Backupen ni aldrig återställt är ett antagande

Frågan gäller kontinuitet. Svaret som kommer är “vi har backup”.

Det är inte ett dåligt svar. Det är svaret på en annan fråga, och skillnaden mellan de två frågorna är den som avgör om verksamheten håller den dag något går sönder.

Två saker som förväxlas dagligen #

Säkerhetskopiering är en teknisk åtgärd som skyddar data.

Kontinuitetsplanering omfattar lokaler, personal, leverantörer, kommunikation och manuella rutiner för tiden innan tekniken är tillbaka. Det är arbetet med att hålla kritiska verksamhetsprocesser igång under en störning, inte bara att få tillbaka systemen efteråt.

Backup är alltså en del av kontinuitetsarbetet. Den är inte kontinuitetsarbetet.

Den praktiska konsekvensen märks först i skarpt läge. Data går att återställa, men ingen vet vem som ringer kunderna, var personalen ska sitta eller hur ordrar tas emot under de timmar eller dygn det tar. Den delen fanns aldrig nedskriven, för frågan om den ställdes aldrig.

Nästa upptäckt är obehagligare #

Backupen har aldrig återställts fullt ut.

Det är det vanligaste fyndet när någon faktiskt frågar. Kopian tas varje natt, larmet är grönt, och ingen har prövat att sätta tillbaka den. En säkerhetskopia som ingen prövat är ett antagande, inte ett skydd, och det visar sig vid sämsta tänkbara tillfälle: när den behövs.

Vad föreskriften faktiskt kräver från den 1 oktober 2026 #

Enligt 2 kap. 3 § andra stycket cybersäkerhetslagen ska säkerhetsåtgärderna ”åtminstone avse” tio uppräknade punkter. Den tredje punkten lyder ”kontinuitetshantering och krishantering”. Cybersäkerhetslagen har gällt sedan 15 januari 2026.

Sedan den 1 oktober 2026 preciserar MCFFS 2026:11 innehållet. I första stycket i föreskriftens 4 kap. 28 § står: ”För att minska konsekvenserna för verksamheten om informationen i system har förlorats, förvanskats eller på annat sätt blivit otillgänglig, ska verksamhetsutövaren säkerställa att informationen kan återställas inom fastställda acceptabla tider för otillgänglighet och bristande funktionalitet.”

Läs den meningen en gång till. Meningen förutsätter fastställda tider, och tillsammans med 3 kap. 15 § blir det två krav, inte ett:

1. Verksamhetsutövaren ska för produktionsmiljön fastställa acceptabla tider för otillgänglighet och bristande funktionalitet för informationsbehandling (3 kap. 15 §).
2. ”För att minska konsekvenserna för verksamheten om informationen i system har förlorats, förvanskats eller på annat sätt blivit otillgänglig, ska verksamhetsutövaren säkerställa att informationen kan återställas inom fastställda acceptabla tider för otillgänglighet och bristande funktionalitet.” (4 kap. 28 § första stycket)

Att kopian finns uppfyller inget av de två kraven. En verksamhetsutövare med perfekt fungerande backup och utan fastställda tider för produktionsmiljön uppfyller inte kravet i 3 kap. 15 §, och märker det först när någon frågar efter underlaget.

Obriums rekommendation: så tar ni fram tiderna #

Föreskriften säger inte hur tiderna tas fram. Obriums rekommendation är att tiderna tas fram genom en verksamhetskonsekvensanalys, i ISO 22301 kallad Business Impact Analysis. Verksamhetskonsekvensanalysen besvarar två frågor per process: vad händer om processen slutar fungera, och hur snabbt blir det ohållbart?

Svaren ger tre mått som sedan styr varje teknisk prioritering:

• MTPD, den längsta tid verksamheten över huvud taget klarar sig utan processen.
• RTO, målet för hur snabbt återställning ska ske.
• RPO, hur mycket data ni accepterar att förlora.

Obriums bedömning är att verksamheten beslutar om måtten. En IT-avdelning kan inte avgöra hur länge fakturering får ligga nere, men den kan planera återställningen efter den tid den har fått.

Rådet som svarar direkt mot utpressningsangrepp #

Föreskriften ger också ett allmänt råd: ”Minst en säkerhetskopia bör skyddas mot skadlig kod genom att lagras på hårdvara separerad från det system som informationen hämtats ifrån.”

Skälet är enkelt. En kopia som angriparen når från samma miljö som originalet är ingen kopia när det gäller. Den krypteras med allt annat.

Det är ett råd, inte ett bindande krav. Men det pekar på precis det scenario som utpressningsangreppen bygger på.

Två avgränsningar som inte håller #

“Det gäller väl bara produktionsmiljön?” Nej. För produktionsmiljön ska acceptabla tider fastställas. För utvecklings-, test- och utbildningsmiljö ska ni identifiera och hantera behovet av att göra samma sak. En testmiljö som ligger nere blockerar återställningsarbetet, och utbildningsmiljön är ofta den enda plats där ett alternativt arbetssätt går att öva utan att störa driften.

“Vi är undantagna från föreskriften.” Kanske. Verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden omfattas bara av föreskriftens krav på ledningens utbildning.

Undantaget gäller föreskriften, inte lagen, och den skillnaden är lätt att missa för den som just fått veta att verksamheten är undantagen.

Vad ni kan göra den här veckan #

Välj den process ni minst av allt vill vara utan. Ställ två frågor om den:

Hur länge klarar vi oss utan den? Skriv ner ett tal, i timmar eller dygn. Obriums rekommendation är att talet används som underlag när acceptabla tider fastställs.

Har vi någonsin återställt den, med klockan igång? Om svaret är nej har ni ingen backup ni kan luta er mot. Ni har en fil ni hoppas på.

Svaren på de två frågorna kostar en eftermiddag att ta reda på.