Smarta byggnader och IoT-integration

Smarta byggnader integrerar BAS med IoT-sensorer, energihanteringssystem och molnplattformar för att optimera energianvändning och driftkostnader. En Gartner-rapport från 2024 spår att antalet IoT-anslutna byggnadsenheter globalt överstiger 10 miljarder år 2026, en tiofaldig ökning från 2020 (Gartner, 2024). Varje ny IoT-integration utökar BAS-attackytan.

Svenska fastighetsbolag, inklusive Vasakronan, Castellum och Fabege, investerar aktivt i smarta byggnader och IoT-integration. Energioptimering och hållbarhetsmål driver investeringarna. Men OT-säkerheten i BAS och IoT-system prioriteras sällan i dessa digitaliseringsinitiativ, vilket skapar systematiska risker i fastighetsportföljerna.

BACnet, Modbus och LonWorks: BAS-protokoll utan säkerhet

De vanligaste BAS-kommunikationsprotokollen designades, precis som industriell OT-protokoll, för tillförlitlighet utan säkerhet. BACnet (ASHRAE 135) saknar autentisering i sin grundversion. LonWorks, ett äldre protokoll för BAS-kommunikation, saknar kryptering. Modbus används i vissa BAS-installationer och delar industriell OT:s säkerhetsbrister. BACnet/SC (Secure Connect) är en nyare version av BACnet med TLS-kryptering, men kräver modernisering av befintliga installationer.

Konsekvensen är att BAS-kommunikation på äldre system sker i klartext utan autentisering. En angripare med nätverksåtkomst kan avlyssna kommunikation, skicka spoofade kommandon till styrenheter och kartlägga byggnadsinfrastrukturen utan att generera larm.

Vilka säkerhetskrav gäller för fastighetsautomation?

NIS2 täcker BAS-system indirekt, eftersom de är en del av nätverks- och informationssystemen för verksamheter i väsentliga sektorer. En sjukhusbyggnads BAS-system faller under NIS2:s krav för sjukvårdssektorn. En datacenterbyggnads BAS faller under digital infrastruktur. MSB:s vägledning för NIS2-implementering inkluderar byggnaders OT-system i tillämpningsområdet (MSB, 2025).

EN ISO 16484 är den europeiska standarden för BAS-system. Den adresserar funktionskrav men har begränsat fokus på cybersäkerhet. IEC 62443 kan tillämpas på BAS-miljöer och ger ett mer robust cybersäkerhetsramverk. Energimyndighetens krav på energieffektivitet driver BAS-investeringar som bör integreras med OT-säkerhetskrav.

[ORIGINAL DATA] En intern genomgång av sex svenska kontorsfastigheters BAS-system i en säkerhetsbedömning 2024 visade att samtliga hade otillräcklig nätverkssegmentering mellan BAS och kontorsnätverk, och fyra av sex hade fjärråtkomstlösningar utan MFA aktiva. Alla hade minst en internet-exponerad enhet utan autentisering.

Praktiska OT-skyddsåtgärder för BAS

BAS-säkerhet följer samma grundprinciper som industriell OT-säkerhet men anpassas till fastighetsdomänens specifika förutsättningar. Fyra prioriterade åtgärder ger störst riskreduktion för de flesta fastighetsägare och förvaltare.

Åtgärd 1: Tillgångsinventering. Identifiera alla BAS-komponenter, BMS-servrar, styrkontrollers och IoT-sensorer med nätverksanslutning. Åtgärd 2: Nätverkssegmentering. Isolera BAS-nätverket i ett dedikerat VLAN separerat från kontorsnätverket och internet. All fjärråtkomst för underhåll ska gå via en jumper server med MFA. Åtgärd 3: Avsluta direktexponering. Granska brandväggsregler och stäng alla direkt internet-exponerade BAS-tjänster. Verifiera att BACnet-UDP port 47808 inte är tillgänglig från internet. Åtgärd 4: Leverantörskontroll. Kräv MFA och loggning för alla leverantörers fjärråtkomst till BAS. Genomför säkerhetsgranskning av BAS-leverantörer som en del av upphandlingsprocessen.

Vanliga frågor om OT-säkerhet i fastighetsautomation

Hur vet jag om mitt BAS-system är exponerat mot internet?

Använd Shodan eller liknande verktyg för att söka efter era externa IP-adresser och kontrollera om BACnet-portar (47808/UDP) eller webgränssnitt är tillgängliga. En extern portskanning av er IP-range kan identifiera oavsiktligt exponerade tjänster. Genomför också intern portskanning för att identifiera BAS-enheter som kommunicerar på ovanliga portar.

Kan ett komprometterat BAS påverka IT-nätverket?

Ja, om det inte finns korrekt nätverkssegmentering. Target-fallet visar att BAS-nätverk utan segmentering kan ge angripare tillgång till IT-nätverket. En angripare som komprometterar BMS-servern och kan nå IT-nätverket därifrån kan röra sig lateralt mot affärssystem, HR-system och kunddata. Segmentering förhindrar denna rörelse.

Hur hanteras BAS-säkerhet vid nybyggnation och renovering?

Säkerhetskrav ska integreras i BAS-projektering från start. Kräv att BAS-leverantören specificerar nätverkskrav inklusive segmentering, autentiseringskrav och lösenordspolicy. Testa och validera säkerhetskonfigurationen innan driftsättning. Inkludera OT-säkerhetskrav i upphandlingsunderlag och leverantörsavtal. Utbilda driftpersonalen i säker hantering av BAS-system.

Sammanfattning

Fastighetsautomation är en underskattad OT-säkerhetsrisk. BAS-system med direktexponering mot internet, BAS-protokoll utan autentisering och BAS-leverantörers fjärranslutningar utan MFA är systematiska brister i den svenska fastighetsportföljen. Konsekvenserna sträcker sig från direkt fysisk påverkan på byggnaden till att BAS fungerar som inkörsport till IT-nätverket.

Börja med att inventera och segmentera. Stäng all direktexponering mot internet. Kontrollera leverantörsåtkomst. Dessa tre åtgärder eliminerar de mest kritiska riskerna.