Stora mörkertal hotar cybersäkerheten

Antalet rapporterade cyberincidenter i Sverige minskade under 2025, men myndigheterna tolkar inte det som ett tecken på förbättrad säkerhet. Tvärtom pekar analysen på ett växande mörkertal. Totalt registrerades 266 incidenter, att jämföra med 319 året innan. Av dessa kom 122 från statliga myndigheter och 144 från aktörer som omfattas av EU:s NIS-regelverk, det vill säga direktivet för nätverks- och informationssäkerhet.

Fördelningen inom NIS är starkt ojämn. Hälso- och sjukvården står för 80 procent av incidenterna, dricksvattenförsörjningen för 13 procent och transportsektorn för 4 procent. Enligt Nationellt cybersäkerhetscenter (NCSC) tyder dominansen inte på att vården är mer utsatt än andra samhällsviktiga sektorer, utan på att rapporteringskulturen där är mer utvecklad. I sektorer med svagare rapportering kan ett stort antal händelser förbli osynliga för de myndigheter som ska bygga den nationella hotbilden.

Den bilden förstärks av Cybersäkerhetskollen 2025, där myndigheterna konstaterar att det systematiska säkerhetsarbetet inom offentlig sektor fortfarande är för svagt för att förklara en verklig minskning av antalet incidenter. I ett säkerhetspolitiskt läge präglat av ökad geopolitisk oro ses den sjunkande statistiken därför snarare som en varningssignal än som ett kvitto på bättre skydd.

En viktig förklaring till siffrorna finns i hur regelverken är utformade. Under 2024 ledde angreppet mot IT-leverantören Tieto Evry, en av Nordens största aktörer inom digital infrastruktur, till en stor mängd rapporter eftersom det drabbade statliga myndigheter som omfattas av den strängare beredskapsförordningen. I augusti 2025 slog utpressningsangreppet mot systemleverantören Miljödata i stället främst mot kommuner och regioner, som lyder under NIS-lagstiftningen. Där är tröskeln för vad som måste rapporteras högre, vilket har bidragit till att färre händelser hamnar i statistiken.

Angreppet mot Miljödata var allvarligt. Personuppgifter om 1,5 miljoner svenskar, däribland personer med skyddad identitet, läckte till darknet. Trots det bedömde NCSC att attacken saknade samhällspåverkan i formell mening, eftersom de samhällsviktiga tjänsterna inte slogs ut helt. Fallet illustrerar en växande sårbarhet i leverantörsledet: 44 procent av incidenterna under 2025 hade sitt ursprung hos externa leverantörer. Beroendet av underleverantörer framstår därmed som en central svaghet i den svenska digitala infrastrukturen.

Mathias Antonsson, enhetschef vid Nationellt cybersäkerhetscenter på Försvarets radioanstalt (FRA), säger att mörkertalet i sig hotar den nationella säkerhetsbilden.

– När vi ser att den administrativa bördan eller en bristande förståelse för nyttan hindrar inrapportering skadas vår förmåga att upptäcka mönster. Utan rapporter påverkas våra möjligheter att varna andra aktörer eller bygga den lägesbild som krävs för att skydda Sverige, säger han.

Han pekar på tre huvudförklaringar till mörkertalet: administrativ börda, bristande förståelse för värdet av rapportering och ett svagt deltagande från privat verksamhet. Han betonar också att det civila försvaret måste växla upp. I samband med att NCSC och FRA den 1 juli 2026 formellt tar över ansvaret för incidentrapporteringen blir kravet på motståndskraft ännu tydligare.

– Inrapportering är inte en byråkratisk formalitet. Det är en kritisk informationsdelning för att skydda vår gemensamma digitala infrastruktur, säger han.

Samtidigt förändras hotbilden i grunden genom den snabba utvecklingen av artificiell intelligens. Enligt Storbritanniens NCSC står AI-genererade nätfiskekampanjer nu för mer än 80 procent av alla globala angrepp som bygger på social manipulation. AI gör det möjligt även för aktörer utan djup teknisk kompetens att genomföra avancerade operationer. Utvecklingen är särskilt tydlig bland ryska aktörer. Under slutet av 2024 ökade användningen av AI-genererad röstkloning i telefonbedrägerier och utpressningsförsök med 442 procent. AI används allt oftare för att automatisera hela angreppskedjor, vilket gör attackerna snabbare, mer skalbara och svårare att upptäcka.

Bland de incidenter som faktiskt rapporteras dominerar överbelastningsangrepp, så kallade DDoS-attacker. Många händelser klassas dessutom som av okänd orsak, men bedöms i de flesta fall kunna kopplas till systemfel. Sammantaget stärks bilden av ett rapporteringssystem som bara delvis fångar verkligheten, och av en digital infrastruktur där de tysta incidenterna kan vara minst lika allvarliga som de som syns i statistiken.