Sårbar organisation – varför hoppet inte är en strategi
Det är en obehaglig men nödvändig fråga att ställa sig: hur väl skyddad är egentligen din organisation? Inte i teorin, inte på pappret, utan i verkligheten, i dag?
I Säkerhetspolisens lägesbild för 2025–2026 konstateras att Sverige befinner sig i det allvarligaste säkerhetsläget på decennier. Ryssland pekas ut som det största hotet, med ett alltmer offensivt och riskbenäget agerande. Cyberangrepp med koppling till rysk underrättelse- och säkerhetstjänst har genomförts mot svenska mål, och sabotagehotet mot kritisk infrastruktur som el- och energi samt vattenanläggningar, undervattenskablar, är reellt. Våren 2025 försökte en prorysk aktivistgrupp genomföra ett "förstörande angrepp" mot ett värmeverk i Västsverige. Attacken misslyckades, men den illustrerar tydligt att hoten inte längre är abstrakta scenarier.
Sjukvården utsattes under hösten 2025 för i genomsnitt nästan 2 500 cyberattacker per vecka. Totalt ökade attackerna mot svenska organisationer med 165 procent under tredje kvartalet 2024 jämfört med samma period föregående år, den kraftigaste ökningen i hela Europa. Det är inte en tillfällig topp. Det är ett nytt normalläge.
Mot den bakgrunden är det svårt att förstå varför så många organisationer fortfarande förlitar sig på ad hoc-åtgärder och enstaka tekniska lösningar. MSB har i sina rapporter konstaterat att majoriteten av offentliga organisationer i Sverige inte ens når upp till grundläggande krav på cybersäkerhet. I privat sektor är bilden inte dramatiskt annorlunda, och det är ett problem som berör alla, inte bara de uppenbara måltavlorna.
Den 15 januari 2026 trädde den svenska cybersäkerhetslagen i kraft, den nationella implementeringen av EU:s NIS2-direktiv. Lagen ställer skarpare krav på riskhantering, incidentrapportering och, kanske viktigast, ledningsansvar. Styrelsen kan inte längre delegera cybersäkerhetsfrågan till IT-avdelningen och anse sig ha gjort sitt. VD och styrelse är personligen ansvariga för att arbetet bedrivs systematiskt. Sanktioner vid brister kan uppgå till tio miljoner euro eller två procent av den globala omsättningen.
Det finns ett beprövat svar på hur man faktiskt bygger ett hållbart skydd: ISO 27001. Standarden ger organisationen ett ledningssystem för informationssäkerhet, ett ISMS, som inte behandlar säkerhet som ett engångsprojekt, utan som en kontinuerlig process förankrad i verksamhetens ledning. Det är ett strukturerat sätt att identifiera vad som är skyddsvärt, bedöma riskerna och fatta välgrundade beslut om resurser och prioriteringar. Det täcker dessutom de krav som NIS2 ställer på ett naturligt sätt.
En sak som återkommande visar sig avgörande, och som underskattas i de flesta organisationer, är förmågan att granska sig själv inifrån med jämna mellanrum. Regelbundna revisioner, med tydliga syften, utförda av oberoende revisorer avslöjar luckor som kanske aldrig syns i den dagliga verksamheten: policydokument som ingen längre följer, rutiner som inte testats sedan de skrevs, system som patchas oregelbundet. Det är i just de luckorna angriparna hittar sin väg in. Att identifiera dessa glapp innan någon annan gör det är en av de mest effektiva investeringar en organisation kan göra.
Mitt i allt det komplexa finns egentligen en enkel sanning: det finns inte längre utrymme att invänta nästa incident för att ta säkerhetsarbetet på allvar.
Jag och mina kollegor arbetar dagligen med de här frågorna, och vet av erfarenhet att det systematiska arbetet, från nulägesanalys till certifiering och löpande förbättring, inte bara minskar risken. Det bygger den motståndskraft som faktiskt håller när det väl gäller.
Hotbilden är inte på väg att minska. Men en sårbar organisation är inte ett öde, det är ett val.
Sofia Larsson
Källor:
Säkerhetspolisen, Lägesbild 2025–2026 – sakerhetspolisen.se
Säkerhetspolisen, Cyberangrepp som verktyg – sakerhetspolisen.se
Regeringen, Regeringen vidtar åtgärder för att skydda operativa system från cyberhot (april 2026) – regeringen.se
Cybersäkerhetslagen (2025:1506), implementering av NIS2-direktivet, i kraft 15 januari 2026
Check Point Research, Q3 2024: Cyberattacker ökar med 165 % i Sverige – mynewsdesk.com
Check Point Research, Ransomware ökar – svenska organisationer utsattes för 1 845 attacker i veckan under oktober (2025) – mynewsdesk.com
MSB / SVT Nyheter, Ny rapport: Allvarliga brister i svenska myndigheters cybersäkerhet – svt.se
ISO/IEC 27001:2022, Ledningssystem för informationssäkerhet