Hoppa till innehåll

Nr 09

2026

Insikter inom informationssäkerhet

Nyheter, guider och analyser om Cybersäkerhetslagen (NIS2), ISO 27001, GDPR och andra säkerhetsämnen.

Boka kostnadsfritt samtal Till arkivet

Här visas 15 artiklar. 6 finns kvar i arkivet, på oförändrade adresser.

artiklar i kategorin "" med taggen "" som matchar ""

Den sårbarhet som Microsofts skydd oftast larmade om är från 2020

Del 1 av 4 i Obriums genomlysning av Microsoft Digital Defense Report 2026, med Microsofts egna siffror. Av de fem sårbarheter som Microsofts skydd oftast larmade om stod en från 2020 ensam för 58 procent av deras sammanlagda larm. Min rekommendation är att ledningen varje kvartal får veta två saker: hur snabbt system som nås från internet och system som styr inloggningen får sina säkerhetsuppdateringar, och hur gammal den äldsta öppna allvarliga sårbarheten är.

Senaste 12 min läsning Ledningens ansvar
Läs artikeln
Ledningens ansvar

Den sårbarhet som Microsofts skydd oftast larmade om är från 2020

Del 1 av 4 i Obriums genomlysning av Microsoft Digital Defense Report 2026, med Microsofts egna siffror. Av de fem sårbarheter som Microsofts skydd oftast larmade om stod en från 2020 ensam för 58 procent av deras sammanlagda larm. Min rekommendation är att ledningen varje kvartal får veta två saker: hur snabbt system som nås från internet och system som styr inloggningen får sina säkerhetsuppdateringar, och hur gammal den äldsta öppna allvarliga sårbarheten är.

Läs mer om Den sårbarhet som Microsofts skydd oftast larmade om är från 2020
Cybersäkerhetslagen

Vem har bestämt hur länge verksamheten får vara utan sina system?

Enligt MCFFS 2026:11 (3 kap. 15 §) ska en verksamhetsutövare för produktionsmiljön fastställa acceptabla tider för otillgänglighet och bristande funktionalitet för informationsbehandling. Föreskriften säger inte hur tiderna tas fram. Min rekommendation är att ni sätter en gräns för hur länge verksamheten får vara utan sina system.

Läs mer om Vem har bestämt hur länge verksamheten får vara utan sina system?
Cybersäkerhetslagen

När tillsynsmyndigheten vill skanna era system

Vill tillsynsmyndigheten skanna era system ska det ske i samarbete med er. Sedan den 1 oktober 2026 gäller MCFFS 2026:12, med bestämmelser om hur säkerhetsrevision och säkerhetsskanning enligt 3 kap. 5–7 §§ Cybersäkerhetslagen (SFS 2025:1506) ska genomföras. Föreskriften ställer inga egna krav på er, men lagen kräver att ni på begäran lämnar de uppgifter och handlingar som behövs för tillsynen.

Läs mer om När tillsynsmyndigheten vill skanna era system
Ledningens ansvar

Ledningens utbildning är genomförd. Håller den efter den 1 oktober?

Sedan den 1 oktober 2026 anger föreskriften MCFFS 2026:11 vad ledningens utbildning enligt Cybersäkerhetslagen ska ge: tre förmågor. En utbildning som inte ger de tre förmågorna kan vara ett åsidosättande som tillsynsmyndigheten ska ingripa mot, även om den är genomförd och intyget finns. Att bristen räknas som verksamhetsutövarens följer av lagens förarbete.

Läs mer om Ledningens utbildning är genomförd. Håller den efter den 1 oktober?
Cybersäkerhetslagen

MSP:er och molnleverantörer: vad som fortsatt gäller från den 1 oktober 2026

Från den 1 oktober 2026 gäller MCFFS 2026:11. Bedriver ni uteslutande sektorsverksamhet inom de fem sektorer som PTS har tillsyn över, omfattas ni i den föreskriften endast av kravet på ledningens utbildning i 2 kap. 1 §. Cybersäkerhetslagens egna skyldigheter, rapporteringen enligt 2 kap. i MCFFS 2026:8 och, för MSP:er och molnleverantörer, EU:s genomförandeförordning 2024/2690 gäller sedan tidigare och fortsätter att gälla.

Läs mer om MSP:er och molnleverantörer: vad som fortsatt gäller från den 1 oktober 2026
Cybersäkerhetslagen

Cybersäkerhetslagen: ordet ”ska” står också i föreskriftens allmänna råd

Från den 1 oktober 2026 gäller MCFFS 2026:11, som innehåller både bindande föreskrifter och allmänna råd som inte är tvingande. Den som söker på ordet ”ska” för att hitta kraven får också 27 träffar i råden, bland annat i listan över vad avtal om utkontraktering bör reglera. Vår läsning är att en mening under rubriken Allmänna råd är ett råd, oavsett vilket verb den använder.

Läs mer om Cybersäkerhetslagen: ordet ”ska” står också i föreskriftens allmänna råd
GDPR

Miljödata fick sanktionsavgift trots tvåfaktorsautentisering och kryptering

Miljödata hade tvåfaktorsautentisering, kryptering, en installationsprocess och övervakning. IMY bedömer ändå att bolaget brutit mot artikel 32 i Dataskyddsförordningen. Myndigheten granskar nu om tre av kunderna, två kommuner och en region, själva har vidtagit lämpliga säkerhetsåtgärder. Det som avgjorde var två åtgärder som saknades: kontroll av komponentens version och automatisk realtidsövervakning.

Läs mer om Miljödata fick sanktionsavgift trots tvåfaktorsautentisering och kryptering
Cybersäkerhetslagen

Raden i riskregistret som säger accepterad utan att säga av vem

Att acceptera en risk är ett fullgott val, men det kräver att en namngiven person faktiskt fattar beslutet. Enligt ISO 27001 är det riskägarna som godkänner behandlingsplanen och accepterar den risk som blir kvar. Föreskriften känner inte ens begreppet riskägare, och den skillnaden avgör vem som ska skriva under.

Läs mer om Raden i riskregistret som säger accepterad utan att säga av vem
Cybersäkerhetslagen

Backupen ni aldrig återställt är ett antagande

På frågan om kontinuitet kommer ofta svaret "vi har backup". Det svarar på en annan fråga. Enligt MCFFS 2026:11 (3 kap. 15 §) ska en verksamhetsutövare för produktionsmiljön fastställa acceptabla tider för otillgänglighet och bristande funktionalitet för informationsbehandling. Kravet gäller från den 1 oktober 2026, och det kräver något annat än att backupen finns.

Läs mer om Backupen ni aldrig återställt är ett antagande
Cybersäkerhetslagen

Den 1 oktober blir det mätbart vad Cybersäkerhetslagen kräver

MCFFS 2026:11 och 2026:12 träder i kraft den 1 oktober 2026. Fram till dess mäter ni mot lagens tio rubriker. Efter det står det i MCFFS 2026:11 vad varje rubrik faktiskt kräver, och den som uteslutande bedriver sektorsverksamhet inom fem sektorer är undantagen från nästan hela den föreskriften, men inte från kravet på ledningens utbildning.

Läs mer om Den 1 oktober blir det mätbart vad Cybersäkerhetslagen kräver

Inga artiklar hittades

Prova att ändra filter eller sökord.

Sök i arkivet

Här visas 15 artiklar. 6 finns kvar i arkivet.

Till arkivet

Behöver ni hjälp med säkerheten?

Boka ett kostnadsfritt samtal så diskuterar vi era utmaningar.

Kontakta oss