01
Skyddsutlösning.
Ett system vars syfte är att bryta försörjningen innan människor eller egendom skadas: innanför, och med rätta.
OMVÄNDNINGEN
Kritisk infrastruktur fick det motsatta av vad alla väntade sig.
Tre saker som de som säljer oro inte berättar. För det första: de tunga kraven når bara AI som används som en säkerhetskomponent i driften av försörjningen. Definitionerna undantar uttryckligen prestandaoptimering, effektivitet i tjänsten, automation och kvalitetskontroll.
För det andra: konsekvensbedömningen för grundläggande rättigheter, FRIA, som träffar andra sektorer gäller uttryckligen inte kategorin kritisk infrastruktur, bilaga III punkt 2. Undantaget håller även när tillhandahållaren, alltså den som använder systemet i sin verksamhet, är ett kommunalt bolag, eftersom det följer systemets användning och inte er juridiska form.
Undantaget gäller bara den skyldigheten. Högriskkraven i övrigt står kvar, och de börjar gälla den 2 december 2027 för bilaga III. För det tredje: registreringen för den här kategorin sker nationellt, inte i EU:s databas.
Den sektor som alla antog skulle bära den tyngsta bördan fick en lättare. En leverantör som inte har läst så långt säljer bördan till er ändå. Och en driftorganisation som skjuter upp sin underhållsanalys för att någon har skrämt den med AI-reglerna förlorar pengar på ett missförstånd.
DEN ÄRLIGA KLASSIFICERINGEN
Vad som faktiskt är högrisk här ute.
02
Läckagedetektering med säkerhetssyfte.
Att hitta rörbrott eller gasutsläpp för att förhindra exponering: sannolikt innanför.
03
Balansreglering och frekvenshållning.
Den verkliga gränsdragningen. Är det dokumenterade syftet nätets integritet lutar det innanför. Är det kostnadsoptimering av balanstjänster lutar det utanför. Dokumentationen avgör.
04
Prediktivt underhåll.
Utanför som regel: syftet är effektivitet i tjänsten. Nyansen ligger i fel med direkta säkerhetskonsekvenser, och den nyansen hör hemma i dokumentationen.
05
Lastprognostisering.
Utanför. Ett stödverktyg utan säkerhetsfunktion.
BELÄGGEN
Klassificeringen hänger på det dokumenterade avsedda syftet. Ett energibolag som inte kan visa ett systems avsedda syfte kan inte belägga sin klassificering, i någon riktning. Att ta fram de beläggen är ett arbete, och det är vårt: en klassificeringspromemoria per system som er styrelse, er ägarkommun och er revisor kan hålla i handen.
INCIDENTRAPPORTERING
Två klockor, en incident.
När en incident träffar ett högrisksystem för AI i er verksamhet startar två rapporteringskedjor samtidigt.
Cybersäkerhetslagen, som genomför NIS2 i Sverige, kräver en tidig varning inom 24 timmar. Den går till CSIRT-enheten, som sedan den 1 juli 2026 är Försvarets radioanstalt.
AI-förordningen går andra vägen: rapporteringsskyldigheten ligger på systemets leverantör. Men fristen är två dagar och inte femton när incidenten är en allvarlig och oåterkallelig störning av förvaltningen eller driften av kritisk infrastruktur, alltså i normalfallet här ute. Och den räknas från när ni fick kännedom, inte från när ärendet nådde leverantören.
Er egen roll slutar inte vid att ringa leverantören. Artikel 26.5 kräver att ni själva informerar marknadskontrollmyndigheterna, och går leverantören inte att nå faller rapporteringen på er.
Olika mottagare. Olika tidsfrister. Olika definitioner av vad som räknas som en incident. Och ingen mekanism i svensk rätt samordnar dem: verksamheten konstruerar samordningen själv, eller upptäcker glappet skarpt.
Just det arbetet är vårt: en process som täcker båda klockorna, med roller, trösklar och mallar, framtagen tillsammans med er säkerhetsfunktion och överlämnad till det team som ska köra den.
VAD VI LEVERERAR
Var värdet ligger, och vad det ska kallas.
En ärlig skillnad först. Mycket av det som säljs in i den här sektorn som AI är klassisk automation och sensoranalys: larmnivåer, styrlogik, statistisk prognostisering. Ofta är det precis rätt verktyg, billigare och driftsäkrare än någon modell, och att säga det till er hör till uppdraget.
Vi bedömer de investeringarna, klassificerar dem och skriver beslutsunderlaget. Att bygga och driva dem är ett hantverk som hör till era OT-leverantörer och tekniska partner, och vi sitter kvar på er sida av bordet.
Det vi levererar själva är kunskapsarbetet runt driften, för det är där språkmodeller faktiskt förtjänar sin plats i dag: den myndighetsrapportering ert team dränks i, utkastad på era egna data. Tillstånds- och anbudsunderlag. Rapportering till styrelse och ägare. Kundkommunikation som svarar innan telefonen ringer.
Assistenter på era egna manualer, instruktioner och historik. Och det analyslager sektorn underutnyttjar: underhållsloggar, avbrottshistorik och förbrukningsdata omsatta till beslutsunderlag, vilka anläggningar som bör bytas, var förlusterna sitter, vad nästa investering bör vara. Byggt mot produktionskriterier, ägt av ert team vid överlämning, fast pris.
En effektivitet till värd att nämna: den styrning sektorn behöver bör kopplas in i det säkerhetsarbete ni redan driver enligt NIS2, inte ställas vid sidan av i en andra pärm. En styrning, båda regelverken.
VAD NI GÖR, I ORDNING
Vad ni gör, i ordning.
01
Klassificera med belägg.
AI-mognadsanalysen inventerar det ni kör och tar fram det dokumenterade syftet per system: beläggen för vad som ligger innanför, och beläggen för vad som ligger utanför.
02
Konstruera samordningen vid incident.
En process som täcker båda klockorna, framtagen med er säkerhetsfunktion, ägd av ert team.
03
Återanvänd säkerhetsmaskineriet ni har.
Styrning byggd in i de strukturer NIS2 redan gav er, med namngivna ägare i stället för pärmar.
04
Tina upp planen.
De projekt ett missförstånd satte på is, med varje investering kallad vid sitt rätta namn: automation där automation vinner, AI där den förtjänar sin plats.
Levererat för en verksamhet som inte kan stå still.
SwedaviaVarberg Energi
BELÄGG
Vårt arbete i det här segmentet omfattar uppdrag med team hos Swedavia och Varberg Energi, vid sidan av våra leveranser till svenska offentliga verksamheter. Den konsult som leder ert uppdrag är den som levererade dem.
FRÅGOR
Innan ni startar om projekten.
Lastprognostisering är i normalfallet inte ett högrisksystem enligt AI-förordningen: prestandaoptimering är uttryckligen undantaget från definitionen av säkerhetskomponent i bilaga III punkt 2. Beläggen är ändå värda att ta fram, eftersom det dokumenterade avsedda syftet är det som bevisar nejet om någon frågar. Högriskkraven för bilaga III börjar gälla den 2 december 2027, så tiden att dokumentera finns nu.
Nej, en nätägare behöver ingen konsekvensbedömning för grundläggande rättigheter för system i kategorin kritisk infrastruktur. Artikel 27.1 undantar uttryckligen system som är avsedda att användas inom det område som anges i punkt 2 i bilaga III. Undantaget följer systemets användning och inte ägarformen, och det gäller bara den skyldigheten: högriskkraven i övrigt står kvar från den 2 december 2027.
Ett kommunalt energibolag som räknas som offentligt organ har enligt artikel 111.2 till den 2 augusti 2030 att få befintliga bilaga III-system att uppfylla kapitel III. Privata aktörer har ingen motsvarande övergångstid, utan följer den 2 december 2027. Vilken sida ni hamnar på är en bedömning av bolagets rättsliga form, och den gör vi tidigt i AI-mognadsanalysen.
En driftcentral får två rapporteringskedjor på halsen samtidigt. Cybersäkerhetslagen kräver en tidig varning inom 24 timmar till CSIRT-enheten, som sedan den 1 juli 2026 är Försvarets radioanstalt. AI-förordningen lägger rapporteringen på leverantören, men fristen är två dagar och inte femton vid en allvarlig och oåterkallelig störning av förvaltningen eller driften av kritisk infrastruktur, och den räknas från när ni fick kännedom. Artikel 26.5 kräver dessutom att ni själva informerar marknadskontrollmyndigheterna.
Nej, Ampliro bygger inte nät- och styrsystem. Vi bygger inte systemet som vaktar er pump, men ge oss dess loggfil och ni får veta när den bör bytas. Vi levererar analys och beslutsunderlag. För system som vaktar och styr klassificerar vi, skriver krav och sitter på er sida av bordet mot OT-leverantörerna. Klassificeringen görs i AI-mognadsanalysen.
Nej, leverantörens försäkran räcker inte för att visa överensstämmelse med AI-förordningen. Den flyttar inte era skyldigheter som tillhandahållare, och klassificeringen vilar på det dokumenterade avsedda syftet. En säljbild är inte dokumentation. Inga harmoniserade standarder under förordningen är publicerade än, så det finns ingen presumtion om överensstämmelse att luta sig mot. Vi hämtar beläggen skriftligt, från leverantören och in i era akter.
INSIGHTS
Det vi har publicerat om energi och infrastruktur.
Regelverket
Vilka omfattas av NIS2, och vem gör bedömningen
Vilka omfattas av NIS2 avgörs av sex bestämmelser, och bedömningen ligger på verksamheten själv. Storlekströskeln kan falla åt två håll, och väsentlig eller viktig svarar på en annan fråga.
Läs analysen
Regelverket
Vem rapporterar vad när NIS2, DORA och AI-förordningen möts
Cybersäkerhetslagen undantar de företag som omfattas av DORA från hela incidentrapporteringen. De två cyberklockorna går alltså aldrig igång samtidigt, och kvar står den frist ingen satt en bortre gräns för.
Läs analysenKlassificera. Belägg. Bygg sedan.
Ett samtal räcker för att avgöra vilka av era system som faktiskt ligger innanför, vilka belägg som visar det, och om er incidentprocess håller för båda klockorna. Landar större delen av er lista utanför de tunga kraven får ni det skriftligt. Och slår klassisk automation modellen säger vi det.