OT-säkerhet för vatten och avlopp
Skydda vattnet, från vattenverket till reningsverket
Vattenverk, reningsverk och pumpstationer styrs av SCADA-system och PLC:er. Många stationer ligger långt bort och nås via mobilnätet. XoT skyddar dem utan att ni byter ut utrustningen.
Läget
Därför är vatten och avlopp särskilt utsatt
NIST:s utkast till SP 800-82 Rev. 4 har ett eget avsnitt om vatten och avlopp. Det pekar på samma risker som vi ser.
Utspridda stationer
Pumpstationer, reservoarer och tryckstegringar ligger utspridda. De är ofta anslutna via mobilnätet, radiolänk eller hyrda förbindelser.
Lång livslängd
Styrsystemen ska fungera i många år. Många får sällan säkerhetsuppdateringar, och vissa får inga alls.
Leverantörer och driftpartner
Många mindre verksamheter låter en leverantör eller driftpartner sköta styrsystemen. Ansvaret för cybersäkerheten står ofta inte tydligt i avtalet.
Vattnets kvalitet
Styrsystemen doserar kemikalier och styr reningen. Ett angrepp kan påverka vattnets kvalitet och människors hälsa.
Lagar
Flera lagar gäller samma verksamhet
Cybersäkerhetslagen
Dricksvatten och avloppsvatten är sektorer i NIS2. I Sverige gäller kraven genom cybersäkerhetslagen sedan 15 januari 2026.
CER
Dricksvatten och avloppsvatten finns också med i CER, som handlar om motståndskraft. Sverige inför CER genom en ny lag.
Säkerhetsskyddslagen
Många verksamheter inom vatten och avlopp är viktiga för Sveriges säkerhet. Då gäller också säkerhetsskyddslagen.
Sekretess
Uppgifter om anläggningar, styrsystem och nätverk kan omfattas av sekretess. Det gäller också uppgifter i system för fjärråtkomst.
Svenskt Vatten
Kraven i säkerhetshandboken och vad XoT gör
Svenskt Vatten har en säkerhetshandbok för verksamheter inom vatten och avlopp. Handboken är ingen lag. Den samlar krav från lagar och standarder och anpassar dem till vatten och avlopp.
Tabellen visar några krav på styrsystem i handboken. Formuleringarna är våra förenklingar. Raderna där XoT hjälper till är markerade med grönt.
| Krav i handboken | Så gör XoT | XoT |
|---|---|---|
| Externa förbindelser går inte direkt in i kritiska nät | Låset ansluter bara utåt. Inga portar öppnas in, och åtkomsten gäller en maskin i taget. | Ja |
| Nätet delas upp, så att fel och skadlig kod inte sprids | Ett lås per enhet eller grupp delar upp nätet i mindre delar. | Ja |
| Leverantörer når inte kritiska nät utan kontroll, och deras arbete följs upp | Åtkomst efter godkännande och under en viss tid. Varje anslutning loggas. | Ja |
| Inga obehöriga förbindelser från kritiska system till internet | Låset kan stoppa trafik ut från utrustningen. | Ja |
| Krypterad trafik mellan delsystem | Lås till lås krypterar trafiken. Inget ändras i utrustningen. | Ja |
| Gamla styrsystem skyddas tills de byts ut | Hide and Protect gör utrustningen osynlig för obehöriga. Det är en kompenserande åtgärd. | Ja |
| Personlig inloggning och behörigheter som ses över | Varje person har en egen identitet. Policy Graph visar vem som når vad. Översynen gör ni. | Delvis |
| Loggar som skyddas mot ändring och granskas | XMS loggar varje anslutning och varje ändring av regler. Loggarna kan skickas till ert SIEM. Granskningen gör ni. | Delvis |
| Larm när kommunikationen ändras på ett onormalt sätt | Låset kan skicka en kopia av trafiken till ett system som upptäcker intrång. XoT larmar inte själv. | Delvis |
| Drift utan nätverk och manuell drift som övas | Det är ett arbete i er organisation. | Nej |
Fjärrstationer
Skydda pumpstationer och andra fjärrstationer
En pumpstation är ansluten till SCADA-systemet. Från stationen går det ofta att nå andra delar av processen. Därför är stationerna en möjlig väg in för en angripare.
Ett lås i varje station
Låset sitter mellan stationens utrustning och nätverket. Utrustningen blir osynlig för alla som saknar behörighet.
Krypterad förbindelse till SCADA-systemet
Låset i stationen har en krypterad förbindelse till ett lås vid SCADA-systemet. Inget installeras i stationens utrustning eller i SCADA-systemet.
Bara den trafik som behövs
En regel i XMS bestämmer vilken trafik som får gå mellan stationen och SCADA-systemet. Stationerna når inte varandra om ingen regel tillåter det.
Fungerar över mobilnätet
XoT fungerar över alla IP-nätverk, även mobilnät. Låset kan också installeras direkt i routrar från Teltonika.
Leverantörer
Ge leverantören åtkomst till rätt station
Utan XoT
Leverantören ansluter med VPN till driftnätet. Därifrån går det ofta att nå många stationer. Om leverantören blir angripen kan angriparen nå dem också.
Med XoT
Leverantören får åtkomst till en viss utrustning under en viss tid. En operatör kan godkänna varje anslutning. Allt loggas.
En driftpartner kan sköta XMS åt flera mindre verksamheter. Varje verksamhet ser bara sin egen utrustning.
Var XoT körs
Uppgifterna om era anläggningar stannar hos er
XMS innehåller uppgifter om er utrustning och era regler. Sådana uppgifter kan omfattas av sekretess eller säkerhetsskydd.
Därför kan hela XoT köras i er egen regi, i ert eget datacenter eller helt avskilt från internet. XoT utvecklas i Sverige, och hårdvaran XoT-S1 är konstruerad och tillverkad i Sverige.
Vanliga frågor
Kan vi börja med en pumpstation?
Ja. Ett lås i stationen och ett lås vid SCADA-systemet räcker för att börja. Sedan kan ni lägga till fler stationer.
Måste vi bygga om nätverket?
Nej. Låset sitter framför utrustningen, och utrustningen behöver inte ändras.
Ersätter XoT reservdrift och manuell drift?
Nej. Kritiska funktioner ska gå att köra utan nätverk. Det är ett arbete i er organisation.
Räcker XoT för att följa cybersäkerhetslagen?
Nej. XoT hjälper till med flera av åtgärderna, men lagen kräver fler. Vi har gått igenom vilka.
Det vi skriver om lagar och om säkerhetshandboken är vår tolkning. Det är inte juridisk rådgivning.