Cyberattacken blev en väckarklocka: Så stärkte Kalix beredskapen

Attacken slog brett mot kommunen. E-post, ekonomisystem och verksamhetssystem slutade fungera. Inom socialförvaltningen påverkades bland annat hemtjänst, hemsjukvård, försörjningsstöd och lönehantering.

Redan på morgonen började kommunen kartlägga läget och ställa om arbetet. Socialförvaltningens system låg nere i omkring tre veckor och fungerade relativt väl igen först den 10 januari 2022.

– Vi ställde om till ett analogt arbetssätt med ljusets hastighet. Där hade vi nytta av medarbetare som hade arbetat innan de digitala verktygen fanns. De visste hur vi skulle hantera situationen, säger Anna-Lena Andersson, socialchef i Kalix kommun.

Beredskapen gav stöd när systemen låg nere

När de digitala verktygen inte gick att använda fick medarbetarna arbeta med papper, telefon och manuella rutiner. Socialförvaltningen hade redan före attacken tagit fram kontinuitetsplaner och övat på olika krisscenarier. Det gav verksamheten stöd i att prioritera vilka insatser som måste fungera först.

Av säkerhetsskäl stängde kommunen samtidigt ned flera funktioner, bland annat internetuppkoppling, intranät, extern webbplats, skrivare och intern telefonväxel.

Återställningen handlade därför inte bara om att få systemen i gång igen. Kommunen behövde också minska sårbarheten och bygga upp en säkrare it-miljö.

Attacken förändrade synen på digitalisering

Fem år senare är attacken fortfarande en utgångspunkt för kommunens arbete. Händelsen gjorde det tydligt att digitalisering inte bara skapar effektivitet. Den skapar också beroenden som verksamheten måste kunna hantera när systemen inte fungerar.

– Synen på it och digitalisering har absolut förändrats i kommunen. Vi har blivit mer försiktiga och arbetat med säkerhet i våra system och att ha viktiga funktioner inte bara lokalt. Vi har också genomfört strukturella åtgärder inom it-säkerheten och fortsätter att säkra andra delar av verksamheten, säger Anna-Lena Andersson.

Efter attacken har kommunen arbetat med uppdaterade säkerhetsrutiner, reservlösningar, säkerhetskopior och utbildning inom informations- och it-säkerhet. Socialförvaltningen har också fått finansiering för en beredskapssamordnare, enligt Anna-Lena Andersson.

– Sedan dess har vi fått statsbidrag och avsatt en tjänst för att arbeta med de här frågorna. I dag har alla verksamheter uppdaterade kontinuitetsplaner.

Det handlar om att verksamheten ska kunna fortsätta även vid störningar. Kontinuitetsplaner finns i dag inte bara i de brukarnära verksamheterna, utan även inom administrationen.

– Sedan driftstörningarna har vi systematiserat arbetet på ett helt annat sätt. Alla verksamheter, även administrationen, har gjort kontinuitetsplaner och fått tydliga rutiner. I dag är vi betydligt bättre förberedda. När nätet ligger nere blir det inte samma dramatik längre. Då vet vi att vi kan ta fram penna och papper och fortsätta arbeta.

Beredskapen omfattar mer än it

Arbetet har samtidigt breddats. För beredskap handlar inte enbart om cyberangrepp eller tekniska avbrott, utan också om hur det ska fungera vid kris eller krig.

– Nu ligger mycket fokus på krigsplanering och den nya lagstiftningen om lagerhållning. För socialtjänsten innebär det att vi behöver planera för bland annat mat, mediciner, hjälpmedel och sjukvårdsmateriel, säger Anna-Lena Andersson.

Kommuner ansvarar för verksamheter som måste fungera även under svåra förhållanden. Vattenförsörjning, omsorg och andra samhällsviktiga funktioner är beroende av tillförlitlig information, fungerande system och förberedda reservrutiner.

Sedan den 15 januari 2026 gäller cybersäkerhetslagen, som genomför NIS2-direktivet i Sverige. Den ställer tydligare krav på bland annat riskanalyser, säkerhetsåtgärder, incidentrapportering och ledningens deltagande i cybersäkerhetsarbetet för de verksamheter som omfattas av lagen.

”Vi vet ju hur det kan gå”

Att hålla frågan levande år efter år kräver uthållighet. För Anna-Lena Andersson finns erfarenheten från attacken hela tiden kvar i arbetet.

– Vi vet ju vad som kan hända närsomhelst. Så det är därför vi håller i och som nöter på med den här frågan. Alternativet när det händer är inte dans på rosor.

Hennes viktigaste råd till andra kommuner är att inte välja mellan att förebygga en attack och att förbereda sig på konsekvenserna. Båda delarna behövs.

– Mitt råd till andra kommuner är att arbeta både förebyggande och förberedande och alltid ha en plan B. För det handlar inte om ifall det händer, det handlar om när.