning,"sier Olaussen.

De konkrete fordelene inkluderer:

  • Bedre sikkerhet mot uautorisert tilgang
  • Enklere feilsøking ved direkte tilkobling til stasjoner
  • Tidsbesparelse på vedlikehold og support
  • Regulatory compliance med NIS2 og andre krav

 

Første steg: Din praktiske handlingsplan

Uke 1-2: Kartlegging

  • Lag en oversikt over alle systemer som styrer vannkvalitet og leveringssikkerhet
  • Identifiser alle eksterne tilkoblinger (fjernaksess, leverandøroppkobling, internett)
  • Dokumenter hvem som har tilgang til hva

Uke 3-4: Akutt sikring

  • Endre alle standard-passord på kritiske systemer
  • Deaktiver unødvendige nettverkstjenester
  • Installer grunnleggende brannmurregler mellom IT og OT

Måned 2-3: Strukturert utbedring

  • Implementer overvåkning av kritisk nettverkstrafikk
  • Etabler backup-prosedyrer for alle systemkonfigurasjoner
  • Lag beredskapsplaner for cyberhendelser

Måned 4-6: Modenhet og kontinuerlig forbedring

  • Test beredskapsplanene i øvelser
  • Etabler kontinuerlig sikkerhetstrening for personalet
  • Vurder avanserte løsninger for større anlegg

Lillehammers råd til andre kommuner

Basert på sine erfaringer har Lillehammer kommune VA noen klare råd:

Undersøk markedet: Start med å høre hvor andre har lykkes og hvem de har lykkes med

Kjenn dine egne systemer: Det er lurt å vite hvor sårbarhetene dine er og hva som er viktigst å beskytte

Start forsiktig: Begynn i det små, test løsningen og bli trygg på den før den rulles ut til alle

Velg riktig partner: I driftsteknologi finnes det ingen "one-size-fits-all" – du trenger leverandører som forstår både teknologien og hverdagen din

 

Sikkerhet gir dere et konkurransefortrinn 

OT-sikkerhet handler ikke bare om å unngå det verste. Gode sikkerhetstiltak gir deg:

  • Bedre driftskontinuitet: Færre uplanlagte stopp og avbrudd
  • Regulatorisk compliance: Oppfyll kravene fra NIS2 og andre regelverk
  • Økt tillit: Innbyggere og myndigheter vet at du tar ansvaret på alvor
  • Kostnadsbesparelser: Unngå dyrt emergency-arbeid og krisehåndtering

Som Lillehammer kommune viser, er det mulig å bygge god OT-sikkerhet uten å skape kaos. Hvert tiltak du implementerer gjør anlegget ditt sikrere og mer robust.

Er du klar til å ta neste steg?

Har du spørsmål om OT-sikkerhet for ditt anlegg? Kontakt våre eksperter for en uforpliktende diskusjon om dine utfordringer og muligheter.