Cyberexperten varnar: Det räcker inte att försöka stoppa attacken

Cybersäkerhetslagen, som trädde i kraft den 15 januari 2026, gör frågan ännu mer aktuell. Den berör fler verksamheter än tidigare och kräver att ledningar tar större ansvar för riskhantering, säkerhetsåtgärder och incidentrapportering.

– Den största effekten mot cyberattacker får man genom att kombinera grundläggande säkerhetsåtgärder med god verksamhetsstyrning. Det börjar med att förstå vilka system och processer som är kritiska, vilka beroenden som finns och vem som har tillgång till vad, säger Åsa Schwarz.

”Utgå från att incidenter kommer att inträffa”

Hon rekommenderar att organisationer stärker identitets- och behörighetsstyrningen, använder flerfaktorsautentisering, segmenterar nätverk, loggar och övervakar händelser samt säkerhetskopierar information på ett säkert sätt. Men de behöver också förbereda sig för att hantera incidenter när skyddet inte räcker.

– Men i dagens hotlandskap räcker det inte att fokusera på att förhindra incidenter. Organisationer måste också utgå från att incidenter kommer att inträffa.

Därför uppmanar Åsa Schwarz organisationer att förena det förebyggande säkerhetsarbetet med kontinuitetsplanering och incidentberedskap. Hon ser också att många fortfarande underskattar hur beroende verksamheten är av olika system och tjänster.

– Många vet att exempelvis ett journalsystem är kritiskt, men betydligt färre har övat hur verksamheten ska fungera när journaler, e-post, telefoni, passersystem och filytor samtidigt blir otillgängliga. Det är i den typen av scenarier som verklig motståndskraft prövas, säger Åsa Schwarz.

Kalix visar behovet av praktisk beredskap

När Kalix kommun utsattes för en cyberattack tvingades verksamheten snabbt ställa om. Delar av kommunen gick över till manuellt arbete när systemen slutade fungera.

– Kalix är ett intressant fall och visar varför kontinuitetsarbete måste vara praktiskt. Det räcker inte att ha en plan i en digital mapp om hela miljön är otillgänglig. Planen måste vara känd, övad, utskriven där det behövs och möjlig att använda under stress, säger Åsa Schwarz.

I Kalix arbetade verksamheten med papper, penna och manuell planering när de digitala systemen låg nere. Åsa Schwarz betonar att organisationer också behöver kartlägga vilka alternativa it-stöd de kan använda vid en incident.

– Kan vi använda mobiler och andra kommunikationssystem istället som inte är beroende av kommunens nätverk och system, som ett exempel.

Cyberrisker måste bli en ledningsfråga

Hur kan ledning och verksamhet tillsammans göra cybersäkerhet till en del av det systematiska kvalitetsarbetet?

– Ledningen behöver behandla cyberrisker som verksamhetsrisker. Det innebär att sätta mål, definiera riskacceptans och prioritera vilka verksamheter och tjänster som måste återställas först vid en incident, säger Åsa Schwarz.

För kommuner ser hon en särskild nytta i att samla kvalitet, cybersäkerhet, kontinuitet och AI-styrning i ett gemensamt verksamhetsledningssystem.

– Då får ledningen en samlad bild av verksamhetens risker, beroenden och motståndskraft. Det minskar dubbelarbete och gör det lättare att omsätta kraven i Cybersäkerhetslagen (NIS2) och andra lagar till praktiskt verksamhetsarbete.

Åsas prioriteringslista

1. Kartlägg ansvar och kritiska verksamheter
   Kartlägg vilka verksamheter, bolag, förbund och leverantörer som berörs av cybersäkerhetslagen. Klargör vem som ansvarar och vad som är mest kritiskt.
2. Utveckla det som redan finns
   Många organisationer har redan grunden för ett systematiskt cybersäkerhetsarbete, exempelvis genom ledningssystem och standarder som Iso 27001. Utveckla och stärk det arbetet i stället för att börja om från början.
3. Utgå från att incidenter inträffar
   Cyberincidenter kan drabba alla organisationer. Därför behövs rutiner för att tidigt upptäcka avvikelser, begränsa skador och hantera incidenter. Säker åtkomst, övervakning och fungerande säkerhetskopior kan avgöra hur allvarliga konsekvenserna blir.
4. Skapa kontroll över det digitala landskapet
   Organisationen behöver ha koll på sina system, vilka verksamheter de stödjer, vem som har åtkomst och vilka beroenden som finns till leverantörer, nätverk och kritiska tjänster.
5. Begränsa åtkomsten
   Organisationer behöver begränsa risken för mänskliga misstag och bara ge den åtkomst som uppdraget kräver. Samtidigt måste medarbetare få använda relevant data, inte minst för AI. Spårbar och återkallelig åtkomst minskar attackytan och risken för spridning vid intrång.

Små kommuner kan behöva samarbeta

Vilka råd ger du organisationer eller kommuner som vill stärka cybersäkerhet och kontinuitet med begränsade resurser?

– Få kommuner har tillräckliga resurser och möjligheter till att attrahera rätt kompetens. Ett ytterligare problem är att området är stort och det är sällan en person kan kunna allt. Jag tror det bästa sättet är att samarbete mellan fler små kommuner och skapa en gemensam funktion för cybersäkerhet.