Hvad ved vi om truslen mod energiinfrastruktur fra statssponsorerede cyberangreb?

Et britisk kraftværk er lukket ned efter et muligt iransk cyberangreb — hvad ved vi om sårbarhederne i europæisk energiinfrastruktur, og hvor godt er Danmark forberedt?

Det politiske spørgsmål

Et britisk kraftværk er i flere dage blevet lukket helt ned efter et cyberangreb med spor, der peger mod Iran. Det er en af de mest alvorlige dokumenterede hændelser mod europæisk energiinfrastruktur i nyere tid. Angrebet sker i en periode, hvor USA har intensiveret sin konfrontation med Iran, og hvor europæiske lande befinder sig i krydsfeltet mellem geopolitisk pres og sårbar digital infrastruktur.

Spørgsmålet er ikke hypotetisk: Kan et cyberangreb slukke lyset for hundredtusindvis af mennesker? Og hvad gør Danmark og Europa konkret for at forhindre det?

Det empiriske spørgsmål bag

Hændelsen i Storbritannien rejser tre konkrete empiriske spørgsmål: Hvad ved vi om statssponsorerede cyberangreb mod energianlæg? Hvilke sårbarhedstyper er dokumenterede? Og hvad er det reelle beredskabsniveau i Danmark og Europa?

Hvad ved vi

Truslen er høj og vedvarende

Center for Cybersikkerhed (CFCS) fastslår i sin trusselsvurdering, at truslen mod den danske energisektor er alvorlig. Det er ikke en fremtidig risiko — det er en aktuel og løbende udfordring. Energisektoren er et primært mål for statslige aktører, fordi et vellykket angreb kan ramme hele samfundet: varme, strøm, produktion og hospitaler er alle afhængige af en fungerende energiforsyning. ✓✓

Ifølge Energistyrelsen står den danske energisektor, ligesom resten af det danske samfund, over for stigende trusler fra cyberspace. Den seneste trusselsvurdering fra CFCS understreger alvoren af situationen.

Energianlæg har særlige sårbarhedstyper

Energiinfrastruktur er særligt udsat af en teknisk grund: mange anlæg bruger ældre industrielle styresystemer — såkaldte OT-systemer (Operational Technology, altså den software og hardware der styrer fysiske processer som turbiner, ventiler og elnet). Disse systemer er ofte ikke designet med cybersikkerhed for øje, og de kan være svære at opdatere eller isolere uden at afbryde driften.

Kombinationen af ældre OT-systemer og den voksende integration med internetforbundne netværk skaber et angrebsvindue. Jo mere et kraftværk digitaliseres og fjernovervåges, jo flere indgangspunkter får en angriber. ✓

Iransk cybertrussel er dokumenteret

Iran er internationalt anerkendt som en aktiv statslig cyberaktør. Iranske hackergrupper — herunder grupper som Charming Kitten og APT33 — har gennem år rettet angreb mod energiinfrastruktur i Mellemøsten og Vesten. Disse aktiviteter intensiveres typisk i perioder med geopolitisk spænding, og den aktuelle konfrontation med USA øger sandsynligheden for, at europæiske mål rammes som afledning eller afstraffelse. ~

Det præcise omfang af iransk aktivitet mod europæisk energiinfrastruktur er svært at kvantificere offentligt, da mange hændelser ikke offentliggøres af sikkerhedsmæssige årsager.

Danmark har en national cybersikkerhedsstrategi for energi

Energistyrelsen har offentliggjort en strategi, der specifikt skal styrke cybersikkerheden i energisektoren. Strategien er i tråd med EU's NIS 2-direktiv (Network and Information Security Directive 2, som er EU's opdaterede ramme for cybersikkerhed i kritisk infrastruktur), og den pålægger energivirksomheder at leve op til konkrete sikkerhedskrav. ✓✓

Strategiens formål er at forberede den danske energisektor på et bredt spektrum af cybertrusler — fra kriminelle grupper til statslige aktører. Det sker ved at stille krav til virksomhedernes risikovurdering, hændelseshåndtering og tekniske beskyttelsesniveau.

CFCS tilbyder konkret vejledning og rådgivning

CFCS — som er en del af Styrelsen for Samfundssikkerhed — udgiver løbende vejledninger og tilbyder direkte rådgivning til danske myndigheder og virksomheder. Formålet er at hjælpe dem med at forebygge, imødegå og beskytte sig mod cyberangreb. CFCS fungerer desuden som nationalt kontaktpunkt og koordinerer med europæiske og NATO-tilknyttede partnere om trusselsbilledet. ✓✓

Hvad ved vi ikke

Hvem stod præcist bag det britiske angreb? Forbindelserne til Iran er rapporteret, men attributionsprocessen — altså den tekniske og efterretningsmæssige øvelse det er at fastslå, hvem der egentlig udførte et cyberangreb — er kompleks. Statslige aktører bruger bevidst teknikker til at skjule eller forfalske spor. Det er endnu ikke offentligt bekræftet med fuld sikkerhed, at iranske statsstrukturer stod bag, eller om det var løst tilknyttede hackergrupper med iranske sympatier.

Hvad var den præcise angrebsvektor? Vi ved ikke, hvilken specifik svaghed angriberne udnyttede i det britiske kraftværk — om det var et phishing-angreb (et bedragerisk forsøg på at narre medarbejdere til at udlevere adgang), en sårbarhed i forældet software, eller noget helt tredje. Denne information tilbageholdes typisk for at beskytte igangværende efterforskning og for ikke at give andre angribere en opskrift.

Hvor sårbar er dansk energiinfrastruktur konkret? CFCS og Energistyrelsen beskriver truslen som alvorlig og sektoren som et mål — men den offentlige information om specifikke svagheder i danske anlæg er begrænset af naturlige sikkerhedshensyn. Vi ved ikke, hvilke specifikke anlæg der er mest eksponerede, eller i hvilken grad alle relevante aktører reelt har implementeret de anbefalede sikkerhedsforanstaltninger.

Hvad er de reelle konsekvenser af et fuldt gennemført angreb? Scenarieanalyser eksisterer, men er sjældent offentligt tilgængelige i detalje. Vi ved, at energiforsyningssvigt kan have alvorlige kaskadeeffekter — men præcis hvor hurtigt og i hvilken udstrækning et cyberangreb mod dansk infrastruktur ville brede sig, er ikke dokumenteret offentligt.

Hvad eksperter er uenige om

Hvor effektive er de regulatoriske krav? NIS 2-direktivet og den danske cybersikkerhedsstrategi for energi er bredt velkomne, men der er debat om, hvorvidt lovkrav i sig selv er tilstrækkelige. Nogle eksperter argumenterer for, at mange virksomheder — særligt de mindre varmeforsyningsselskaber og lokale netoperatører — ikke har ressourcer til at implementere sikkerhedskravene fuldt ud, uanset hvilke regler der vedtages. Andre mener, at struktureret regulering er den eneste vej til at løfte et helt felt. ~

Afskrækker synlighed eller tilskynder det? Der er en principiel uenighed om, hvor åbne myndigheder bør være om cyberangreb og sårbarheder. Åbenhed kan skabe offentlig bevidsthed og presse virksomheder til at handle — men det kan også give angribere nyttig information om, hvad der virker. Den britiske sag er et eksempel: offentliggørelsen af hændelsen sender et signal til andre potentielle angribere om, at denne angrebstype virker. ~

Er afskrækkelse mulig i cyberdomænet? Den klassiske forsvarslogik — at tydelig slagkraft afskrækker fjender fra at angribe — fungerer ikke på samme måde i cyberspace. Angribere kan operere anonymt, og konsekvenserne af at blive afsløret er begrænsede. Nogle eksperter plæderer for offensiv cyberkapacitet som afskrækkelse; andre mener, at ressourcerne bør gå til forsvar og modstandsdygtighed fremfor angrebskapabilitet. ⚖

Konklusion

Det britiske kraftværksangreb er ikke en isoleret hændelse — det er et eksempel på en dokumenteret og eskalerende trussel mod europæisk energiinfrastruktur. Statssponsorerede aktører, herunder iranske grupper, har kapacitet og motivation til at ramme kritisk infrastruktur, og energisektoren er et oplagt mål på grund af dens samfundsmæssige betydning og tekniske kompleksitet.

Danmark har taget konkrete skridt: en national cybersikkerhedsstrategi for energi, implementering af EU's NIS 2-direktiv og et aktivt Center for Cybersikkerhed, der rådgiver og vejleder. Det er ikke ingenting. Men vi ved også, at truslen er høj, at mange anlæg hviler på ældre systemer, og at implementeringen af sikkerhedskrav ikke er ens hos alle aktører i sektoren.

Den vigtigste læring fra det britiske angreb er, at cyberangreb mod energiinfrastruktur ikke forbliver i den digitale verden — de slukker lys, stopper varme og rammer mennesker. Det gør dem til et af de mest konkrete sikkerhedspolitiske spørgsmål i 2026.