Ett saboterat kraftverk, en kapad undervattenskabel eller en sprängladdad drönare behöver inte betyda att Nato går i krig. Men samma typer av angrepp kan, om konsekvenserna blir tillräckligt allvarliga, bedömas som ett väpnat angrepp och öppna för Natos kollektiva försvar. Problemet är att det inte finns någon offentlig gräns som säger exakt var tröskeln går.

Frågan har blivit ännu mer konkret efter det misslyckade drönarangreppet vid Leipzig/Halle-flygplatsen i Tyskland i augusti 2026.

En drönare med sprängladdning hittades i närheten av ett ukrainskt flygplan. Laddningen kunde oskadliggöras, men Tyskland har därefter pekat ut Ryssland som ansvarigt för operationen. Ryssland förnekar inblandning.

Trots den tyska anklagelsen om ett statligt styrt sabotage på ett Natolands territorium har händelsen inte utlöst artikel 5. Svaret har i stället bestått av bland annat diplomatiska åtgärder och krav på ytterligare europeiska motåtgärder.

Det illustrerar den kanske viktigaste saken att förstå om den moderna säkerhetspolitiska gråzonen:

Det finns ingen automatisk regel där ett ryskt sabotage blir ”krig” så snart vissa bestämda villkor är uppfyllda.

Nato bedömer varje situation för sig. Angreppets omfattning, konsekvenser, vem som ligger bakom och det säkerhetspolitiska sammanhanget spelar alla roll.

Samtidigt kan en motståndare inte utgå från att cyberattacker, sabotage eller andra hybrida metoder alltid ligger under artikel 5. Om effekten blir tillräckligt allvarlig kan också sådana angrepp behandlas som ett väpnat angrepp.

Hybridkrig är inte samma sak som krig i juridisk mening

Hybridkrig är ett användbart säkerhetspolitiskt begrepp, men det är inte en tydlig juridisk kategori med en egen fast tröskel.

Det beskriver snarare hur en stat eller annan aktör kombinerar flera verktyg:

• sabotage
• cyberattacker
• desinformation och påverkansoperationer
• spionage
• ekonomiska påtryckningar
• drönare
• angrepp mot infrastruktur
• irreguljära grupper eller ombud
• i vissa fall även reguljära militära styrkor

Syftet kan vara att skada ett annat land utan att genomföra en traditionell invasion.

Den som vill läsa bredare om själva fenomenet kan göra det i Hurbra:s guide om vad hybridkrig är och hur det fungerar.

En av hybridstrategins stora fördelar för angriparen är just osäkerheten.

Om en främmande stat skickar bombflyg över gränsen är situationen relativt tydlig. Om en transformatorstation exploderar, ett kabelsystem slutar fungera eller okända personer sätter eld på ett lager måste den utsatta staten först avgöra vad som faktiskt har hänt.

Var det en olycka?

Vanlig kriminalitet?

En extremistgrupp?

En privat aktör?

Eller en operation beordrad av en främmande stat?

Den osäkerheten kan fördröja och försvåra svaret.

Det finns flera olika trösklar – inte en enda gräns för ”krig”

När frågan ställs som ”när blir ett hybridangrepp ett krig?” uppstår ett problem: ordet krig används mycket bredare i vardagsspråket än i internationell rätt.

Det finns flera olika juridiska frågor.

En är om en stat har använt våld mot en annan.

En annan är om våldet är så allvarligt att det utgör ett väpnat angrepp, vilket kan ge rätt till självförsvar enligt FN-stadgan.

En tredje är om situationen innebär en internationell väpnad konflikt, vilket gör att krigets lagar blir tillämpliga.

Och för ett Natoland finns dessutom frågan om angreppet omfattas av artikel 5 i Washingtonfördraget.

Dessa trösklar sammanfaller inte alltid.

Ett begränsat våldsdåd mellan två stater kan exempelvis få betydelse för reglerna om väpnad konflikt utan att för den skull automatiskt betraktas som ett tillräckligt allvarligt väpnat angrepp för att Natos kollektiva försvar ska utlösas.

Det är därför missvisande att föreställa sig en enda juridisk linje där allt på ena sidan är fred och allt på den andra sidan är krig.

Vad säger Natos artikel 5 egentligen?

Artikel 5 är kärnan i Nato.

Principen är att ett väpnat angrepp mot en eller flera medlemsstater ska betraktas som ett angrepp mot dem alla.

Men den ofta använda beskrivningen ”en för alla, alla för en” döljer en viktig detalj.

Artikel 5 säger inte att alla medlemsländer automatiskt måste förklara krig mot angriparen.

Varje land ska bistå den angripna staten genom de åtgärder som landet självt bedömer vara nödvändiga. Det kan uttryckligen omfatta användning av militärt våld, men hjälpen behöver inte se likadan ut från alla allierade.

Ett land skulle exempelvis kunna bidra med:

• stridsförband
• luftförsvar
• fartyg eller flyg
• underrättelser
• cyberförsvar
• logistik
• transportkapacitet
• materiel
• andra former av stöd

Den exakta formuleringen och Natos egen förklaring finns hos Nato i organisationens genomgång av artikel 5 och det kollektiva försvaret.

Artikel 5 är därför både starkare och mer flexibel än en automatisk krigsförklaring.

Alla allierade har en skyldighet att reagera. Men fördraget låser inte varje land vid exakt samma militära svar.

Vem bestämmer om artikel 5 ska användas?

Det finns ingen automatisk Nato-mekanism som mäter ett angrepp och sedan slår på artikel 5.

Inte heller Natos generalsekreterare kan ensam aktivera den.

När en allvarlig situation uppstår är det medlemsländerna som politiskt måste bedöma vad som har hänt. Nordatlantiska rådet, där samtliga allierade är representerade, är Natos högsta politiska beslutsorgan och Nato fattar sina beslut genom konsensus.

Det angripna landet spelar naturligtvis en central roll.

Om Sverige utsätts för ett sabotage skulle den svenska regeringens bedömning, svensk underrättelseinformation och den svenska begäran om stöd väga tungt. Därefter kan information delas med de andra allierade och ligga till grund för den gemensamma bedömningen.

Det finns däremot ingen regel som säger att ett land först måste använda Natos artikel 4.

Artikel 4 gör det möjligt för ett medlemsland att begära konsultationer när det anser att dess territoriella integritet, politiska oberoende eller säkerhet är hotad. Den kan användas långt innan situationen når artikel 5.

Men artikel 4 är ingen obligatorisk förstation.

Måste alla Natoländer gå i krig om artikel 5 aktiveras?

Nej.

Det är en av de vanligaste missuppfattningarna om Nato.

Ett beslut om artikel 5 betyder att medlemsländerna erkänner att en allierad har utsatts för ett väpnat angrepp och att de ska hjälpa den utsatta staten.

Det betyder inte att exakt samma krigstillstånd automatiskt uppstår i samtliga medlemsländer eller att varje regering är skyldig att sätta in marktrupper.

Vilka konkreta åtgärder varje land vidtar avgörs inom ramen för fördraget, Natos gemensamma planering och respektive lands nationella beslutsordning.

För Sverige blir detta särskilt viktigt sedan landet blivit medlem i Nato. Hurbra har gått igenom de bredare konsekvenserna i guiden om vad Nato innebär för Sverige.

Att Sverige är allierat innebär en verklig försvarsförpliktelse.

Men artikel 5 fungerar fortfarande inte som en automatisk knapp som överför varje militärt beslut från Stockholm till Bryssel.

Artikel 5 har hittills bara använts en gång

Det mest kända exemplet visar dessutom hur viktig frågan om bevisning och attribution är.

Efter terrorattackerna i USA den 11 september 2001 förklarade Nato redan dagen efter att artikel 5 kunde bli tillämplig om det fastställdes att attacken hade styrts från utlandet.

Först efter att USA presenterat information för de allierade fastställde Nato att villkoret var uppfyllt.

Artikel 5 hade därmed för första – och hittills enda – gången aktualiserats.

Hurbra har en separat genomgång av 11 september-attackerna och följderna efter dem.

Processen säger något viktigt om ett framtida hybridangrepp.

Nato behöver inte nödvändigtvis vänta på en offentlig brottmålsrättegång där allt har bevisats bortom rimligt tvivel. Säkerhetspolitiska beslut kan bygga på underrättelseinformation som inte går att offentliggöra i sin helhet.

Men allierade måste ändå vara tillräckligt övertygade om vem som ligger bakom angreppet och vad som faktiskt har hänt.

Cyberattacker kan utlösa artikel 5

När Washingtonfördraget skrevs 1949 existerade naturligtvis inte dagens cyberhot.

Ändå har Nato klargjort att ett betydande cyberangrepp i vissa situationer kan betraktas som ett väpnat angrepp.

Samma princip gäller andra hybridoperationer.

Det är konsekvenserna som är avgörande, inte bara vilket vapen som används.

Föreställ dig två cyberattacker.

I det första fallet slås en kommuns webbplats ut i några timmar.

I det andra slås stora delar av ett lands elnät, betalningssystem och sjukhus ut samtidigt. Reservsystem havererar, människor dör och samhällsviktiga funktioner kan inte längre upprätthållas.

Båda är cyberattacker.

Men säkerhetspolitiskt och juridiskt är de helt olika händelser.

Ett cyberangrepp som orsakar effekter jämförbara med ett traditionellt militärt angrepp kan därför komma betydligt närmare artikel 5-tröskeln än ordet ”cyberattack” först antyder.

Det finns ingen offentlig tabell över hur mycket skada som krävs

Nato har medvetet inte fastställt en offentlig regel där ett visst antal döda, förstörda byggnader eller timmar utan elektricitet automatiskt betyder artikel 5.

Det skulle också ge potentiella angripare en mycket användbar manual.

Om gränsen exempelvis var offentligt fastställd till ett visst antal dödsfall skulle en motståndare kunna försöka dimensionera sina operationer precis under den.

I verkligheten måste flera saker vägas samman.

Fråga	Varför den spelar roll
Hur många dödas eller skadas?	Stora mänskliga konsekvenser gör angreppet allvarligare
Hur stor är den fysiska förstörelsen?	Ett förstört samhällssystem väger tyngre än begränsad skadegörelse
Hur länge påverkas landet?	Ett kort lokalt avbrott skiljer sig från långvarig nationell störning
Slås militära funktioner ut?	Angrepp på försvarsförmågan ligger nära klassiskt militärt våld
Är attackerna samordnade?	Flera mindre angrepp kan tillsammans få mycket stora konsekvenser
Vem ligger bakom?	Ett väpnat angrepp måste kunna kopplas till en relevant extern aktör
Vilket är sammanhanget?	Samma handling kan bedömas olika mitt under en större säkerhetskris

Det finns därför inget enkelt svar på frågan om ”hur mycket” en motståndare kan göra.

Flera små angrepp kan tillsammans förändra bedömningen

Gråzonen blir särskilt komplicerad när en motståndare arbetar stegvis.

En kabel kapas.

Några veckor senare brinner ett lager.

Sedan angrips ett energibolag digitalt.

Därefter upptäcks en sprängladdning på en flygplats.

Var och en av händelserna kan i isolering ligga under den nivå som normalt skulle betraktas som ett väpnat angrepp.

Men Nato har också öppnat för att en kumulativ serie av cyber- eller hybridaktiviteter kan få betydelse för bedömningen.

Det går alltså inte alltid att isolera varje incident och börja räkna från noll igen.

Om ett tydligt mönster visar att en främmande stat driver en sammanhängande kampanj som steg för steg orsakar allt större skada kan helheten bli viktigare än varje enskild explosion, cyberattack eller sabotagehandling.

Det är en central anledning till att hybridstrategier är riskfyllda även för angriparen.

Nästa begränsade angrepp kan bedömas tillsammans med de tidigare.

Hur säker måste Sverige vara på att Ryssland ligger bakom?

Det finns heller ingen enkel procentsats.

I ett svenskt brottmål gäller höga beviskrav för att döma en person. Säkerhetspolitiska beslut mellan stater fungerar på ett annat sätt.

Efter ett misstänkt sabotage skulle information kunna komma från flera håll:

• kriminaltekniska fynd
• signalspaning
• övervakningskameror
• digitala spår
• betalningar
• underrättelsekällor
• kommunikation mellan operatörer och uppdragsgivare
• information från andra Natoländer

En del skulle kunna offentliggöras.

Annat skulle behöva förbli hemligt för att skydda underrättelsemetoder och källor.

Det gör att regeringen och de allierade i teorin kan vara betydligt säkrare på vem som ligger bakom ett sabotage än vad allmänheten kan bedöma utifrån den öppna bevisningen.

Det var också en del av dynamiken efter den 11 september: Nato kunde fatta ett säkerhetspolitiskt beslut utifrån information som inte behövde publiceras i sin helhet.

Samtidigt är attribution avgörande.

Om Sverige inte vet om en explosion orsakades av en främmande stat, en kriminell organisation eller en ensam gärningsman blir det betydligt svårare att hävda att landet har utsatts för ett väpnat angrepp från en extern motståndare.

Scenario 1: Ett svenskt kraftverk saboteras

Anta att en sprängladdning detonerar vid ett stort svenskt kraftverk.

Ingen människa dödas. En del utrustning förstörs och några kommuner får elavbrott, men försörjningen återställs relativt snabbt.

Utredningen hittar starka tecken på att en grupp som arbetat på uppdrag av en främmande stat ligger bakom.

Det vore en extremt allvarlig säkerhetshändelse.

Men den mest sannolika omedelbara reaktionen vore inte artikel 5.

Sverige skulle kunna:

• höja beredskapen
• förstärka skyddet av annan kritisk infrastruktur
• dela underrättelser med allierade
• begära Nato-konsultationer
• vidta diplomatiska åtgärder
• driva EU-sanktioner
• förstärka militär närvaro på utsatta platser
• genomföra andra proportionerliga motåtgärder

Ändra sedan scenariot.

Samma typ av attack slår ut stora delar av landets elproduktion under lång tid. Sjukhus får problem, transportsystem kollapsar och människor dör.

Då börjar konsekvenserna likna dem som ett omfattande konventionellt militärt angrepp skulle kunna åstadkomma.

Frågan om ett väpnat angrepp blir då betydligt mer konkret.

Scenario 2: En svensk hamn angrips

Hamnar är ett annat tydligt exempel eftersom de både är civila och strategiska.

En mindre brand i ett lager, även om den orsakas av en främmande makt, är inte samma sak som att en stat genom flera sprängningar förstör en av Sveriges viktigaste hamnar och slår ut avgörande Nato-logistik.

I det senare fallet kan angreppet få direkt betydelse för Sveriges och alliansens försvarsförmåga.

Återigen finns ingen enkel regel där ordet ”hamn” automatiskt betyder artikel 5.

Det viktiga är vad attacken faktiskt gör.

Scenario 3: En svensk militär anläggning saboteras

Ett statligt styrt angrepp mot Försvarsmakten ligger närmare traditionellt mellanstatligt våld.

Men även här spelar omfattningen roll.

En person försöker sabotera ett militärt fordon och misslyckas.

Det är en situation.

En serie sprängladdningar dödar svensk militär personal, förstör ledningsfunktioner och gör en viktig flygbas obrukbar.

Det är en helt annan.

Det senare scenariot skulle mycket snabbt föra diskussionen närmare såväl Sveriges rätt till självförsvar som artikel 5.

Scenario 4: En undervattenskabel kapas

Östersjön illustrerar ytterligare en komplikation.

En kabel som förbinder Sverige med ett annat land kan vara avgörande för elektricitet eller kommunikationer.

Men var den angrips spelar också roll.

Ett sabotage mot en kabelstation på svenskt territorium är tydligt geografiskt knutet till Sverige.

Ett kabelsegment ute på internationellt vatten är juridiskt mer komplicerat.

Washingtonfördragets geografiska bestämmelser omfattar medlemsländernas territorier och bland annat deras fartyg, flygplan och styrkor inom vissa områden. Alla civila anläggningar var som helst på internationellt vatten omfattas inte automatiskt på samma enkla sätt.

Det betyder däremot inte att Nato måste vänta passivt.

Alliansen kan förstärka marin närvaro, övervakning och skydd av undervattensinfrastruktur långt innan artikel 5 kommer på fråga.

Det är precis därför Östersjön blivit en så viktig arena för modern hybridförsvarspolitik.

Vad händer innan artikel 5?

Den kanske största missuppfattningen i hela debatten är att alternativen skulle vara:

antingen artikel 5 eller ingenting.

I verkligheten finns en lång skala av möjliga svar.

Efter ett misstänkt statligt sabotage i Sverige skulle processen kunna se ungefär ut så här:

Upptäckt och utredning → skyddsåtgärder → underrättelsesamarbete → höjd beredskap → diplomatiska eller ekonomiska motåtgärder → artikel 4-konsultationer → förstärkt Nato-närvaro → kollektivt försvar om situationen bedöms som ett väpnat angrepp.

Många steg kan dessutom ske parallellt.

Nato kan placera fler fartyg eller flygplan i området.

Allierade kan skicka cyberexperter.

Sverige kan förstärka kritisk infrastruktur.

EU kan införa sanktioner.

Diplomater kan utvisas.

Försvarsmakten kan höja beredskapen.

Allt detta kan ske utan att artikel 5 någonsin behöver användas.

Det är också vad som gör det möjligt att svara på hybridangrepp utan att varje incident automatiskt utvecklas till ett storkrig.

Leipzig visar hur gråzonen fungerar

Händelsen vid Leipzig/Halle-flygplatsen är därför mer intressant än bara frågan om en enskild drönare.

Tyskland hävdar att Ryssland låg bakom ett försök att genomföra ett explosivt angrepp på tyskt territorium.

Ryssland förnekar det.

Nato beskriver händelsen som en del av den ryska hybridhotbilden.

Men svaret har hittills legat långt under kollektiv militär krigföring.

Hurbra har en separat genomgång av drönarangreppet vid Leipzig/Halle och den tyska anklagelsen mot Ryssland.

Fallet visar att även en operation med sprängämnen på ett Natolands territorium kan hanteras under artikel 5-tröskeln när skadan är begränsad.

Det innebär inte att samma bedömning automatiskt hade gjorts om sprängladdningen detonerat och dödat många människor.

Varför berättar Nato inte exakt var gränsen går?

Det finns ett strategiskt värde i osäkerheten.

En motståndare som vet exakt vad som krävs för att utlösa artikel 5 kan försöka optimera sina operationer för att alltid stanna precis under gränsen.

Om Nato i stället säger att även cyber- och hybridangrepp kan omfattas och att varje situation bedöms från fall till fall blir kalkylen svårare.

Den ryska beslutsfattare som planerar ett sabotage kan inte veta säkert:

Kommer detta betraktas isolerat?

Kommer Nato väga in de fem tidigare incidenterna?

Hur mycket underrättelseinformation har Sverige och andra allierade?

Kommer en attack som var tänkt att orsaka begränsad skada att få oväntat stora konsekvenser?

Kommer människor att dö?

Kommer operationen att slå ut en militärt avgörande funktion?

Det finns alltså en gråzon, men inte en garanterad säker zon.

Hur mycket kan en motståndare angripa Sverige utan att utlösa krig?

Ganska mycket kan inträffa utan att artikel 5 aktiveras.

Spionage.

Desinformation.

Cyberintrång.

GPS-störningar.

Ekonomiska påtryckningar.

Enskilda sabotage.

Förberedelser för sabotage.

Påverkansoperationer.

Alla kan vara mycket allvarliga och kräva kraftfulla motåtgärder utan att juridiskt betraktas som ett väpnat angrepp.

Även en fysisk attack kan ligga under tröskeln om skadan är begränsad.

Men därifrån går det inte att dra slutsatsen att hybridangrepp alltid kan fortsätta utan risk för kollektivt försvar.

När konsekvenserna växer förändras bedömningen.

När flera angrepp bildar en kampanj förändras den ytterligare.

Och när en stat med hög säkerhet kan kopplas till handlingar som dödar människor, förstör samhällsviktig infrastruktur eller slår ut militär kapacitet kan skillnaden mellan ”hybridangrepp” och ”väpnat angrepp” snabbt bli mycket mindre.

Det avgörande är därför inte om angriparen använder en stridsvagn, en hackare, en sabotör eller en drönare.

Det avgörande är vad angreppet gör, vem som ligger bakom och hur Nato som allians bedömer helheten.

Det är också själva poängen med den strategiska osäkerheten.

En motståndare kan försöka hålla sig under gränsen för krig.

Men ingen utomstående kan på förhand veta exakt var nästa gräns kommer att dras.