Kommunikation som kritisk infrastruktur

När kommunikationen faller är verksamheten som faller

De flesta ledningsgrupper i offentlig sektor har en tydlig bild av vad som händer om elen går, om vattnet slutar flöda. Eller om journalsystemet ligger nere. Betydligt färre har en lika tydlig bild av vad som händer om organisationen förlorar förmågan att nå sina invånare – eller om invånarna förlorar förmågan att nå organisationen.

Det är ett allvarligt blindfält. Kommunikation är inte en stödfunktion som kan skalas ned när det blir tungt. Det är den funktion som avgör om alla andra funktioner går att använda. En vårdplats som ingen kan boka är ingen vårdplats. En evakueringsorder som inte när fram är ingen evakueringsorder. Ett myndighetsbeslut som ingen förstår är i praktiken inget beslut.

Slutsatsen för en ledning är obekväm men enkel: kommunikation ska behandlas, finansieras och granskas som samhällskritisk infrastruktur – med samma krav på tillgänglighet, redundans, svarstid och spårbarhet som ställs på kraftförsörjning eller IT-drift. Allt annat är en oredovisad risk i balansräkningen.

Varför frågan är akut nu, och inte om två år

Tre utvecklingar har inträffat samtidigt, och de förstärker varandra.

Hotbilden har ändrat karaktär. Desinformation, deep fakes och samordnade påverkanskampanjer innebär att det inte längre räcker med att en myndighet säger sanningen. Den måste också kunna säga den snabbare, tydligare och mer verifierbart än den som ljuger. I ett informationsutrymme där en förfalskad ljudfil av en kommundirektör kan produceras på några minuter, är varje timmes fördröjning i det officiella budskapet och timme som någon annan fyller.

Beroendena har blivit djupare och mer koncentrerade. Kommuners och regioners kommunikation vill i dag på ett fåtal leverantörer, plattformar och integrationer. När en av dem faller, faller många samtidigt – och organisationen upptäcker först när det redan har brustit.

Kraven har blivit rättsligt bindande. Cybersäkerhetslagen (2025:1506), den svenska implementeringen av NIS2, gäller sedan den 15 januari 2026 och omfattar samtliga kommuner, regioner och kommunalförbund – utan storleksströskel. Lagen ställer uttryckliga krav på riskanalys, incidentrapportering och – detta är det centrala för en styrelse eller nämnd – ledningens eget deltagande i cybersäkerhetsarbetet, inklusive obligatorisk utbildning. Anmälan görs till Nationellt cybersäkerhetscenter (NCSC) och tjänsten öppnade den 2 februari 2026; lagen anger att det ska ske ”så snart det kan ske”. Den 1 oktober 2026 träder dessutom föreskrifterna om säkerhetsåtgärder och ledningens utbildning i kraft. Det är inte ett framtida datum i någon meningsfull bemärkelse. Det är nu det händer.

Kommunikationsförmåga är inte längre enbart en förtroendefråga. Den är en efterlevnadsfråga med uttryckliga skyldigheter för ledningen och en sanktionsavgift på upp till 10 miljoner kronor för offentliga verksamhetsutövare som inte lever upp till kraven.

Vad haveriet faktiskt kostar: tre exempel

Abstrakta resonemang om resiliens övertygar sällan en ekonomichef. Det gör däremot konkreta händelseförlopp.

Kalix kommun, december 2021 – när verktygslådan försvinner samtidigt som man måste toppa

Natten mot den 16 december 2021 drabbades Kalix kommun av en ransomware-attack som slog ut kommunens IT-miljö. Konsekvenserna nådde långt utanför IT-avdelningen: e-posten slogs ut, löneutbetalningarna till kommunens cirka 1 900 anställda kunde bara genomföras via nödlösningar – decemberlönen ersattes manuellt av novemberlönen och omkring tusen löner fick korrigeras i efterhand – utbetalningarna av försörjningsstöd försenades och hanterades tillbaka till digitala journaler och hemkomst till digital medicinering och hemtjänst. till papper och penna.

Frågan till den egna ledningen: vilka av våra kommunikationskanaler mot invånare delar leverantör, datacenter eller identitetslösning med våra verksamhetssystem – och har vi någon kanal som är oberoende av dem alla?

Iberiska halvön, 28 april 2025 – när informationsvakuumet fylls av någon annan

Klockan 12:33 den 28 april 2025 kollapsade elsystemen i Spanien och Portugal i stort sett samtidigt. Inom loppet av sekunder stod trafikljus, tunnelbanor och stora delar av mobilnäten stilla; internettrafiken föll omedelbart med omkring 50 procent i Portugal och 60 procent i Spanien. Därefter började reservkraften i telekomnäten tickas ned, och över de följande timmarna sjönk trafiken till omkring 90 procent under normalnivå i Portugal och 80 procent i Spanien. I stora områden rapporterades att mellan halva och hela användarbasen var utan täckning när batterierna tog slut.

Det avgörande i ett kommunikationsperspektiv: skillnaden mellan operatörerna var dramatisk. Den portugisiska operatören MEO, som hade investerat tungt i batteribackup och redundans, kunde hålla stora delar av nätet uppe. Operatören Digi förlorade över 90 procent av sina abonnenter i mer än ett dygn. Samma yttre händelse, radikalt olika utfall – och skillnaden hade bestämts av investeringsbeslut fattade långt i förväg.

Under de timmar när officiell information inte nådde fram spreds i stället falska förklaringar, förfalskade mediekonton och rykten. Informationsvakuumet uppstod inte för att någon hade fel avsikt. Det uppstod för att infrastrukturen inte höll, och det fylldes omedelbart.

Frågan till den egna ledningen: hur länge klarar vi oss utan ström och utan mobilnät innan vi förlorar kontakten med invånarna – och vem fyller tystnaden under tiden?

Vad som faktiskt fungerar: autonoma agenter i skarp drift

Bilden är inte enbart mörk. Det finns organisationer som har flyttat sin kommunikationsförmåga från flaskhals till kapacitet, och de behöver inte uppfinnas på nytt.

Det tydligaste exemplet just nu är “Bobbi” , den AI-agent som tre brittiska polismyndigheter – Humberside Police, Hampshire and Isle of Wight Constabulary och Thames Valley Police – har byggts tillsammans på Salesforces Agentforce 360-plattform och lanserat i november 2025. Bobbi hjälper självständigt att registrera sig på vanliga dygnet frågor: ärenden själva och slussar vidare det som kräver en människa.

Resultaten är dokumenterade och relevanta för en ledning som ska fatta ett investeringsbeslut:

-Lösningen driftsattes på veckor, inte år.
-Under första veckan användes den av fler än 600 invånare, och 82 procent av de inkommande frågorna löstes utan eskalering till en polis.
-Sex månader efter lansering hanterar Bobbi motsvarande omkring 14 000 medborgarkontakter per år och frigör uppskattningsvis drygt 3 200 operativa timmar årligen (siffrorna avser Thames Valley samt Hampshire and Isle of Wight).
-Agenten hanterar omkring 200 icke-akuta konversationer per dygn, varav cirka 45 procent automatiseras fullt ut.

-Tekniskt integreras den mot befintliga, delvis äldre polisiära verksamhetssystem, vilket eliminerar dubbelregistrering och låter handläggarens svar nå invånaren utan manuella mellansteg.

Tre saker är värda att uppmärksammas särskilt.

För det första är detta inte en sökfunktion eller en chattrobot med färdiga svar. Det är en agent som är integrerad i verksamhetssystemen som kan utföras – med full spårbarhet och konsekvent tillämpning av regelverk. Det är skillnaden mellan att hänvisa en invånare till rätt blankett och att faktiskt hjälpa honom igenom ärendet.

För det andra ligger värdet lika mycket i kapacitetsreserven som i besparingen. 3 200 frigjorda timmar är en effektiviseringssiffra i vardagen. I en pressad situation är samma siffra något annat: den är skillnaden mellan att telefonväxeln går i kö och att den inte gör det. Automatiserad hantering av det rutinmässiga är det som frigör mänsklig kapacitet till det akuta, exakt när belastningen toppar.

För det tredje är överföringsvärdet till svenska förhållanden direkt. Samma mönster gäller för bygglovsärenden, vårdtidsbokning, avfallshantering, skolval och navigering i socialtjänstens regelverk. Dygnet runt, konsekvent, spårbart och med samma svar vad som helst som frågar och när.

Från reaktiv till proaktiv: vad ledningen behöver besluta

Skillnaden mellan en reaktiv och en proaktiv organisation avgörs inte under krisen. Den avgörs av beslut som fattas när ingenting särskilt händer. 

Fyra områden kräver ledningens beslut, inte kommunikationsavdelningens.

1. Kartlägg beroende och identifieras den kanal som överlever. Varje kommunikationsväg mot invånarna ska kunna spåras till sin tekniska bärare. Minst en kanal måste vara oberoende av den ordinarie IT-miljön, har egen behörighetshantering och har testats i skarpt läge. Om den inte har testats när ordinarie miljö varit nere, existerar den inte.

2. Bygg kapacitetsreserv genom automatisering av det rutinmässiga. En organisation som redan i vardagen automatiseras sina vanligaste ärenden har en buffert när volymerna tiodubblas. En som hanterar allt manuellt har ingen. Detta är inte primärt en besparingsfråga – det är en beredskapsfråga som råkar betala sig i vardagen.

3. Definiera i förväg vad ”rätt information till rätt person vid rätt tidpunkt” betyder mätbart. Vilken målgrupp, vilken kanal, vilken maximal svarstid, vem som har mandat att publicera utan ytterligare godkännande. Ett mandat som ska sökas mitt i händelsen är ett mandat som kommer för sent.

4. Behandla förtroende som en tillgång med underhållsbehov. Förtroende byggs i tusentals odramatiska interaktioner och förbrukas i ett fåtal dramatiska. Den organisation som är svårnådd i vardagen har redan förbrukat sitt kapital när krisen kommer. Kalix klarade sin kris på transparens – men transparens fungerar bara om det finns en fungerande kanal att vara transparent i.

Tio minuter på nästa ledningsmöte

Fem frågor. Om ledningen inte kan besvara dem i dag, är svaret i sig riskbilden.

1.Om vår primära IT-miljö slår ut i natt – i vilken kanal när vi invånar i morgon bitti, och när testade vi den senast?

2.Vilka av våra kommunikationskanaler delar leverantör eller datacenter med våra verksamhetssystem?

3.Hur många timmar utan ström och mobilnät klarar vi innan kontakten med invånarna bryts?

4.Vem har mandat att publicera officiell information utan ytterligare godkännande, och är det mandaterade dokument?

5.Hur stor andel av våra vanligaste invånarärenden hanteras i dag utan mänsklig handläggning – och vad frigör det för kapacitet när belastningen tiodubblas?

Slutsats

Kommunikation har tyst förflyttats från stödfunktion till kritisk infrastruktur. Regelverket har redan följt efter; cybersäkerhetslagen gäller sedan januari 2026 och lägger uttryckliga skyldigheter på ledningen. Hotbilden har följt efter. Invånarnas förväntningar har följt efter.

Det som återstår är att organisationens investeringsbeslut och beredskapsplanering gör detsamma. Bobbi visar att förflyttningen är möjlig i veckor, under år, och att de betalar sig i vardagen medan den bygger beredskap för det som inte är vardag. Kalix, Tietoevry och den iberiska halvön visar vad alternativt kostar.

Betjänad står inte mellan att investera i kommunikationsinfrastruktur eller att låta bli. Det står mellan att fatta beslutet nu, under kontrollerade former och med tid att testa – eller att fatta det under en natt då telefonerna redan glöder och e-posten inte fungerar.

Hur tänker och agerar ni?

Christian Witte
Ansvarig för kommunikations- & informationslösningar
Offentlig sektor
Salesforce