OT-säkerhet: vad dina kunder faktiskt exponeras för – och vad man kan göra åt det

Fysiska konsekvenser förändrar allt

OT omfattar de programmerbara system som övervakar eller styr fysiska processer: industriella styrsystem, SCADA, PLC:er, fastighetsautomation och de datorer på fabriksgolvet som kör dem. NIST:s definition är bredare än vad de flesta tror. Allt som kan upptäcka eller orsaka en direkt fysisk förändring – oavsett om det är en produktionslinje, en transformatorstation eller ett ventilationssystem i en fastighet – faller inom OT-sfären.

Detta spelar roll eftersom det värsta tänkbara scenariot skiljer sig åt. Inom IT är det värsta tänkbara scenariot oftast dataförlust, kryptering eller läckor. Inom OT kan det vara ett osäkert fysiskt tillstånd: ett tryckkärl med övertryck, en transformatorstation som slocknar eller en tillverkningssats som blir underkänd i valideringen. Det är därför OT-säkerhet prioriterar säkerhet (safety) först, därefter tillgänglighet, och sedan integritet och konfidentialitet. IT-säkerhet fungerar vanligtvis tvärtom och börjar med konfidentialitet. Om en kund frågar varför du inte bara kan applicera deras befintliga klientsäkerhetspolicy på fabriksgolvet, är detta det ärliga svaret.

Det förändrar också vad ”tolerans för driftstopp” betyder. En processindustri med kontinuerlig drift som inte klarar en oplanerad omstart ligger inte efter med säkerheten – den verkar inom processens fysiska ramar. Och en PLC-konfiguration som har certifierats av tillverkaren (OEM) kan ofta inte patchas i samma takt som en maskinpark med bärbara datorer utan att det kräver en omcertifiering. Kompenserande kontroller och planerade underhållsfönster gör det arbete som en patchcykel annars skulle göra inom IT.

Vad som faktiskt händer där ute

Två tydliga mönster driver de flesta incidenter som kunderna frågar om, och de kräver olika typer av försvar. Det första är direkta angrepp mot styrmiljöer. Dragos kopplade en samordnad attack mot polska kraftvärmeverk och förnybara energisystem i slutet av december 2025 till gruppen ELECTRUM, och beskrev det som den första storskaliga, samordnade attacken mot distribuerade energiresurser. En separat kampanj mot ett pakistanskt statligt kraftöverföringsbolag i mitten av 2025 innefattade aktivt sökande efter SCADA-exploater och skanning av Modbus-portar – den typ av rekognosering som tillgångssynlighet (asset visibility) och protokollmedveten övervakning är byggda för att upptäcka.

Det andra mönstret är vanligare och på vissa sätt mer relevant för hur de flesta av våra partners kunder faktiskt drabbas: IT-incidenter med operativa följdverkningar, utan något bekräftat intrång i en faktisk styrenhet. Nucor stoppade delar av produktionen som en försiktighetsåtgärd efter obehörig IT-åtkomst. Masimo tvingades köra tillverkningen under normal kapacitet i flera veckor efter ett nätverksintrång. Jaguar Land Rover förlängde ett produktionsstopp med mer än en vecka efter en incident i september 2025. Asahis ransomware-incident under samma månad slog ut order- och leveranssystem, och logistiken var inte helt återställd förrän i februari 2026. Ingen av dessa var attacker mot en styrenhet. Alla stoppade produktionen eftersom IT och OT är mer sammanflätade än vad de flesta riskbedömningar förutsätter.

Siffrorna bekräftar detta. Dragos spårade 119 ransomware-grupper som påverkade industriella organisationer under 2025, en ökning från 80 året innan, vilket drabbade cirka 3 300 organisationer – där tillverkningsindustrin tog mer än två tredjedelar av smällen. Siemens uppskattar oplanerade driftstopp till närmare 1,4 biljoner dollar per år bland världens 500 största företag. Det som sticker ut i SANS Institutes undersökning från 2025 är inte upptäckten – nästan hälften av incidenterna upptäcktes inom 24 timmar – utan återställningen: nästan var femte incident tog över en månad att åtgärda. Upptäckten har blivit snabbare än återställningen, och det är i återställningen som den verkliga kostnaden ligger.

Ramverket som dina kunder faktiskt mäts mot

För de flesta av dina kunder är NIS2 det som avgör om OT-resiliens är ett lagkrav eller bara något som är ”bra att ha”. Direktivet skapar inte ett separat OT-regelverk, men det omfattar energi, transport, vatten, hälsa och tillverkning direkt, och artikel 21 specificerar konkreta krav: incidenthantering, säkerhetskopiering och katastrofåterställning, leverantörskedjesäkerhet samt åtkomstkontroll. För en kund inom dessa sektorer är NIS2-efterlevnad och OT-resiliens samma diskussion, inte två separata.

Den vanligaste bristen bland kunder som säger att de är redo för NIS2 är i praktiken densamma: de har en rutin för säkerhetskopiering, men den har aldrig testats mot verkliga hårdvarubegränsningar – där den ursprungliga enheten inte längre finns och en identisk ersättare inte är tillgänglig. Att säkerhetskopiera PLC-logik, SCADA- och DCS-konfigurationer, HMI-filer och nätverksenhetskonfigurationer är en sak. Att faktiskt bevisa att du kan återställa dem, vilket är vad artikel 21 kräver bevis för, är en helt annan.

Vad detta innebär för dina OT-diskussioner med kunder

En försvarbar OT-säkerhetsmiljö kräver att tillgångssynlighet, segmentering, övervakning och återställning samverkar, och ingen enskild leverantör täcker alla fyra områden väl. Det är just här en dialog med en distributör är mer användbar för dig än en enskild leverantörs säljpitch: du kan sätta ihop den kombination som faktiskt passar kundens miljö i stället för att försöka töja ut en produkt över fyra problem som den inte byggdes för.

När det gäller resiliens i synnerhet – säkerhetskopiering och återställning för de tillgångar i PC-klass som faktiskt stoppar produktionen när de går ner: HMI-arbetsstationer, SCADA-servrar, ingenjörsarbetsstationer och mätdatabaser (historians) – är Acronis Cyber Protect for OT byggt kring image-baserad säkerhetskopiering, återställning till olikartad hårdvara och stöd för de äldre Windows- och Linux-system som dominerar befintliga anläggningar. Det är utformat för att snabbt nå ett validerat produktionstillstånd, inte bara för att slutföra ett säkerhetskopieringsjobb, och det fungerar i air-gappade miljöer där molnuppkoppling inte är ett alternativ. När det gäller tillgångssynlighet och sårbarheter ger Nanitor kunderna den inventerings- och exponeringsbild som NIS2:s skyldigheter enligt artikel 21 i allt högre grad kräver dokumentation för.

När en kund frågar om OT-säkerhet är en enskild produktdemo sällan det mest användbara nästa steget. Det som brukar ge mer är att reda ut vilket av fyra problem som faktiskt är den svaga punkten i kundens miljö i dag: synlighet, segmentering, övervakning eller återställning. Prata med vår egen specialist och Head of OT, Oscar Swanberg, (oscar.swanberg@gridheart.com) så hjälper vi dig att hitta var luckan finns och hur Acronis täpper till den.

Vill du veta mer om hur Gridheart kan hjälpa er med OT-säkerhet? se här: https://gridheart.com/sv/ot-security