Nu kan hackerne finde vej gennem maskinen og bygningsstyringen

Cyberangreb handler ikke længere kun om en virus i en mail sendt bredt ud til tusindvis af modtagere. I takt med at bygninger, produktion og tekniske installationer bliver mere digitale, leder hackere i stigende grad efter det svageste digitale punkt i fysiske installationer.

Det kan være et bygningsstyringssystem, en varmepumpe, et ventilationsanlæg – eller en vaskemaskine, der er koblet på nettet og aldrig er blevet opdateret. For når produktionsudstyr, bygningsstyring, ventilation og andre tekniske systemer kobles sammen digitalt, kan et svagt punkt få konsekvenser for hele driften.

Et angreb kan i værste fald lægge produktionen ned, stoppe leverancer eller gøre det umuligt at betjene kunder. Derfor bør cybersikkerhed indgå som en del af virksomhedens almindelige risikovurdering - på linje med forsyningssikkerhed, bemanding og adgang til materialer, mener Kasper Bech Nonnebo, direktør og grundlægger af medlemsvirksomheden Industrial Level, der rådgiver i OT-sikkerhed

- Digitaliseringen har været både god og nødvendig for et moderne samfund. Men den har også trukket nye trusler ind. Systemer kan i dag udnyttes til ting, man ikke havde forestillet sig, siger Kasper Bech Nonnebo.

Kaotiske digitale systemer

Ifølge ham er en af de store udfordringer, at mange virksomheder har opbygget deres digitale systemer fladt og uden de nødvendige foranstaltninger. Det betyder, at udstyr og systemer i praksis kan tale sammen, selvom det aldrig har været meningen.

- Mange steder ligger tingene hulter til bulter i den samme virtuelle kasse. Det er måske ikke tiltænkt, at alt skal kunne snakke sammen, men det kan det. Derfor kan man pludselig blive hacket via vaskemaskinen, siger Kasper Bech Nonnebo.

Nye tal fra Danmarks Statistik tegner da også et billede af, at en del danske virksomheder ikke har det fulde overblik over deres it-sikkerhed. 49% af virksomhederne havde foretaget en it-sikkerhedstest i 2026 - et fald på 11% i forhold til 2025. 54% af virksomhederne havde foretaget en risikoanalyse - et fald på 10% i forhold til 2025.

NIS2 ændrer kundernes krav

Som et eksempel nævner Kasper Bech Nonnebo Hvidovre Hospital, der i august blev ramt af et ransomwareangreb mod hospitalets bygningsnetværk. Angrebet er et konkret eksempel på den udvikling, hvor hackere ikke kun går efter klassiske it-systemer, men også tekniske installationer og de netværk, der holder bygninger i drift.

Når bygningsnetværk, CTS-anlæg, ventilation, varme, adgangssystemer og andre installationer kobles op digitalt, bliver de en del af virksomhedens samlede risikobillede.

For installatører og tekniske virksomheder betyder udviklingen, at cybersikkerhed bør være en del af dialogen med kunden allerede før levering. Det gælder især i bygninger, hvor driften er kritisk – for eksempel hospitaler, produktionsvirksomheder og forsyningsselskaber.

Derfor er det ikke nok, at en kunde beder om en løsning, der er “NIS2-compliant”. Kravene skal konkretiseres.

- Det samme anlæg kan leveres til både et hospital og en børnehave, men konsekvensen ved kompromittering af driften er forskelligt. Derfor skal man have fastsat nogle niveauer. Et hospital kan have behov for et helt andet sikkerhedsniveau end en børnehave, siger Kasper Bech Nonnebo.

Spørg kunden om sikkerhedsniveauet

Installatører bør derfor spørge ind til, hvilke systemer der er kritiske for driften, hvad der må kunne tale sammen, og hvad der skal adskilles fysisk eller virtuelt. Det kan for eksempel være relevant at sikre, at kaffemaskiner, vaskemaskiner og andre mindre kritiske enheder ikke ligger på samme netværk som ventilation, adgangskontrol eller produktionsudstyr.

Hvis kunden ikke selv kan oplyse et sikkerhedsniveau, bør installatøren ifølge Kasper Bech Nonnebo selv definere, hvilket niveau løsningen leveres på – og få det skrevet ind i aftalen.

- Som installatør skal man begynde at spørge: Hvad er kravene? Hvad er risikoen? Hvis kunden ikke kan svare, har man i det mindste dokumenteret, at man har spurgt. Og hvis man selv fastsætter niveauet i kontrakten, bliver det tydeligt, hvad man leverer, siger han.

Hvis kunden ikke selv kan oplyse et sikkerhedsniveau, bør installatøren ifølge ham selv definere, hvilket niveau løsningen leveres på – og få det skrevet ind i aftalen.

- Så gør man klart, hvad man leverer. Det beskytter installatøren og gør det det nemmere for slutbrugeren at sammenligne løsninger og se, hvad man faktisk får for pengene. Det endelige ansvar vil dog altid ligge hos slutbrugervirksomheden siger Kasper Bech Nonnebo.