När en explosivladdad drönare hittades vid Leipzig/Halle-flygplatsen sommaren 2026 såg händelsen först ut som ännu en svårtolkad incident i Europas växande gråzon. Den tyska regeringen har därefter pekat ut Ryssland som ansvarigt, något Moskva förnekar. Samtidigt utreds nya sabotage mot tysk elinfrastruktur utan att någon statlig uppdragsgivare har kunnat fastställas.
Just den skillnaden säger mycket om hur hybridkrig fungerar.
En stat behöver inte skicka soldater över en gräns för att angripa ett annat land. Den kan störa GPS-signaler, försöka slå ut elnät, angripa myndigheter digitalt, sprida desinformation, sabotera transporter eller betala mellanhänder för att utföra operationer som ser ut som vanlig kriminalitet.
Målet är ofta att orsaka skada utan att ge motståndaren ett tydligt ögonblick då den kan säga: nu har kriget börjat.
Och det finns ingen enkel gräns.
Nato har slagit fast att både omfattande cyberangrepp och andra hybridattacker i vissa fall kan vara så allvarliga att de betraktas som ett väpnat angrepp och därmed kan aktualisera artikel 5. Men varje situation bedöms separat.
Det betyder att frågan inte egentligen är hur många sabotage ett land kan utsättas för innan det blir krig.
Frågan är hur stora konsekvenserna blir, vem som ligger bakom och om angreppet till slut får samma verkan som ett militärt angrepp.
Vad betyder hybridkrig?
Hybridkrig är ett samlingsbegrepp för konflikter där flera olika metoder används samtidigt för att påverka, försvaga eller destabilisera en motståndare.
Det kan handla om sådant som normalt förknippas med krig:
- militära hot
- underrättelseoperationer
- sabotage
- angrepp mot kritisk infrastruktur
Men också om metoder som var för sig kan se ut som något helt annat:
- cyberattacker
- desinformation
- ekonomiska påtryckningar
- politiska påverkansoperationer
- GPS-störningar
- rekrytering av kriminella eller andra mellanhänder
- spionage
- falska identiteter och digitala propagandanätverk
Nato beskriver hybridhot som kombinationer av militära och icke-militära, öppna och dolda metoder.
Det viktigaste är alltså inte vilket verktyg som används.
Det viktiga är hur verktygen kombineras.
Ett cyberangrepp kan störa ett elbolag. Desinformation kan samtidigt få människor att tro att myndigheterna tappat kontrollen. Sabotage kan slå ut en järnvägsförbindelse. Ett diplomatiskt eller ekonomiskt hot kan öka pressen ytterligare.
Ingen enskild del behöver vara tillräcklig för att starta ett krig.
Tillsammans kan de ändå få mycket stora effekter.
Hela idén är att hålla sig under krigströskeln
Hybridkrigföring fungerar bäst när den angripne tvingas tveka.
Vid ett traditionellt militärt angrepp är situationen relativt tydlig. Om en främmande armé passerar Sveriges gräns eller robotar avfyras mot svenska städer finns det knappast någon tvekan om vad som händer.
Ett hybridangrepp ser annorlunda ut.
En kabel går sönder.
En transformatorstation brinner.
Ett IT-system slutar fungera.
GPS-signaler blir opålitliga.
Någon grips efter att ha fotograferat ett försvarsobjekt.
Ett anonymt konto sprider falska uppgifter om en svensk myndighet.
Är det olyckor, kriminalitet, aktivism, spionage eller delar av en statligt organiserad operation?
Det är just den osäkerheten en angripare kan vilja skapa.
Om varje incident går att förklara separat blir det också svårare att samla politiskt stöd för kraftfulla motåtgärder.
Varför använder stater hybridmetoder?
Den stora fördelen är att angriparen kan orsaka betydande problem utan att behöva ta samma risk som vid ett öppet militärt angrepp.
Angriparen kan förneka allt
Om soldater med nationsbeteckningar spränger en järnväg är ansvaret relativt enkelt att fastställa.
Om en underrättelsetjänst i stället rekryterar en person via nätet, som sedan betalar en annan person för att utföra sabotaget, blir beviskedjan betydligt svårare.
Staten bakom operationen kan förneka all inblandning.
Kostnaden kan vara mycket låg
Det krävs inte en armé för att störa ett modernt samhälle.
En lyckad cyberattack kan påverka tusentals företag eller hushåll. En brand vid rätt teknisk anläggning kan slå ut viktig infrastruktur. En skadad kabel kan påverka internationell kommunikation.
Angriparens investering kan vara liten jämfört med den skada som uppstår.
Motståndaren tvingas sprida sina resurser
Om ett land samtidigt måste skydda kraftverk, hamnar, järnvägar, kablar, datacenter, myndigheter och flygplatser blir själva försvarsuppgiften enorm.
Det räcker ibland att skapa osäkerhet om vad som kan bli nästa mål.
Samhällets förtroende kan angripas
Hybridoperationer behöver inte enbart syfta till fysisk förstörelse.
En kampanj kan också försöka få människor att misstro regeringen, myndigheter, medier eller allierade.
Om ett sabotage följs av desinformation om varför det skedde och vem som bär skulden blir den psykologiska effekten större.
De tyska fallen visar problemet
Händelserna i Tyskland under 2026 illustrerar två olika delar av hybridproblematiken.
Vid Leipzig/Halle-flygplatsen hittades en explosivladdad drönare i närheten av landningsbanan. Den tyska regeringen har därefter pekat ut Ryssland som ansvarigt för operationen. Ryssland förnekar anklagelsen.
I andra nya tyska fall har elinfrastruktur utsatts för sabotage, men någon utländsk uppdragsgivare har ännu inte fastställts.
Skillnaden är avgörande.
Att kunna säga att något är sabotage är en sak.
Att kunna säga vem som beställde det är något helt annat.
Det är därför varje incident måste bedömas för sig.
Att Europa utsätts för ett växande hybridhot innebär inte att varje kabelbrott, brand eller tekniskt haveri automatiskt kan tillskrivas Ryssland eller någon annan stat.
Östersjökablarna visar hur svårt det kan bli
Skador på undervattenskablar i Östersjön har blivit en av Europas mest uppmärksammade säkerhetsfrågor.
Kablar på havsbotten bär stora delar av den digitala kommunikationen mellan länder. Där finns också viktig energiinfrastruktur.
Skador kan därför få både ekonomiska och säkerhetspolitiska följder.
Men en kabel kan skadas på flera sätt.
Ett fartyg kan dra ett ankare över havsbotten av misstag.
En befälhavare kan agera vårdslöst.
Eller så kan samma rörelse göras med avsikt.
Att bevisa skillnaden är svårt.
Därför har Nato förstärkt övervakningen av kritisk infrastruktur i Östersjön genom bland annat Baltic Sentry.
Det är ett exempel på hur alliansen kan reagera på hybridrisker långt innan artikel 5 blir aktuell.
GPS-störningar är ett annat typiskt gråzonsvapen
Satellitnavigation används långt utanför mobiltelefonernas kartappar.
Flyg, sjöfart, transporter och många tekniska system är beroende av fungerande GNSS-signaler.
Två vanliga störmetoder är:
Jamming: signalen störs så att mottagaren inte längre kan få en tillförlitlig position.
Spoofing: falska signaler skickas ut så att mottagaren tror att den befinner sig på en annan plats än den faktiskt gör.
Europeiska myndigheter har under de senaste åren registrerat omfattande störningar kring Östersjöområdet och EU:s östra gräns. Ryssland har pekats ut som ansvarigt för delar av verksamheten.
Men även här uppstår tröskelfrågan.
En störd GPS-signal är normalt inte ett väpnat angrepp.
Om samma störningar däremot skulle orsaka omfattande flygolyckor, dödsfall eller slå ut centrala delar av ett lands transportsystem förändras bedömningen.
Samma tekniska metod kan alltså ligga mycket långt under krigströskeln i ett fall och få helt andra säkerhetspolitiska konsekvenser i ett annat.
Cyberattacker kan vara allt från spionage till krigföring
Cyberangrepp är kanske det tydligaste exemplet på varför gamla gränser mellan fred och krig blivit svårare att använda.
Ett intrång i ett myndighetssystem kan vara spionage.
Ett angrepp som tillfälligt slår ut en webbplats kan vara störande men begränsat.
Ett angrepp som stänger sjukhus, slår ut elförsörjning eller förstör fysisk utrustning kan däremot få konsekvenser som liknar ett traditionellt militärt angrepp.
När Ryssland invaderade Ukraina i februari 2022 utsattes Viasats satellitnät för ett stort cyberangrepp precis före den militära offensiven.
Cyberoperationen och den konventionella krigföringen gick då i praktiken ihop.
Det visar att ”cyber” inte är motsatsen till militärt krig.
Det kan vara en del av det.
Hur kan ett land veta vem som ligger bakom?
Attribution – att fastställa ansvar – är en av de största svårigheterna vid hybridangrepp.
Vid en cyberattack kan utredare bland annat analysera:
- skadlig kod
- servrar
- domänregistreringar
- digitala konton
- tidigare angreppsmönster
- kommunikationsvägar
- tekniska verktyg
- arbetstider och språk
- kopplingar till tidigare kända aktörer
Men tekniska bevis är sällan tillräckliga ensamma.
Kod kan stjälas.
Servrar kan kapas.
En angripare kan medvetet försöka lämna digitala spår som pekar mot någon annan.
Därför kombineras teknisk information ofta med polisarbete och underrättelser.
Vid ett fysiskt sabotage kan utredarna studera telefoner, betalningar, övervakningskameror, resor, fordon och kommunikation mellan de misstänkta.
Underrättelsetjänster kan dessutom ha tillgång till information som aldrig blir offentlig.
Det kan förklara varför en regering ibland pekar ut en främmande stat utan att samtidigt publicera hela bevisningen.
Mellanhänder gör allt svårare
En av de tydligaste utvecklingarna i Europas säkerhetsläge är användningen av människor som inte själva arbetar direkt för en främmande underrättelsetjänst.
De kan rekryteras via sociala medier eller meddelandetjänster för relativt enkla uppdrag:
fotografera en anläggning, transportera ett paket, vandaliserar något, starta en brand eller övervaka ett mål.
I vissa fall kan personen som utför uppdraget inte ens känna till hela operationens syfte.
Det ger den beställande staten ett extra lager av förnekbarhet.
Om gärningsmannen grips kan händelsen först se ut som ett vanligt brott.
Först när pengar, kontakter och kommunikation kartläggs kan en större struktur bli synlig.
Var går gränsen mellan hybridangrepp och krig?
Det finns ingen internationell regel som säger att exempelvis tre sabotage, två cyberangrepp eller ett visst antal dödsoffer automatiskt betyder krig.
I stället finns flera juridiska nivåer som lätt blandas ihop.
En fientlig handling behöver inte vara ett väpnat angrepp
Spionage, desinformation och ekonomiska påtryckningar kan vara fientliga handlingar utan att ge rätt till militärt självförsvar.
Ett land kan ändå svara.
Diplomater kan utvisas.
Tillgångar kan frysas.
Sanktioner kan införas.
Misstänkta kan gripas.
Cyberförsvaret kan förstärkas.
Militära styrkor kan flyttas.
Ett väpnat angrepp är en betydligt högre tröskel
FN-stadgan ger stater rätt till självförsvar när de utsätts för ett väpnat angrepp.
Det är också denna princip som ligger bakom Natos artikel 5.
Men ett väpnat angrepp måste inte nödvändigtvis utföras med bomber, robotar eller soldater.
Ett mycket omfattande cyberangrepp eller sabotage kan i teorin få samma konsekvenser.
Det är effekten som blir avgörande.
Kan ett cyberangrepp utlösa artikel 5?
Ja.
Nato har uttryckligen sagt att ett betydande cyberangrepp i vissa fall kan betraktas som ett väpnat angrepp.
Alliansen har också öppnat för att flera cyberangrepp tillsammans kan bli så allvarliga att deras kumulativa effekt når samma tröskel.
Men Nato har medvetet inte publicerat någon exakt formel.
Det finns därför ingen offentlig artikel 5-tabell där exempelvis ”två förstörda kraftverk” automatiskt ger ett visst svar.
Det skulle dessutom kunna hjälpa en motståndare.
Om Ryssland eller någon annan stat exakt visste att Nato tolererade skador upp till en viss nivå skulle angriparen kunna försöka hålla sig precis under den.
Den strategiska osäkerheten är därför även en del av Natos avskräckning.
Vad skulle kunna vara tillräckligt allvarligt?
Det måste bedömas från fall till fall, men flera faktorer blir uppenbart viktiga:
- hur många människor som dödas eller skadas
- hur omfattande den fysiska förstörelsen är
- om el, vatten, sjukvård eller kommunikation slås ut
- hur länge störningen varar
- om flera attacker sker tillsammans
- om de ingår i en tydligt samordnad kampanj
- om staten bakom operationen kan identifieras
- om angreppet sker samtidigt med militära hot eller andra operationer
En enskild desinformationskampanj ligger normalt mycket långt från artikel 5.
En begränsad cyberattack gör sannolikt också det.
En serie samordnade attacker som samtidigt slår ut elnät, telekommunikationer, järnväg och sjukhus i ett Natoland skulle däremot kunna bedömas helt annorlunda.
Särskilt om angreppen orsakar omfattande fysisk skada eller dödsfall.
Artikel 5 betyder inte automatiskt världskrig
Det finns en vanlig föreställning om att artikel 5 fungerar som en automatisk krigsknapp.
Så enkelt är det inte.
Om ett Natoland utsätts för ett väpnat angrepp betraktar alliansen det som ett angrepp mot samtliga medlemsländer.
Men varje medlemsland ska vidta de åtgärder som det bedömer nödvändiga.
Det kan innefatta militärt våld, men artikel 5 säger inte att varje medlemsland automatiskt måste skicka soldater eller börja bomba angriparen.
Svaret kan bestå av flera delar:
- militär förstärkning
- luftförsvar
- marin närvaro
- cyberoperationer
- underrättelsestöd
- logistiskt stöd
- ekonomiska åtgärder
- diplomatiska åtgärder
Hur svaret ser ut beror på själva angreppet.
Artikel 5 har hittills bara åberopats en gång, efter terrorattackerna mot USA den 11 september 2001.
Artikel 4 kan bli viktig långt tidigare
Nato har också artikel 4.
Den gör det möjligt för medlemsländerna att begära konsultationer när deras territoriella integritet, politiska oberoende eller säkerhet hotas.
Det innebär att Nato kan börja agera gemensamt långt innan man bedömer att artikel 5-tröskeln har passerats.
I en långvarig hybridkampanj kan ett möjligt förlopp därför snarare se ut så här:
nationella utredningar och säkerhetsåtgärder → samarbete inom EU och Nato → artikel 4-konsultationer → militär och civil förstärkning → eventuellt artikel 5 om angreppen blir tillräckligt allvarliga.
Sverige befinner sig redan i hybridzonens centrum
Sverige är ett särskilt intressant exempel.
Landets egna säkerhetsbedömningar utgår från att främmande makt kan försöka påverka Sverige med metoder som ligger under tröskeln för ett väpnat angrepp.
Det handlar bland annat om:
- cyberangrepp
- underrättelseverksamhet
- sabotage
- påverkan
- desinformation
- hot mot kritisk infrastruktur
- ekonomiska påtryckningar
Säkerhetspolisen har beskrivit Ryssland som ett av de främsta statliga hoten mot Sverige.
Säpo har samtidigt varit försiktig med att tillskriva konkreta fysiska sabotage.
Misstänkta händelser vid exempelvis undervattenskablar, elstationer och vattenanläggningar har undersökts utan att de aktuella fysiska sabotagen kunnat knytas till främmande makt.
Det är viktigt.
Ett seriöst försvar mot hybridkrig kräver inte bara vaksamhet.
Det kräver också att ett land klarar av att skilja verkliga statliga operationer från olyckor, vandalism och vanliga brott.
Vad är mest utsatt i Sverige?
Det finns ingen offentlig svensk lista där tänkbara mål rangordnas från ett till tio.
Men vissa samhällsfunktioner återkommer ofta i totalförsvarets planering:
Elförsörjningen. Ett modernt samhälle fungerar mycket kort tid utan elektricitet.
Telekommunikationer och internet. Kommunikation är central både för civilsamhället och försvaret.
Undervattenskablar. Sverige är beroende av internationella förbindelser över Östersjön.
Järnväg, vägar, hamnar och flygplatser. De behövs både för civil ekonomi och för militära transporter.
Vattenförsörjning. Driftstörningar kan snabbt få allvarliga konsekvenser.
Myndigheternas IT-system. Cyberattacker kan påverka allt från betalningar till offentlig service.
Försvarsindustri och militär logistik. Sveriges stöd till Ukraina och roll i Nato gör dessa funktioner strategiskt betydelsefulla.
Informationsmiljön. Påverkan kan riktas mot val, myndigheter, medier och befolkningens förtroende.
Det är alltså inte nödvändigtvis militära baser som är de enda intressanta målen.
Ett hybridangrepp kan vara effektivt just genom att angripa den civila infrastrukturen som hela samhället är beroende av.
Vad förändrade Sveriges Nato-medlemskap?
Sverige blev medlem i Nato den 7 mars 2024.
Sedan dess omfattas Sverige fullt ut av alliansens kollektiva försvar.
Om Sverige skulle utsättas för ett väpnat angrepp är det därför inte bara en svensk fråga.
Men den kanske viktigaste förändringen vid hybridhot sker långt före artikel 5.
Sverige kan dela underrättelser, samordna cyberförsvar, förstärka skyddet av Östersjön och få stöd från allierade redan under en pågående gråzonskampanj.
Nato-medlemskapet innebär alltså inte att varje sabotage i Sverige automatiskt blir en fråga om krig.
Det innebär att Sverige inte behöver möta en eskalerande kampanj ensamt.
Den som vill fördjupa sig i själva försvarsgarantin kan läsa vår guide om vad Nato och artikel 5 betyder för Sverige.
Sverige kan vara i konflikt utan att vara i krig
Det är kanske den viktigaste förändringen i hur säkerhet måste förstås.
Under lång tid var den förenklade bilden att ett land antingen befann sig i fred eller krig.
Hybridkrigföring fyller utrymmet däremellan.
Ett land kan under flera år utsättas för:
cyberangrepp, spionage, ekonomiska påtryckningar, sabotageförberedelser, informationsoperationer och försök att rekrytera agenter.
Samtidigt kan gränserna vara öppna, flygtrafiken fungera och ingen krigsförklaring ha utfärdats.
Det betyder inte att landet befinner sig i traditionellt krig.
Men det betyder inte heller att relationen till motståndaren kan beskrivas som normal fred.
Så hur mycket kan ett annat land angripa Sverige innan det blir krig?
Det mest korrekta svaret är att ingen på förhand kan ange en exakt gräns.
Ett sabotage blir inte automatiskt ett väpnat angrepp bara för att en främmande stat ligger bakom.
Inte heller en cyberattack.
Men samma metoder kan passera gränsen om konsekvenserna blir tillräckligt omfattande.
Ett statligt cyberangrepp som släcker en webbplats under några timmar och ett statligt cyberangrepp som under flera veckor slår ut Sveriges elförsörjning är juridiskt och säkerhetspolitiskt två helt olika situationer.
Samma sak gäller sabotage.
Att någon förstör en kabel och orsakar begränsade störningar behöver inte leda till artikel 5.
En samordnad statlig kampanj som förstör kraftverk, järnvägar och kommunikationer, dödar människor och lamslår landet skulle kunna göra det.
Det är därför hybridkrig är så attraktivt för en angripare.
Den försöker hela tiden hitta den högsta nivå av skada som går att orsaka utan att skapa ett tillräckligt tydligt och allvarligt angrepp för att motståndaren och dess allierade ska svara med full kraft.
Och det är också därför Europas många sabotage, cyberattacker och GPS-störningar är så svåra att bedöma.
Det avgörande är inte bara vad som har hänt.
Det avgörande är vem som gjorde det, varför det gjordes, vilka konsekvenser det fick och vad som händer härnäst.