Nordisk energisektor: 73 % hacket via VPN [2026]

Den nordiske energisektoren har blitt et hovedmål for cyberoperasjoner, og tallene fra 2025 og 2026 tegner et alvorlig bilde. I en fersk kartlegging av nordiske aktører innen fornybar energi fant trusseletterretningsselskapet Dragos at 54 prosent av de eksponerte VPN-løsningene var utdaterte Cisco SSL-VPN-er, mens 73 prosent av selskapets globale hendelsesoppdrag startet med en VPN eller gjenbrukte passord som inngangsport. Samtidig vokste antallet løsepengegrupper som angriper industri fra 80 til 119 på ett år. For Norge, der et vannkraftanlegg i Bremanger ble fjernstyrt av pro-russiske aktører i april 2025, er dette ikke lenger en teoretisk risiko. Det er driftsvirkelighet.

Denne nyhetsanalysen går gjennom dataene bak trusselbildet, hva ekspertene faktisk sier, hvordan Norge ligger an mot Sverige, Finland og Danmark, og hva angrepene betyr for markedet, forsikringen og reguleringen av kritisk infrastruktur i Norden. Kjernen er OT-sikkerhet, altså sikring av de industrielle styresystemene som driver kraftverk, vannforsyning og transport.

Hva skjer i nordisk energisektor akkurat nå

Trusselen mot nordisk kritisk infrastruktur har endret karakter i løpet av 2025 og inn i 2026. Tidligere handlet de fleste angrepene mot energiselskaper om datatyveri og industrispionasje. Nå retter aktørene seg direkte mot driften: ventiler, transformatorstasjoner, fjernstyringssystemer og selve produksjonskontrollen. Skillet er viktig, fordi et angrep mot styresystemene kan stoppe strøm, slippe ut vann eller sette transport ut av spill, ikke bare lekke dokumenter.

Dragos beskriver den nordiske fornybarsektoren som et primært mål for cyberoperasjoner, og kartleggingen omfatter vind, sol, kjernekraft, vannkraft og biodrivstoff. Det er en logisk konsekvens av at Norden bygger ut fornybar produksjon raskere enn de fleste regioner i Europa. Hver ny vindpark, hvert solcelleanlegg og hver hydrogenfabrikk legger til fjernstyrte komponenter som må kobles til nett, og hver tilkobling utvider angrepsflaten.

Parallelt har pro-russiske grupper trappet opp tjenestenektangrep. Dragos registrerte en økning på 40 prosent i DDoS-angrep mot kritisk infrastruktur det siste året, med transport og offentlige tjenester som tydeligst rammet. Disse angrepene er ofte støyende og kortvarige, men de fungerer som rekognosering og som politisk signalisering. De viser kapasitet, kartlegger respons og holder forsvarerne opptatt. For en sektor som leverer samfunnskritiske tjenester hver time hele året, er selv kortvarige avbrudd kostbare.

Det norske bildet er sammensatt. Etter DNVs Nordic-oversikt rammet 21 cyberhendelser norske virksomheter i 2025, langt færre enn Sveriges 60. Men antallet hendelser sier lite om alvoret. Bremanger-saken viste at ett enkelt angrep mot et lite anlegg kan få nasjonal oppmerksomhet og utløse formell attribusjon til en fremmed stat.

Dragos-rapporten: 54 prosent sårbare VPN-er i nordisk fornybar energi

Den mest konkrete dataen om nordisk OT-sikkerhet kommer fra Dragos’ kartlegging av eksponerte fjernaksessløsninger hos fornybaraktører. Selskapet undersøkte 30 offentlig tilgjengelige VPN-enheter hos nordiske eiere av fornybar energi. Resultatet var nedslående lesning for en sektor som er definert som samfunnskritisk.

54 prosent av de undersøkte VPN-ene var Cisco SSL-VPN-er, en kategori som har vært utsatt for flere alvorlige sårbarheter og som regnes som utdatert for høyrisikomiljøer.
27 prosent var Citrix-baserte fjernaksessløsninger, en annen produktfamilie med en lang historie av kritiske sårbarheter.
Kartleggingen avdekket gjennomgående mangler: leverandørstyrte styresystemer uten kundekontroll, fravær av nettverkssegmentering mellom IT og OT, usikre filoverføringsprotokoller, OT-systemer koblet direkte til internett og svake mekanismer for fjernaksess.

Funnet om manglende segmentering er det farligste. I et godt sikret anlegg skal kontorsystemene og produksjonssystemene være atskilt, slik at et innbrudd i e-post ikke gir vei inn til turbinstyringen. Når segmenteringen mangler, kan én stjålet pålogging gi angriperen en rett linje fra internett til den fysiske prosessen. Det er nøyaktig denne kjeden Bremanger-saken demonstrerte i praksis.

For norske kraftselskaper er konklusjonen ubehagelig konkret. Mange av de samme produktene som ble funnet sårbare i kartleggingen, er i bruk hos nettselskaper, produsenter og systemoperatører over hele landet. En utdatert VPN-portal er ikke en abstrakt risiko. Den er en åpen dør som krever oppgradering nå, ikke ved neste budsjettrunde.

73 prosent av angrepene starter med VPN eller gjenbrukte passord

Den nordiske kartleggingen får tyngde av et globalt tall fra Dragos’ OT-rapport for 2026: 73 prosent av selskapets hendelsesoppdrag hadde en VPN eller gjenbrukte påloggingsdetaljer som inngangspunkt. Dette er den enkeltstatistikken som best forklarer hvordan industrielle angrep faktisk skjer. Det er ikke avanserte nulldagssårbarheter som dominerer. Det er gamle portaler og passord som aldri ble byttet.

Rapporten fremhever også at olje- og gassektoren har den høyeste andelen standardpassord av alle bransjer. Standardpassord betyr at utstyr settes i drift med fabrikkinnstillinger som «admin/admin», som angripere kan slå opp i offentlige lister. Kombinasjonen av eksponert VPN og standardpassord er en av de enkleste angrepsveiene som finnes, og den krever ingen statlig kapasitet å utnytte.

Lærdommen for nordiske virksomheter er at grunnleggende hygiene slår dyre verktøy. Tofaktorpålogging på all fjernaksess, sletting av ubrukte kontoer og rask utskifting av utdaterte VPN-portaler ville fjernet flertallet av inngangspunktene Dragos observerte. Mer om hvorfor passordsikkerhet og hashing fortsatt er førstelinjeforsvaret, finner du i vår gjennomgang av temaet.

Bremanger-dammen: et forvarsel om OT-trusselen

Den 7. april 2025 fikk uvedkommende kontroll over en ventil ved Risevatnet-dammen nær Bremanger i Vestland. Angriperne åpnet en luke som slapp ut rundt 500 liter vann i sekundet i omtrent fire timer før utslippet ble oppdaget og stanset. Det oppsto ingen fysisk skade, og vannmengden var langt under det dammen tåler. Men hendelsen var et tydelig signal: noen kunne nå styresystemet og bevege den fysiske prosessen utenfra.

Hva angrepet faktisk avslørte

I august 2025 attribuerte norske myndigheter angrepet til russiske eller russiskforbundne aktører, første gang Oslo formelt knyttet en slik hendelse til Russland. En gruppe som kaller seg Z-Alliance, hadde tidligere hevdet ansvar på Telegram. Det viktige er ikke vannmengden, men beviset på tilgang. Angriperne demonstrerte at de kunne nå et industrielt styresystem og betjene det, et klassisk eksempel på OT-sikkerhet som svikter på det mest grunnleggende nivået.

Bremanger-saken er behandlet i dybden i vår egen artikkel om cyberangrepet mot Bremanger-dammen, og den inngår nå i et bredere mønster som cyberangrep mot Norge beskriver. Poenget i denne analysen er at dammen ikke var et særtilfelle. Den var et representativt eksempel på akkurat de svakhetene Dragos fant i hele den nordiske fornybarsektoren.

Tallenes tale: angrep mot Norden i 2025

For å forstå omfanget er det nyttig å samle de verifiserte tallene fra de viktigste rapportene i ett bilde. Tabellen under viser nøkkeltallene som ligger til grunn for trusselvurderingen av nordisk kritisk infrastruktur.

Nøkkeltall	Verdi	Kilde
Andel sårbare Cisco SSL-VPN i nordisk fornybar energi	54 %	Dragos Nordic OT
Andel Citrix-fjernaksess i samme utvalg	27 %	Dragos Nordic OT
Antall undersøkte VPN-enheter	30	Dragos Nordic OT
Økning i DDoS mot kritisk infrastruktur	40 %	Dragos Nordic OT
Hendelsesoppdrag med VPN eller gjenbrukt passord som inngang	73 %	Dragos 2026 OT
Løsepengegrupper mot industri (2025)	119	Dragos 2026 OT
Løsepengegrupper mot industri (2024)	80	Dragos 2026 OT
Industrivirksomheter rammet globalt	3 300	Dragos 2026 OT
Vannutslipp ved Bremanger-dammen	500 l/s i 4 timer	Norske myndigheter

Tabellen viser et tydelig mønster. Veksten i antall løsepengegrupper, fra 80 til 119 på ett år, er en økning på nesten 49 prosent. Samtidig peker inngangsstatistikken på at problemet ikke er mangel på sofistikerte verktøy hos forsvarerne, men grunnleggende eksponering. De fleste angrep utnytter svakheter som har vært kjent i årevis.

Løsepengevirus mot industrien: 119 grupper, 3 300 ofre

Løsepengevirus har lenge vært en plage for kontornettverk. Det nye i 2025 og 2026 er at gruppene i økende grad retter seg mot industri og OT-miljøer. Dragos sporet 119 løsepengegrupper som angrep industrielle organisasjoner i 2025, opp fra 80 året før, og anslo at rundt 3 300 virksomheter ble rammet globalt. Det er en industrialisering av utpressing.

Hvorfor flytter løsepengeaktørene seg mot industri? Fordi nedetid i produksjon er dyrere enn nedetid på kontoret. Et kraftselskap som mister styringen over produksjonen, taper inntekter hvert minutt og risikerer brudd på leveringsforpliktelser. Det gir angriperne et sterkere forhandlingskort og høyere sannsynlighet for at offeret betaler. Når et angrep treffer både IT og OT samtidig, blir presset enormt.

For nordiske selskaper betyr dette at løsepengeforsvar ikke lenger kan stoppe ved kontornettet. Sikkerhetskopier av OT-konfigurasjoner, segmentering som hindrer spredning fra IT til OT, og øvde gjenopprettingsplaner for industrielle systemer er blitt en forutsetning. Hvordan datalekkasjer og innbrudd typisk forløper, gir nyttig kontekst for å forstå hvordan disse angrepene eskalerer.

Hvorfor energisektoren er et hovedmål

Energi er attraktivt for angripere av tre grunner: politisk verdi, økonomisk verdi og teknisk sårbarhet. Den politiske verdien er åpenbar i en periode med spent forhold mellom Russland og Norden. Et angrep mot strømforsyning sender et budskap uten å avfyre et eneste skudd, og det kan benektes. Den økonomiske verdien ligger i at produksjonsnedetid umiddelbart koster penger, noe som gjør sektoren til et godt mål for utpressing.

Den tekniske sårbarheten er mer subtil. Mange industrielle styresystemer ble bygget for en tid da nettverk var lukkede. Protokollene mangler ofte kryptering og autentisering, fordi de aldri var ment å nås utenfra. Når disse systemene nå kobles til for fjernovervåking og effektivisering, arver de internettets trusselbilde uten å ha internettets forsvar. Fornybarutbyggingen forsterker dette, fordi spredte anlegg som vindparker og solparker krever fjernstyring for å være lønnsomme.

Dragos kartla risiko på tvers av vind, sol, kjernekraft, vannkraft og biodrivstoff, og fant gjennomgående de samme svakhetene. Det betyr at sårbarheten ikke er knyttet til én teknologi, men til måten hele sektoren digitaliseres på. Jo raskere Norden bygger ut fornybar produksjon, desto større blir angrepsflaten dersom sikkerheten ikke følger med i samme tempo.

Ekspertene advarer: «Russland er den største trusselen»

De som leder Norges sikkerhetstjenester, har vært uvanlig tydelige om trusselbildet i 2025. Vurderingene deres gir kontekst til de tekniske funnene og forklarer hvorfor energisektoren prioriteres så høyt.

«Det siste året har vi sett en endring i aktiviteten fra pro-russiske cyberaktører.» Bremanger-hendelsen var, ifølge henne, «et eksempel på et slikt angrep».
Beate Gangås, sjef for Politiets sikkerhetstjeneste (PST)

«Russland er fortsatt den største trusselen mot Norges sikkerhet.»
Nils Andreas Stensønes, sjef for Etterretningstjenesten

Internasjonale fagfolk understreker det samme mønsteret om at angrep mot forsyningssektorer drives av stater, ikke bare kriminelle. Mike Hamilton, field CISO i Lumifi Cyber, påpeker at angrep mot vannsektoren øker, og beskriver det som «et statlig anliggende mer enn et kriminelt». Han viser til at russiske aktører nylig skal ha rettet seg mot et damanlegg i Norge, og advarer om at de er fullt kapable til å gjenta det.

Det er verdt å merke seg hva ekspertene ikke sier. Ingen av dem hevder at angriperne brukte ny eller hemmelig teknologi. Budskapet er at vanlige, kjente svakheter blir utnyttet av aktører med politisk motiv og tålmodighet. Det flytter ansvaret fra etterretning til drift: forsvaret avgjøres av om virksomhetene faktisk lukker de kjente hullene.

OT versus IT: hvorfor industrielle systemer er vanskelige å sikre

For å forstå hvorfor energisektoren henger etter på sikkerhet, må man forstå forskjellen mellom IT og OT. IT handler om data: e-post, dokumenter, databaser. OT, operasjonell teknologi, handler om fysiske prosesser: turbiner, ventiler, pumper og brytere. De to verdenene har motsatte prioriteringer, og det skaper friksjon i sikkerhetsarbeidet.

Tilgjengelighet foran alt annet

I IT er konfidensialitet ofte viktigst. I OT er tilgjengelighet konge. Et kraftverk kan ikke slås av for en sikkerhetsoppdatering midt i en kuldebølge. Dette gjør at OT-systemer ofte kjører gammel programvare i årevis, fordi enhver endring innebærer risiko for driftsstans. Resultatet er at sårbarheter som forlengst er fikset i kontorverdenen, fortsatt lever i produksjonsmiljøet.

Segmentering er det viktigste mottiltaket, men også det vanskeligste å innføre i ettertid. Når Dragos finner OT-systemer koblet direkte til internett, er det ofte fordi noen trengte fjerntilgang og valgte den raskeste løsningen. Sikker fjernaksess, helst basert på en arkitektur uten implisitt tillit, er svaret. Det krever investering, men kostnaden er lav sammenlignet med et vellykket angrep mot produksjonen. Selve transportkrypteringen som beskytter slike forbindelser, forklarer vi i artikkelen om HTTPS og TLS.

Markedseffekt: hva angrepene betyr for kraftselskaper og forsikring

Trusselbildet flytter penger. Den mest direkte effekten ser vi i cyberforsikringsmarkedet, der forsikringsselskaper i økende grad krever dokumentert OT-overvåking, segmentering og tofaktorpålogging før de tilbyr dekning til energiselskaper. Premiene stiger, og noen forsikringsgivere innfører egne grenser for OT-relaterte tap. For kraftselskaper betyr det at sikkerhet ikke lenger bare er en IT-kostnad, men en forutsetning for å være forsikringsbar.

Den andre effekten er investeringer i OT-spesifikk overvåking. Markedet for plattformer som overvåker industrielle nettverk vokser raskt, drevet av nettopp den typen funn Dragos publiserer. Nordiske nettselskaper og produsenter setter av større budsjetter til synlighet i OT-laget, fordi du ikke kan forsvare det du ikke ser. Et interessant signal fra 2026 er at bare 9 prosent av nordiske sikkerhetsledere rapporterte en økning i alvorlige hendelser, ned fra 53 prosent i 2025, ifølge en bransjeindeks. Det kan tyde på at investeringene begynner å virke, selv om eksponeringen fortsatt er høy.

Den tredje effekten er regulatorisk. EUs NIS2-direktiv og den norske digitalsikkerhetsloven stiller strengere krav til vesentlige virksomheter i blant annet energisektoren. Det presser styrer til å behandle OT-sikkerhet som et spørsmål om etterlevelse og ansvar, ikke bare teknikk. Hva regelverket innebærer i praksis, har vi gjennomgått i artikkelen om NIS2 i Norge.

Konkurrentbildet: hvordan Norge ligger an mot nabolandene

Norge opererer ikke i et vakuum. De nordiske landene deler kraftnett, leverandører og trusselaktører, men hendelsesbildet varierer. DNVs oversikt over cyberhendelser i 2025 gir et sammenligningsgrunnlag, selv om antall hendelser må tolkes med forsiktighet, fordi rapporteringskultur og synlighet er ulik fra land til land.

Land	Cyberhendelser 2025	Relativ posisjon
Sverige	60	Høyest antall i Norden
Finland	44	Nest høyest
Danmark	41	Tett bak Finland
Norge	21	Lavest av de fire

At Norge har færrest registrerte hendelser, er ikke det samme som at Norge er tryggest. Bremanger-saken viser at ett angrep kan ha uforholdsmessig stor effekt når det treffer fysisk infrastruktur. Norges geografiske eksponering mot Russland, den store andelen vannkraft og den raske havvindutbyggingen gjør at konsekvensene av et vellykket angrep kan bli større enn antallet hendelser antyder.

Sverige og Finland, som begge nylig ble Nato-medlemmer, har sett flere hendelser, noe som kan henge sammen med både økt eksponering og bedre rapportering. For Norden samlet er konklusjonen den samme: trusselen er regional, leverandørene er felles, og et angrep mot ett land gir læring som aktørene kan bruke mot de andre. Felles forsvar og informasjonsdeling er derfor like viktig som nasjonale tiltak.

Historisk kontekst: fra Stuxnet til moderne OT-aktører

Dagens trusselbilde har en lang forhistorie. Vendepunktet var Stuxnet rundt 2010, ormen som ødela sentrifuger i Irans atomprogram og beviste at kode kan ødelegge fysisk utstyr. Stuxnet viste verden at industrielle styresystemer kunne angripes med presisjon, og den åpnet et kappløp der stater bygde kapasitet mot hverandres infrastruktur.

I årene etter fulgte angrepene mot det ukrainske strømnettet i 2015 og 2016, som slo ut strømmen for hundretusenvis av mennesker. Disse hendelsene knyttes til aktører som senere er fulgt tett av selskaper som Dragos, og de etablerte malen for moderne angrep mot energi: rekognosering, tilgang gjennom fjernaksess, og til slutt manipulasjon av styresystemet. Bremanger føyer seg inn i denne linjen, om enn i mindre skala.

Det nye i 2025 og 2026 er bredden. Dragos rapporterer at flere distinkte trusselgrupper nå systematisk kartlegger industrielle kontrollsystemer, og at grupper som KAMACITE har vist evne til å avbilde slike miljøer i detalj. Kombinert med veksten i løsepengegrupper betyr det at både statlige og kriminelle aktører nå ser på OT som et felt. Det som en gang var forbeholdt de mest avanserte etterretningstjenestene, er i ferd med å bli allemannseie blant angripere.

Fem spådommer for OT-sikkerhet mot 2027

Basert på dataene og ekspertvurderingene over peker utviklingen i en ganske tydelig retning. Spådommene under er analyse, ikke fasit, men de følger logisk av trendene i 2025 og 2026.

Flere pro-russiske hacktivist-angrep mot nordisk kraft. Så lenge det sikkerhetspolitiske forholdet til Russland er spent, vil signaliseringsangrep mot synlig infrastruktur fortsette, særlig DDoS og demonstrasjoner av tilgang.
Regelverket tvinger frem OT-segmentering. NIS2 og digitalsikkerhetsloven vil gjøre manglende segmentering og fjernaksesskontroll til et etterlevelsesproblem med reelle bøter, ikke bare en teknisk anbefaling.
VPN-porten erstattes av tillitsløs aksess. Den utdaterte VPN-en blir den mest angrepne komponenten, og overgangen til arkitektur uten implisitt tillit (ZTNA) akselererer i sektoren.
Løsepengegrupper rammer OT direkte. Veksten fra 80 til 119 grupper fortsetter, og flere vil utvikle evne til å ramme produksjonssystemer, ikke bare kontornett, for å maksimere presset.
Forsikring blir en sikkerhetsdriver. Cyberforsikring for energiselskaper vil kreve dokumentert OT-overvåking og tofaktorpålogging som vilkår, og markedet for OT-synlighet vokser videre.

Slik bør nordiske virksomheter respondere

Den gode nyheten er at dataene peker mot konkrete, gjennomførbare tiltak. Fordi flertallet av angrepene starter med eksponert fjernaksess og svake passord, gir grunnleggende tiltak uforholdsmessig stor effekt. Prioriteringen bør være tydelig og rask.

Kartlegg alle internettvendte VPN-er og fjernaksesspunkter, og fjern eller oppgrader utdaterte Cisco- og Citrix-løsninger først.
Innfør tofaktorpålogging på all fjernaksess, og fjern standardpassord og ubrukte kontoer umiddelbart.
Segmenter IT og OT, slik at et innbrudd i kontornettet ikke gir vei til produksjonsstyringen.
Etabler overvåking i OT-laget, fordi du ikke kan forsvare det du ikke ser.
Øv på gjenoppretting av OT-systemer, med sikkerhetskopier av konfigurasjoner og en plan som er testet, ikke bare skrevet.
Del informasjon på tvers av nordiske aktører, fordi trusselen er regional og felles læring forkorter responstiden.

For styrer og ledelse er hovedbudskapet at OT-sikkerhet nå er en del av virksomhetsrisikoen på linje med marked og finans. Når en sjef for etterretningstjenesten kaller Russland den største trusselen, og en kartlegging viser at over halvparten av VPN-ene i sektoren er utdaterte, er avstanden mellom risiko og tiltak et styreansvar. Trusselen mot kritisk infrastruktur i Norden løses ikke med ett verktøy, men med disiplin i det grunnleggende.

Relatert lesning

Ofte stilte spørsmål

Hva er OT-sikkerhet?

OT-sikkerhet er sikring av operasjonell teknologi, altså de industrielle styresystemene som driver fysiske prosesser i kraftverk, vannforsyning, transport og produksjon. I motsetning til IT-sikkerhet, som beskytter data, beskytter OT-sikkerhet selve driften: turbiner, ventiler, pumper og brytere. Et brudd kan derfor få fysiske konsekvenser, ikke bare tap av informasjon.

Hvorfor er nordisk energisektor så utsatt?

Sektoren kombinerer høy politisk verdi, høy økonomisk verdi og teknisk sårbarhet. Den raske utbyggingen av fornybar energi legger til mange fjernstyrte anlegg, og kartlegging viser at over halvparten av de eksponerte VPN-ene er utdaterte. Samtidig gjør det spente forholdet til Russland energi til et attraktivt mål for politisk motiverte angrep.

Hva skjedde egentlig ved Bremanger-dammen?

Den 7. april 2025 fikk uvedkommende kontroll over en ventil ved Risevatnet-dammen nær Bremanger og åpnet en luke som slapp ut rundt 500 liter vann i sekundet i fire timer. Det oppsto ingen fysisk skade. I august 2025 attribuerte norske myndigheter angrepet til russiske eller russiskforbundne aktører. Hendelsen regnes som et tydelig eksempel på et angrep mot kritisk infrastruktur.

Hvordan kommer angriperne seg inn i industrielle systemer?

Ifølge Dragos startet 73 prosent av hendelsesoppdragene med en VPN eller gjenbrukte passord som inngangspunkt. Det er sjelden avanserte nulldagssårbarheter som dominerer. Det er utdaterte fjernaksessportaler, standardpassord og manglende tofaktorpålogging som åpner døren. Derfor gir grunnleggende sikkerhetshygiene størst effekt.

Er Norge tryggere enn nabolandene?

Norge hadde færrest registrerte cyberhendelser i Norden i 2025 med 21, mot 60 i Sverige, 44 i Finland og 41 i Danmark. Men færre hendelser betyr ikke nødvendigvis høyere sikkerhet. Norges store andel vannkraft, geografiske nærhet til Russland og raske havvindutbygging gjør konsekvensene av et vellykket angrep potensielt store.

Hva kan virksomheter gjøre med en gang?

De viktigste strakstiltakene er å kartlegge og oppgradere utdaterte VPN-er, innføre tofaktorpålogging på all fjernaksess, fjerne standardpassord, segmentere IT og OT, og etablere overvåking i OT-laget. Disse tiltakene treffer nettopp de svakhetene angriperne oftest utnytter, og krever ikke avansert teknologi for å gjennomføres.