Grannländerna har redan gjort resan
Danmark tog sin datahubb i drift 2013. Norge följde 2019. Finland 2022. Arbetet i våra grannländer var absolut inte friktionsfritt. Danmark brottades med att få över mätdata från nätbolagen de första månaderna. Finland startade sitt projekt år 2015 men fick skjuta upp driftstarten från år 2021 till 2022 eftersom alla aktörer inte hann bli redo.
Trots svårigheterna är resultaten idag tydliga. Av rapporten framgår att länder som valt centraliserade datahanteringsverktyg har uppnått tydliga effektivitetsvinster. Bland annat visar en utvärdering av norska Elhub från 2024 på bättre mätvärden, snabbare fakturering, effektivare leverantörsbyten och lägre trösklar för nya aktörer. Den pekar också på att krypterad kommunikation och standardiserad databehandling har skärpt säkerheten kring den data som delas.
I Sverige har det gjorts ett stort arbete tidigare med ett liknande verktyg. Svenska kraftnät arbetade med Elmarknadshubben mellan år 2017 och 2020 – ett arbete som kostade hela 160 miljoner kronor. Sedan pausades projektet. Nu tycker vi att det är dags att komma ikapp våra grannländer och få ut de effektivitetsvinster som datahubben kan ge oss.
Kritikerna har poänger – det finns risker med datahubben
Kritiker till hubben har framhållit riskerna med att samla alla elkunders mätvärden på ett ställe. Kritiken har funnits länge. Redan när Elmarknadshubben utreddes riktade Försvarsmakten kritik mot analysen av skyddet för totalförsvarsuppgifter. På senare tid har flera varnat för att en centraliserad lösning kan bli en så kallad single point of failure.
Det är en befogad invändning och centraliseringsrisken lyfts också upp i rapporten. Myndigheterna konstaterar att konsekvenserna av ett intrång, en felaktig behörighet eller ett otillbörligt datauttag kan bli större i ett centralt system än i dagens. De lyfter också aggregeringseffekten: uppgifter som var för sig är harmlösa kan, sammanställda över tid och geografi, avslöja var nätet är svagt eller var det finns verksamhet av betydelse för totalförsvaret. En enskild mätpunkts förbrukning säger lite. Däremot kan uppgifter om förbrukningsmönster i ett helt område, kombinerat med uppgift om var flexibilitetsresurser finns och när nätet återkommande är begränsat, visa var en viktig anläggning ligger och när elförsörjningen dit är som mest sårbar. Det gäller särskilt uppgifter om tillfälliga nätbegränsningar, som är nya jämfört med Elmarknadshubben.
Den här gången har myndigheterna fört löpande dialog med Försvarsmakten, FRA, Säkerhetspolisen och Myndigheten för civilt försvar. Rapporten slår fast att säkerhetsskyddsklassificerade uppgifter inte ska registreras i verktyget alls. Norge har gått samma väg. Elhub samlar inte in högupplöst data för säkerhetsskyddad verksamhet, eftersom dataskyddet aldrig kan garanteras till hundra procent. Att centralisera betyder alltså inte att centralisera allt.
Dagens system innebär också stora risker
I debatten jämförs ofta en centraliserad informationshubb med ett nuläge som framställs som närmast riskfritt. Så är absolut inte fallet.
Elmarknaden som den ser ut idag har skapat vad rapporten kallar en ”alla-till-alla-modell”. Runt 170 elnätsföretag samlar in mätvärden, alltifrån ekonomiska föreningar med ett tiotal kunder till bolag med över 900 000 kunder. Datan skickas sedan som krypterade e-postmeddelanden direkt till varje elhandlare och övriga aktörer, som lagrar sin egen kopia i sina egna system. Hos ett stort elnätsföretag sköts processerna automatiskt dygnet runt. Hos små företag sköts arbetet ofta manuellt på kontorstid. Fullmakter vid leverantörsbyten hanteras i dag manuellt, enligt rapporten via e-post utan autentisering av parterna.
Den här modellen ger ett ojämnt skydd och skyddsnivån avgörs i praktiken av varje aktörs egen förmåga. Marknadens samlade motståndskraft påverkas, som konstateras i rapporten, av "den aktör som har lägst förmåga" – med andra ord the weakest link. Det räcker att en enda aktör gör en felaktig bedömning för att skyddsvärda uppgifter ska exponeras. Det finns inga gemensamma loggar, ingen samlad spårbarhet och ingen som kan upptäcka systematiska brister på hela marknaden.
Risken växer dessutom framåt. EU:s kommande nätkod för efterfrågeflexibilitet (regler för hur kunder kan sälja flexibilitet genom att flytta eller minska sin elanvändning) kräver ett informationssystem för flexibilitet. Utan en nationell lösning behöver flera elnätsföretag och Svenska kraftnät bygga parallella system. Då måste just de driftkänsliga uppgifterna om nätbegränsningar spridas till fler tekniska miljöer och fler mottagare, med olika skyddsnivå.
Vi bedömer därför, liksom myndigheterna, att riskerna till följd av koncentration lättare kan hanteras – när det här dessutom blir hantering i gemensam, statlig infrastruktur – än riskerna som uppstår med en splittrad modell med över 300 aktörer med olika förutsättningar.
Ansvaret flyttar inte in i hubben
Ett centralt verktyg gör inte företagens eget säkerhetsarbete mindre viktigt. Stora delar av datan hanteras fortsatt hos bolagen, som även fortsättningsvis kommer att behöva efterleva regler som GDPR och cybersäkerhetslagen (NIS 2).
Elnätsföretagen samlar in och kvalitetssäkrar mätvärden och elhandlarna använder dem för fakturering. Personuppgiftsansvaret ligger enligt förslaget kvar hos varje aktör fram till att uppgifterna har förts över, med allt vad det innebär. Varje aktör ska dessutom sortera bort uppgifter som omfattas av säkerhetsskydd innan något skickas in. Det här är bara några av de skyldigheter som är tänkta att gälla. Lagkraven kommer även framöver att vara omfattande för elföretagen.
Förslaget innebär också i sig nya krav på bolagen. De ska bland annat använda de inloggnings- och behörighetslösningar som anvisas, överföra data säkert, se till att datakvaliteten upprätthålls och delta i tester av funktion och informationssäkerhet. För en elhandlare som brister kan konsekvensen bli avregistrering från hubben, vilket enligt rapporten normalt gör det omöjligt att fortsätta verksamheten.
Verktyget ska bygga på inbyggd säkerhet och inbyggt dataskydd. Men rapporten anger i den här delen en inriktning, inte färdiga krav för att uppnå den skyddsnivå som krävs. De detaljerade kraven och skyddsåtgärderna ska fastställas senare. Det är egentligen först då det avgörs om verktyget blir så säkert som rapporten beskriver. Säkerhetsarbetet måste därför ha hög prioritet hela vägen från idag till driftsättningen av hubben, så att tillräckliga och rätta krav införs och implementeras.
Dags för första spadtaget
Rapporten beskriver två vägar. Den ena bygger vidare på materialet från Elmarknadshubben. Då kan en första version vara i drift efter 36 till 42 månader. Den andra börjar om från grunden, med upphandling eller egenutveckling. Då dröjer det 90 till 96 månader. Skillnaden är mer än fyra år.
Myndigheterna fattar inget formellt beslut mellan alternativen. De skriver att valet snarare handlar om grad av återbruk än om antingen eller. Men de är tydliga med två saker. Att bortse från det befintliga materialet är inte ändamålsenligt. Och ju längre genomförandet tar, desto större blir risken för ändrade krav, tappad kompetens och dyra tillfälliga lösningar.
Vi förordar därför återbruk. Det kräver att materialet från 2020 kvalitetssäkras tidigt, eftersom det byggdes för en elhandlarcentrisk modell som inte längre är aktuell. Men det är ett mindre problem än att vänta till mitten av 2030-talet.
Hubben blir inte heller ett projekt som blir klart. Den blir en permanent del av elmarknaden som ska utvecklas i takt med nya krav. Därför är myndigheternas stegvisa upplägg klokt: grundfunktionerna först, därefter energidelning, energigemenskaper och avancerad flexibilitet. Norge visar en sak till: där har ett för snävt formulerat syfte i lagen begränsat hur Elhub kan vidareutvecklas. Den svenska lagstiftningen bör ge utrymme att växa.
Två saker saknas i rapportens tidplan. Den första är AI. Ordet förekommer inte i rapporten. Vi tror inte att AI kortar lagstiftningsprocessen eller gör 300 aktörer redo över en natt. Men uppdateringen av en omfattande kravbild från 2020, utveckling, testning och granskning av datakvalitet inför migrering är just den sortens arbete där verktygen redan i dag sparar tid. Det borde finnas med i planeringen från start.
Den andra är kompetensen. Rapporten pekar själv ut kompetensförsörjning som en av de största osäkerheterna. Den som ska leda Svenska kraftnäts dotterbolag behöver förstå både elmarknaden, juridiken, säkerheten och förändringsledning i en bransch med 300 aktörer. När den rollen tillsätts blir det en av årets viktigaste rekryteringar i energisverige.
Gå vidare, och bygg säkert
Datahubben gör elmarknaden enklare och billigare att verka på, öppnar för nya tjänster och mer flexibilitet och kan ge en jämnare skyddsnivå än dagens system. Givetvis innebär hubben också risker, men det finns väsentliga risker även med dagens system och med dagens system snuvas vi på de effektivitetsvinster som hubben skulle ge.
Vår uppmaning är därför tredelad.
Till regeringen
Fatta beslut snart och välj den väg som bygger vidare på det som redan finns. Se till att konkreta och väl genomarbetade säkerhetskrav uppställs och granskas innan verktyget tas i bruk.
Till Ei och Svenska kraftnät
Planera in de verktyg och den kompetens som kan korta tidplanen, och fortsätt den öppna dialogen med dem som är kritiska. Deras invändningar gör lösningen bättre.
Till elmarknadens företag
Vänta inte på driftsättningsplanen. Börja kartlägga era dataflöden, era beroenden och era avtal redan nu och se till att ni är rustade för att klara de krav som kommer att ställas på er när hubben tas i bruk.
Lina Hossar, branschspecialist inom Energi, Forefront
Elias Lundin, jurist med inriktning mot tech-juridik, Forefront
