Verksamheten omfattade inhämtning av information om svenskt beslutsfattande i syfte att skapa förutsättningar för rysk påverkan i polariserande frågor. Målsättningen var att undergräva svenskt beslutsfattande och misskreditera Sverige, Europeiska unionen och Nato.

Den europeiska säkerhetsdimensionen

Händelsen har större betydelse än den enskilda underrättelseoperationen. Säkerhetspolisen uppger att det ryska underrättelseintresset särskilt omfattar svenska politiska ställningstaganden, arbetet inom Nato och EU, stödet till Ukraina och svensk militär förmåga. I myndighetens lägesbild för 2025–2026 anges dessutom att rysk informationsinhämtning sker med ett mer långsiktigt krigsförberedande syfte och omfattar både militära förmågor och kritisk infrastruktur.

Den svenska operationen kan därför inte bedömas isolerat. Nato, Europeiska unionen och europeiska säkerhets- och underrättelsetjänster beskriver sedan flera år en utveckling där Ryssland använder underrättelseinhämtning, sabotage, cyberoperationer, informationspåverkan, elektroniska störningar och verksamhet genom ombud mot europeiska stater. Det fullskaliga kriget pågår i Ukraina, men den strategiska konfrontationen med väst omfattar ett betydligt större geografiskt område.

En parallell front under tröskeln för väpnat angrepp

I maj 2024 konstaterade Nordatlantiska rådet att flera allierade hade utrett eller väckt åtal mot personer med anknytning till fientlig statlig verksamhet i Tjeckien, Estland, Tyskland, Lettland, Litauen, Polen och Storbritannien. Nato bedömde att incidenterna ingick i en intensifierad rysk kampanj i det euroatlantiska området. Bland de metoder som identifierades fanns sabotage, våldshandlingar, cyberverksamhet, elektroniska störningar, desinformation och andra hybridoperationer, även genom ombud.

Vid toppmötet i Washington i juli 2024 utvecklade Nato denna bedömning ytterligare. Alliansen beskrev en rysk kampanj som även omfattade provokationer vid allierades gränser, skadlig politisk påverkan, ekonomiska påtryckningar och instrumentalisering av irreguljär migration. Nato konstaterade samtidigt att verksamheten utgjorde ett hot mot de allierades säkerhet och att motåtgärder skulle utvecklas både nationellt och gemensamt.

Betydelsen ligger inte endast i antalet incidenter. Den ligger i att flera typer av verksamhet som tidigare kunde analyseras som separata säkerhetsproblem numera behandlas som delar av en sammanhängande rysk hybridstrategi. Militär underrättelseverksamhet, sabotageförberedelser, cyberoperationer och informationspåverkan har olika operativa former men kan bidra till samma strategiska mål genom försvagning av politiskt beslutsfattande, samhällelig motståndskraft och västligt stöd till Ukraina.

Sverige som målområde

Säkerhetspolisen bedömer i lägesbilden för 2025–2026 att Ryssland fortsatt utgör det största hotet mot Sverige. Den ryska verksamheten omfattar framför allt underrättelseverksamhet, påverkansoperationer och teknikanskaffning. Myndigheten konstaterar samtidigt ett sabotagehot från Ryssland som främst är riktat mot västs stöd till Ukraina. Fokus för ryska underrättelse- och säkerhetstjänster anges vara att minska stödet till Ukraina och förstärka polarisering i syfte att försvaga väst.

Säkerhetspolisens bedömning innebär att den ryska inhämtningen inte enbart är inriktad på aktuella svenska beslut och förhållanden. Det långsiktigt krigsförberedande perspektivet ger informationen ett potentiellt operativt värde som sträcker sig längre än traditionell politisk underrättelseverksamhet.

Samtidigt gör Säkerhetspolisen en viktig avgränsning. Under det senaste året hade myndigheten bedömt misstänkta sabotage mot bland annat undervattenskablar, elstationer och vattenanläggningar, men inget fysiskt sabotage i Sverige hade vid publiceringen kunnat knytas till främmande makt. Myndigheten framhåller uttryckligen risken med att utan tillräckligt underlag utgå från att Ryssland ligger bakom varje säkerhetsrelaterad incident.

Den distinktionen är central för en trovärdig öppen underrättelseanalys. Ett konstaterat strategiskt hot innebär inte att varje enskild incident kan attribueras till den aktör som utgör hotet. Säkerhetspolisens egen bedömning förenar därför två förhållanden som måste hållas isär. Sabotagehotet från Ryssland betecknas som reellt och mål som påverkar västs möjlighet att stödja Ukraina bedöms som särskilt prioriterade, samtidigt som attribution av enskilda händelser kräver konkret bevisning.

Cyberoperationer med fysisk potential

Cyberområdet visar tydligt hur gränsen mellan underrättelseinhämtning och sabotageförberedelse kan förändras. Nederländernas militära underrättelse- och säkerhetstjänst MIVD offentliggjorde i april 2025 att en rysk hackergrupp under 2024 hade genomfört ett cybersabotageangrepp mot det digitala styrsystemet för en för en offentlig anläggning i Nederländerna. Angreppet ledde enligt MIVD inte till någon skada men betecknades som det första kända cybersabotageangreppet av detta slag i landet.

MIVD uppgav samtidigt att tjänsten hade upptäckt en separat rysk cyberoperation mot nederländsk kritisk infrastruktur som kunde utgöra en förberedelse för sabotage. De ryska aktörerna lyckades inte få tillgång till det aktuella nätverket. Kombinationen är säkerhetspolitiskt betydelsefull eftersom den visar två skilda nivåer av aktivitet. Den ena innebär faktisk manipulation av ett digitalt styrsystem, medan den andra innebär försök att skapa åtkomst som potentiellt kan användas senare.

I mars 2026 offentliggjorde MIVD och den nederländska civila säkerhetstjänsten AIVD ytterligare en rysk cyberkampanj. Ryska statsanknutna hackare försökte få tillgång till Signal- och WhatsApp-konton som tillhörde bland annat höga befattningshavare, militär personal och tjänstemän. Nederländska myndighetsanställda hade enligt säkerhetstjänsterna både varit måltavlor och blivit offer för kampanjen. Angriparna använde bland annat falska stödfunktioner för att förmå användare att lämna ut verifierings- och pinkoder.

Cyberdomänen kan därmed användas för flera funktioner samtidigt. Inhämtning av kommunikation kan ge underrättelseinformation, kartläggning av tekniska system kan skapa förutsättningar för senare operationer och tillgång till styrsystem kan ge möjlighet till faktisk störning. Skillnaden mellan cyberspionage och cybersabotage är därför avgörande i den enskilda operationen, men båda verksamhetsformerna kan ingå i ett större strategiskt förberedelsearbete.

Stödet till Ukraina som strategiskt mål

Sambandet mellan den ryska verksamheten i Europa och kriget i Ukraina är genomgående i de officiella bedömningarna. Säkerhetspolisen anger att ryska påverkansoperationer syftar till att minska västs stöd till Ukraina och att sabotagehotet särskilt berör verksamheter som påverkar västs möjlighet att upprätthålla detta stöd. Nato har på motsvarande sätt konstaterat att de ryska hybridoperationerna inte har förändrat allierades beslut att fortsätta stödet till Ukraina.

Detta innebär att stödstrukturen runt Ukraina har ett eget strategiskt värde. Militär materiel måste produceras, finansieras och transporteras. Politiska beslut måste fattas och upprätthållas över tid. Kommunikationssystem, transportnät, energiförsörjning, hamnar, järnvägar, försvarsindustri och logistiska nav bidrar på olika sätt till västländernas förmåga att omsätta politiska beslut i konkret stöd.

Ett angrepp mot en sådan struktur behöver därför inte ske på ukrainskt territorium för att påverka Ukrainas försvarsförmåga. Fördröjd transport, störd produktion, komprometterad information eller politisk påverkan kan ge strategisk effekt utan att motsvara ett traditionellt militärt angrepp mot ett Natoland. Detta bidrar till förklaringen till varför verksamhet under tröskeln för öppen väpnad konflikt har fått en framträdande roll i den ryska konfrontationen med väst.

Den konventionella dimensionen

Den hybrida verksamheten utvecklas samtidigt som Ryssland bygger upp sin konventionella militära förmåga. I Musts årsöversikt för 2025 (PDF), publicerad den 17 februari 2026, betecknas Ryssland som det dimensionerande militära hotet mot Sverige och Nato. Must bedömer att hotet kommer att öka fram till 2030 i takt med att de ryska väpnade styrkorna tillförs nya resurser och genomför reformer. Den största delen av den ryska förmågeutvecklingen bedöms uppnås först efter 2030, medan utvecklingstakten bland annat påverkas av kriget i Ukraina, den ryska ekonomin, oljeinkomsterna, sanktionerna och relationen till Kina.

Must konstaterar samtidigt att Ryssland redan på kort sikt har förmåga att skada och störa civila och militära funktioner i Sverige och Sveriges närområde genom tillgängliga militära och hybrida verktyg. Enligt årsöversikten skulle Ryssland relativt snabbt kunna samla större styrkor i Sveriges närområde om landet mobiliserar, kan flytta resurser från ett nedtrappat krig i Ukraina och omdisponerar resurser från andra delar av Ryssland.

Den bedömningen har en viktig konsekvens för diskussionen om ett framtida eldupphör eller en nedtrappning i Ukraina. Minskad stridsintensitet i Ukraina innebär inte automatiskt en motsvarande minskning av det militära hotet mot övriga Europa. Om resurser frigörs från Ukrainakriget kan förutsättningarna för rysk styrkeuppbyggnad i andra områden förändras. Detta är inte ett påstående om att ett angrepp mot Nato kommer att ske, utan en beskrivning av den militära omfördelningsmöjlighet som Must uttryckligen identifierar.

Must har dessutom under 2026 fortsatt att beskriva kombinationen av krigföring i Ukraina, hybrida åtgärder mot EU- och Natoländer och prioriterad militär uppbyggnad i Sveriges närområde. I april 2026 uppgav Must-chefen Thomas Nilsson att de ryska ekonomiska problemen inte hade förändrat Rysslands målsättningar med kriget i Ukraina eller den ryska hållningen gentemot Nato- och EU-länder, även om ekonomiska begränsningar påverkar vilken militär förmåga som kan byggas upp och hur snabbt detta kan ske.

Hybridkrigföringens strategiska funktion

Den ryska användningen av hybrida metoder bör bedömas mot bakgrund av den strategiska konfrontationen med Nato och Rysslands strävan att påverka väst utan att utlösa en öppen militär konflikt med alliansen. Verksamhet under tröskeln för väpnat angrepp skapar möjligheter att påverka motståndaren utan att omedelbart utlösa de politiska och militära konsekvenser som följer av ett öppet väpnat angrepp. Cyberoperationer, underrättelseinhämtning, påverkan, sabotage och användning av ombud kan dessutom genomföras med varierande grad av förnekbarhet.

Denna förnekbarhet har ett operativt värde. Om ansvarsförhållandet efter en incident är oklart måste den utsatta staten först fastställa vad som har inträffat, vem som ligger bakom händelsen och vilken svarsåtgärd som är proportionerlig. Osäkerheten kan fördröja beslut, försvåra samordning mellan allierade och skapa utrymme för motstridiga informationsbilder.

Hybridverksamheten kan därför fylla en strategisk funktion även när den direkta materiella skadan är begränsad. Åtgärder som skapar osäkerhet om infrastruktur, politiska processer, myndigheters informationssäkerhet eller den egna statens förmåga att skydda centrala funktioner kan påverka samhällelig motståndskraft utan att något formellt krigstillstånd uppstår. Nato har uttryckligen beskrivit sabotage, cyberverksamhet, elektroniska störningar, desinformation, politisk påverkan och ekonomiska påtryckningar som delar av den ryska verksamheten mot de allierade.

Attribution som analytisk skiljelinje

Samtidigt uppstår en betydande analytisk risk om varje brand, kabelskada, teknisk störning eller säkerhetsincident automatiskt tillskrivs Ryssland. Säkerhetspolisen har uttryckligen varnat för denna typ av slutsatser och framhållit att felaktig attribution kan bidra till oro, eskalering och felaktig användning av samhällsresurser. En motståndare kan därigenom få strategisk effekt även från händelser som denne inte själv har orsakat.

En hållbar öppen underrättelseanalys kräver därför tydlig skillnad mellan konstaterad attribution, officiell säkerhetsbedömning och obekräftad misstanke. Den SVR-styrda underrättelseoperation som Säkerhetspolisen offentliggjorde den 10 augusti 2026 tillhör den första kategorin eftersom myndigheten uttryckligen har identifierat den ryska underrättelsetjänsten som ansvarig. Det generella sabotagehotet från Ryssland tillhör den andra kategorin eftersom det bygger på en offentlig myndighetsbedömning av hotbilden. Misstänkta svenska sabotage där någon koppling till främmande makt inte har kunnat fastställas tillhör den tredje kategorin.

Skillnaden är inte endast metodologisk. Den avgör om en analys kan granskas och återanvändas av andra. Öppen underrättelseinformation förlorar sitt värde om bedömningar presenteras som fastställda fakta eller om osäkra uppgifter ges samma status som offentlig attribution från en säkerhetsmyndighet. En hög beviströskel stärker därför snarare än försvagar slutsatsen när flera oberoende och officiella källor beskriver samma strategiska utveckling.

Angrepp mot Europa 2022–2026

Två utvecklingslinjer möts

Det samlade materialet visar två samtidiga utvecklingslinjer. Den första består av rysk verksamhet under tröskeln för ett öppet väpnat angrepp. Underrättelseinhämtning, cyberoperationer, sabotagehot, informationspåverkan och verksamhet genom ombud används mot europeiska stater och mot de strukturer som bidrar till västs stöd till Ukraina. Säkerhetspolisen, Must och Nato beskriver denna utveckling från olika institutionella utgångspunkter men identifierar samma grundläggande problem.

Den andra utvecklingslinjen består av en långsiktig rysk militär återuppbyggnad. Must bedömer att Rysslands militära förmåga i Sveriges närområde kommer att öka och att landet utgör det dimensionerande militära hotet mot Sverige och Nato. Samtidigt konstateras att Ryssland redan har förmåga att störa civila och militära funktioner genom både militära och hybrida verktyg.

Dessa utvecklingslinjer bör inte behandlas som separata fenomen. Kriget i Ukraina binder betydande ryska militära resurser, medan underrättelseverksamhet, cyberoperationer och andra hybrida metoder kan användas mot de stater som finansierar, producerar och transporterar stöd till Ukraina. Om den konventionella ryska förmågan ökar samtidigt som verksamheten under tröskeln för väpnat angrepp fortsätter skapas ett säkerhetsläge där både militär beredskap och motståndskraft i det civila samhället får större betydelse.

Ukraina är fortfarande platsen för det fullskaliga ryska anfallskriget. Det innebär emellertid inte att den ryska säkerhetspolitiska konfrontationen begränsas till Ukrainas territorium. Officiellt verifierade operationer, säkerhetstjänsternas hotbedömningar och den dokumenterade ryska militära återuppbyggnaden visar att den strategiska konkurrensen redan omfattar Europa i vidare mening. Den SVR-operation som Säkerhetspolisen offentliggjorde i augusti 2026 är därför betydelsefull inte därför att den ensam förändrar hotbilden, utan därför att den utgör ytterligare en verifierad del av ett betydligt större mönster.