NCSC vill att kritisk infrastruktur ska "agera nu": Vad innebär det?

By Phil Muncaster • 17 mars 2026 • 5 minuters läsning

Storbritanniens leverantörer av kritisk nationell infrastruktur (CNI) är på sin vakt. National Cyber Security Centre (NCSC) har ökat sin retorik de senaste månaderna och varnat för en förestående attack som kan få allvarliga samhälleliga konsekvenser. Enligt deras budskap finns det ett "växande gap" mellan hotet mot dessa system och CNI-leverantörernas förmåga att försvara dem.

Senast gick Jonathan Ellison, chef för nationell motståndskraft, ut på LinkedIn för att återigen uppmana till utveckling av "starkt cyberförsvar och motståndskraft" inom sektorn. "Operatörer av brittisk kritisk nationell infrastruktur (CNI) måste inte bara notera detta utan, som vi har sagt tidigare, agera nu", sa han.

Men i det här sammanhanget, vad betyder egentligen ”agera nu”? Och hur kan åtgärder vidtas på ett genomtänkt och samlat sätt?

Ett värsta tänkbara scenario

Ellisons meddelande utlöstes av en exempellös cyberattack mot polsk energiinfrastruktur utförd av en misstänkt rysk arméunderrättelseenhet känd som Sandworm. Omkring 30 platser, inklusive vindkraftparker, solcellsanläggningar och kraftvärmeanläggningar, riktades in i en samordnad kampanj. Även om den förhindrades innan den orsakade ett större avbrott, lyckades hackarna komma åt driftstekniska system (OT) som var "avgörande för elnätets drift och oskadliggjorde viktig utrustning på platsen, så att den inte kunde repareras", enligt Dragos.

Användningen av destruktiv viruskod från Wiper borde få brittiska ITSO:er som arbetar inom CNI-sektorer att rysa i ryggraden. Som trogna allierade med Ukraina är både Polen och Storbritannien utsatta för potentiella ryska attacker – något som NCSC inte har missat. Chanserna för en liknande kampanj som riktar sig mot anläggningar närmare hemmet har just ökat.

Vi borde alla veta vad som står på spel. Attacker mot cyberbrottslighet hotar inte bara ekonomiska förluster, utan även allmän och nationell säkerhet. Och de blir allt vanligare. NCSC registrerade en ökning med 50 % av "mycket betydande incidenter" som de hanterade förra året, det tredje året i rad som siffran har stigit. En kombination av geopolitiska spänningar, snabba tekniska förändringar och en sofistikerad cyberbrottsekonomi fortsätter att öka risken för en allvarlig incident.

Vart ska vi gå härifrån?

Den goda nyheten är att det redan finns olika resurser som kan hjälpa IT-chefer att utforma en respons. Ellison hänvisade till NCSC:s Cyber Assessment Framework (CAF) och en nyare CNI-guide för att hantera allvarliga hot. Den har också tagit fram dokumentation om principer för säker anslutning för OT och rekommendationer för att utveckla säker OT-arkitektur . Frågan är hur man ska ta till sig all denna vägledning på ett helhetsmässigt och kompletterande sätt.

Det här handlar inte om att riva upp befintliga planer. Det handlar om att fokusera på de allvarligaste hoten och planera utifrån att kompromisser kommer att ske, att återhämtning kan ta tid och att motståndare kan försöka förstöra snarare än att bara störa. Medan CAF lutar mer åt förebyggande kontroller, ligger värdet av CNI-vägledningen i att utforma system för motståndskraft – för att säkerställa att de fortsätter att fungera och stöder återhämtning under långa perioder av störningar.

Förväntningen är att designa system som snabbt kan segmenteras, isoleras eller drivas i degraderade lägen under attack.

Förvandla teori till praktik

För Cytidels medgrundare och VD, Matt Conlon, är utmaningen hur man ska operationalisera de olika ramverk som CISO:er har till sitt förfogande, för att komma bort från en reaktiv ”kontroll-implementering”-strategi.

”Alltför ofta hamnar säkerhetsteam i en 'whack-a-mole'-cykel: de svarar på varningar, åtgärdar sårbarheter och implementerar ad hoc-tekniska kontroller i isolering”, säger han till IO (tidigare ISMS.online). ”Även om det är nödvändigt, kopplar inte denna metod samman styrning, operativ risk och tekniska skyddsåtgärder till ett enhetligt ledningssystem.”

För att mogna säkerhetsställningen bör IT-chefer integrera hotinformation direkt i risk- och styrningsprocesser, menar han. Det innebär att övervaka hotbilden, identifiera vilka sårbarheter som utnyttjas, mata in den informationen i säkerhetsbeslutsfattandet och prioritera de hot som mest sannolikt kommer att orsaka "väsentlig påverkan", tillägger han.

”Denna metod säkerställer att säkerhetsteam fokuserar på det som verkligen betyder något, snarare än att försöka åtgärda allt på en gång och hoppas att de kan ta itu med de mest kritiska riskerna i tid. Avgörande är att detta måste implementeras kulturellt i alla affärsenheter, inte bara inom säkerhetssektorn”, menar Conlon.

”Styrning, verksamhet, risk och revisionsfunktioner måste alla samordnas kring dynamisk riskprioritering. Det kan kännas obekvämt, eftersom ständig omprioritering av risker inte alltid passar in i traditionella årliga granskningscykler eller statiska policyer. Men i dagens miljö, särskilt inom CNI, är årliga riskbedömningar ensamma inte bara otillräckliga; de ses alltmer som försumliga.”

Ta nästa steg med ISO 27001

Conlon säger att den här typen av tillvägagångssätt kommer att skapa ett "levande ledningssystem" som kopplar samman strategi, styrning, tekniska kontroller och förbättringar. Men IT-chefer kan och bör gå längre – att ta itu med riskhantering i leveranskedjan, nätverkshärdning, motståndskraft och återhämtning, och andra områden. Det är här ISO 27001 kan tillföra värde.

”Standarder som ISO/IEC 27001 spelar en viktig roll”, säger Conlon. ”De ger struktur, styrningsdisciplin och försäkran om att säkerhetskontroller och processer är formellt dokumenterade och tillämpas konsekvent.”

Dessa bästa praxis kommer i slutändan att hjälpa ITSO:er att utveckla sin strategi med en proaktiv, strukturerad och styrelsesynlig strategi för riskhantering. Och med lagen om cybersäkerhet och motståndskraft som nu går igenom parlamentet erbjuder de en ovärderlig möjlighet att framtidssäkra verksamheten i en värld där cybermotståndskraft inte är förhandlingsbar.