Cyberangreb rammer Femern-byggeriet – adgangskort og arbejde blev forstyrret

Femern A/S bekræftede 13. oktober 2026, at hovedentreprenøren Femern Link Contractors (FLC) havde orienteret bygherren om en cyberhændelse, og citerede Sund & Bælts pressechef Jens Villemoes for ordene: »Vi er i dialog med FLC om situationen«. Den korte meddelelse angav hverken angrebets metode eller de berørte systemer.

NDR’s opdatering 14. oktober beskriver forstyrrede arbejdsgange og adgangskort, som efter medieoplysninger tilsyneladende ikke virkede dagen før. NDR observerede samtidig byggearbejde på den tyske side og arbejdende køretøjer ved Rødby på den danske side, men kunne ikke fastslå aktivitetens omfang. Der er dermed belæg for afbrydelser hos entreprenøren, mens et fortsat totalt stop for byggeriet ikke er dokumenteret.

Hændelsen er bekræftet hos hovedentreprenøren

Den officielle melding knytter cyberhændelsen til FLC, som har en central rolle i opførelsen af tunnelen under Femern Bælt. Bygherren har endnu ikke oplyst, om dens egne systemer eller andre entreprenørers systemer er påvirket. Den afgrænsning er vigtig, fordi byggepladsen består af forskellige arbejdsområder og virksomheder: Problemer i et entreprenørsystem kan ramme en bestemt opgave hårdt, uden at al synlig aktivitet omkring forbindelsen ophører.

FLC er et konsortium, og arbejdet på forbindelsen fordeler sig mellem landanlæg, tunnelproduktion og aktiviteter til søs. Den geografiske spredning gør en enkel status som »åbent« eller »lukket« utilstrækkelig. En kran eller lastbil kan være i drift i ét område, mens en anden arbejdsgruppe mangler adgang, instrukser eller koordinering. Det synlige arbejde fortæller derfor ikke, om netop de aktiviteter, som var planlagt hos FLC, forløb efter planen.

Der er også forskel på, hvad der vides om hændelsen, og hvad der vides om dens følger. Bygherren har bekræftet, at entreprenøren rapporterede et cyberproblem. Oplysningerne om adgangskort og arbejdsgange kommer fra mediedækningen, og de tilgængelige beskrivelser giver ikke en samlet driftsopgørelse. Uden den kan man hverken måle tabt arbejdstid eller afgøre, hvor længe de enkelte forstyrrelser varede.

Adgang og fartøjer gør it-afhængigheden konkret

Maritime Danmark gengiver oplysninger fra Folketidende om flere fartøjer, der lå stille, og medarbejdere, som fik besked på at undgå wi-fi, computere og mails fra FLC. Det er rapporterede forholdsregler og driftsfølger, ikke en teknisk redegørelse fra FLC. Meldingen om fartøjerne giver dog et konkret billede af, at forstyrrelsen kan række fra digital kommunikation ud til arbejdet på vandet.

Adgangskort er forbindelsen mellem digital registrering og fysisk adgang. Hvis kontrollen ved en indgang ikke fungerer, kan en medarbejder møde op til en planlagt opgave uden at kunne komme ind ad den normale vej. Herefter kan arbejdet kræve manuel godkendelse, en anden indgang eller en ny bemandingsplan. Det er mulige driftsmæssige følger af et svigt i adgangskontrollen, ikke oplysninger om, præcis hvordan FLC’s adgangssystem er indrettet.

Oplysningen om kort, der ikke virkede, udpeger heller ikke i sig selv et kompromitteret kortsystem. Fejlen kan ligge i kort, læsere, en forbindelse til en database eller i en bevidst midlertidig afbrydelse, mens et angreb undersøges. Den konkrete årsag er ikke oplyst. Fælles for mulighederne er, at adgang til en fysisk arbejdsplads afhænger af en digital beslutning om, hvem der må passere, og hvornår.

For fartøjer er afhængigheden en anden. Besætning, opgaveplan og kontakt til land skal passe sammen, før en planlagt aktivitet kan udføres. Hvis beskeder og arbejdsordrer ikke kan deles på den sædvanlige måde, kan et fartøj blive liggende, selv om dets motor og navigationsudstyr fungerer. De omtalte stillestående fartøjer kan derfor ikke i sig selv bruges som tegn på, at skibenes styringssystemer blev angrebet.

Beskeden om at undgå FLC’s digitale forbindelser peger på en forsigtighedsreaktion hos medarbejdere. Sådanne forholdsregler kan selv bremse informationsudvekslingen: En arbejdsleder kan have svært ved at sende ændrede planer, og en besætning kan mangle en godkendt instruktion. Netop derfor kan en cyberhændelse skabe synlige pauser i et anlægsprojekt, før offentligheden ved, hvilke computere eller konti der faktisk er berørt.

Byggeaktivitet fortsatte, men omfanget er uafklaret

De observerede arbejder på begge sider af bæltet viser, at der stadig var aktivitet dagen efter den rapporterede forstyrrelse. Det kan skyldes, at nogle opgaver ikke var afhængige af de påvirkede systemer, eller at andre entreprenører kunne fortsætte deres arbejde. Observationerne afgør ikke, om FLC’s egne opgaver kørte normalt. Den sondring er afgørende på en byggeplads, hvor flere aktiviteter kan foregå samtidig uden at have samme adgangs- og planlægningssystem.

En eventuel virkning på tunnelens tidsplan afhænger af, hvilke opgaver der måtte vente, og om de ligger foran andre opgaver i byggeforløbet. En kort pause i en aktivitet med tidsmæssig luft kan måske indhentes; en afbrydelse før et nødvendigt næste trin kan få større følger. Ingen offentlig opgørelse knytter foreløbig hændelsen til en bestemt forsinkelse. Synlige køretøjer giver derfor heller ikke et pålideligt mål for, hvor meget af det planlagte arbejde der blev udført.

Angrebets metode, hvem der står bag, og den præcise afgrænsning af berørte systemer er fortsat ukendt. Den næste væsentlige status er en oplysning fra FLC eller bygherren om, hvornår adgang og interne arbejdsgange fungerer normalt igen, og om konkrete byggeopgaver blev flyttet. Først da kan de rapporterede stop for fartøjer og adgang sættes i forhold til fremdriften i tunnelbyggeriet.

Læs også:

• Claude åbner tre cyberniveauer – adgang kræver stadig godkendelse
• Nasdaq giver AI-agenter adgang til Calypso – data bliver hos kunden
• 73 pct. af ENISAs cyberhændelser rammer sektorer omfattet af NIS2