Hoppa till innehåll

Nr 01

2026

Trygg informationssäkerhet för växande företag

Erfaren säkerhetsledning på deltid. Jag hjälper små och medelstora företag att prioritera säkerhetsarbetet, följa upp åtgärder och ge ledningen underlag för beslut.

Boka kostnadsfritt samtal Så kan jag hjälpa er

01 / Igenkänning

Känner du igen dig?

Replikerna kommer ur verkliga samtal med ledningar och IT-chefer.

  • ”Vi vet att vi måste göra något åt säkerheten, men vi vet inte var vi ska börja.”

  • ”Cybersäkerhetslagen gäller nu och vi vet inte riktigt vad den kräver av oss.”

  • ”Våra kunder kräver ISO 27001, men det verkar ouppnåeligt för ett företag i vår storlek.”

  • ”Vi är rädda att konsulter säljer in dyra system vi inte behöver.”

02 / Kärntjänsten

Vad är en deltids-CISO?

När säkerhetsfrågor hamnar mellan ledning och IT behövs någon som håller ihop prioritering och uppföljning. En deltids-CISO gör det under avtalad tid varje månad.

Jag leder och följer upp det avtalade säkerhetsarbetet enligt ert mandat. Er ledning beslutar om risker, resurser och åtgärder.

Jag återkommer varje månad till besluten, ansvariga och de frågor som fortfarande är öppna.

Läs mer om vCISO

  1. Senior säkerhetsledning

    Föreslår prioriteringar och följer upp arbetet med er uppdragsägare.

  2. Beslutsunderlag

    Risk- och åtgärdsregister, lägesbild varje månad och sammanfattning varje kvartal.

  3. Två faser

    Tre månaders etablering med 24 timmar per månad. Därefter prövar vi om 16 timmar per månad räcker.

03

Omfattas ni av cybersäkerhetslagen?

Arton sektorer omfattas, indelade i två bilagor. Bilagan avgör som huvudregel tillsammans med storleken om ni är väsentlig eller viktig verksamhetsutövare, och det är den klassningen som styr tillsynsform och sanktionstak. Som huvudregel krävs dessutom att verksamheten är minst medelstor, men flera undantag gäller oavsett storlek.

11 sektorer i bilaga 1 Bilaga 1. Som huvudregel väsentlig verksamhetsutövare om ni är större än ett medelstort företag, annars viktig. Väsentliga har förhandstillsyn, och för privata väsentliga är sanktionstaket högre.
  • Energi
  • Transport
  • Bankverksamhet
  • Finansmarknadsinfrastruktur
  • Hälso- och sjukvård
  • Dricksvatten
  • Avloppsvatten
  • Digital infrastruktur
  • Förvaltning av IKT-tjänster (mellan företag)
  • Offentlig förvaltning
  • Rymden
7 sektorer i bilaga 2 Bilaga 2. Som huvudregel viktiga verksamhetsutövare, med tillsyn i huvudsak i efterhand.
  • Post- och budtjänster
  • Avfallshantering
  • Kemikalier
  • Livsmedel
  • Tillverkning
  • Digitala leverantörer
  • Forskning

Cybersäkerhetslagen, 1 kap. 9 §. Klassningen styr tillsynsform och sanktionstak.

04

När något händer räknas timmarna

En betydande incident utlöser tre skilda frister. Den första fristen är så kort att rapporteringen måste vara förberedd innan något inträffar, inte utredas när larmet går.

  1. 24 timmar

    Upplysning

    Räknas från att ni fått kännedom om incidenten. Lämnas till CSIRT-enheten, sedan den 1 juli 2026 Försvarets radioanstalt, i Nationellt cybersäkerhetscenters cyberportal.

  2. 72 timmar

    Incidentanmälan

    Uppdaterade uppgifter, bland annat en bedömning av orsaken och påverkan på system. Tillhandahållare av betrodda tjänster har 24 timmar.

  3. 1 månad

    Slutrapport

    Senast en månad efter incidentanmälan. Pågår incidenten fortfarande lämnas i stället en lägesrapport, och slutrapporten senast en månad efter att incidenten hanterats.

Cybersäkerhetslagen, 2 kap. 5, 6 och 8 §§. Innehållskraven regleras i MCFFS 2026:8.

05 / Tjänster

Så hjälper vi er

Vi hjälper er att se vad som behöver göras först. Som deltids-CISO samordnar jag prioritering och uppföljning med er ledning och IT.

  1. Virtual CISO Kärntjänst En deltids-CISO som prioriterar med er, följer upp beslut och ger ledningen en lägesbild varje månad. Avtalad säkerhetsledning En kontaktpunkt Prioritering och uppföljning Ledningsrapportering
  2. Cybersäkerhetslagen Gäller sedan januari 2026 för organisationer inom 18 sektorer. Vi hjälper er förstå kraven, kartlägga nuläget och komma igång. Nulägesbedömning De tio säkerhetsområdena Prioriterad handlingsplan Anmälan till NCSC
  3. ISO 27001 Den internationella standarden för systematiskt informationssäkerhetsarbete. Använd den som ramverk eller gå hela vägen till certifiering. Nulägesbedömning Ledningssystem (LIS) Stöd vid certifiering Koppling till cybersäkerhetslagen
  4. GDPR och dataskydd Praktiskt dataskydd som fungerar i vardagen. Vi hjälper er med de tekniska och organisatoriska åtgärder som GDPR kräver. Tekniska och organisatoriska åtgärder Behandlingsregister Rutiner Leverantörsgranskning
  5. Utbildning och workshops Åtta tjänster, var och en med en egen sida: ledningsutbildning enligt cybersäkerhetslagens krav, säkerhetsanalys, fem praktiska workshops knutna till lagens säkerhetsområden och en workshop om dataskyddsförordningen. Styrelse och ledning Säkerhetsanalys Riskanalys Fem workshops till
Se alla tjänster

06 / Personen

Varför Obrium?

Jag heter Jörgen och har arbetat med IT och informationssäkerhet i över 25 år.

Som CIO och CISO i IoT-bolag, telekomkoncerner och konsultbolag har jag lärt mig vad som fungerar i praktiken och vad som bara ser bra ut i en presentation.

  1. Praktisk erfarenhet

    25 år i verkliga IT-miljöer, inte bara teorier från läroböcker.

  2. Prioritering efter affärsnytta

    Allt behöver inte göras på en gång. Jag hjälper er fokusera på det som ger mest nytta för er verksamhet.

  3. Tydlig kommunikation

    Ingen jargong. Jag förklarar så att ledningen förstår och kan fatta beslut.

  4. Långsiktigt partnerskap

    Jag bygger relationer och levererar inte bara rapporter. Målet är att ni ska bli bättre på egen hand, inte beroende av mig.

07 / Kunskapshubben

Insikter

Alla artiklar
  1. Ledningens ansvar Den sårbarhet som Microsofts skydd oftast larmade om är från 2020 Del 1 av 4 i Obriums genomlysning av Microsoft Digital Defense Report 2026, med Microsofts egna siffror. Av de fem sårbarheter som Microsofts skydd oftast larmade om stod en från 2020 ensam för 58 procent av deras sammanlagda larm. Min rekommendation är att ledningen varje kvartal får veta två saker: hur snabbt system som nås från internet och system som styr inloggningen får sina säkerhetsuppdateringar, och hur gammal den äldsta öppna allvarliga sårbarheten är.
  2. Cybersäkerhetslagen Vem har bestämt hur länge verksamheten får vara utan sina system? Enligt MCFFS 2026:11 (3 kap. 15 §) ska en verksamhetsutövare för produktionsmiljön fastställa acceptabla tider för otillgänglighet och bristande funktionalitet för informationsbehandling. Föreskriften säger inte hur tiderna tas fram. Min rekommendation är att ni sätter en gräns för hur länge verksamheten får vara utan sina system.
  3. Cybersäkerhetslagen När tillsynsmyndigheten vill skanna era system Vill tillsynsmyndigheten skanna era system ska det ske i samarbete med er. Sedan den 1 oktober 2026 gäller MCFFS 2026:12, med bestämmelser om hur säkerhetsrevision och säkerhetsskanning enligt 3 kap. 5–7 §§ Cybersäkerhetslagen (SFS 2025:1506) ska genomföras. Föreskriften ställer inga egna krav på er, men lagen kräver att ni på begäran lämnar de uppgifter och handlingar som behövs för tillsynen.

08

Vill ni veta var ni står?

Boka ett kostnadsfritt samtal så diskuterar vi er situation. Inga förpliktelser, bara ett ärligt samtal om vad som kan vara relevant för just er organisation.

Boka samtal Läs mer om våra tjänster