Backupen ni aldrig återställt är ett antagande

Frågan gäller kontinuitet. Svaret som kommer är “vi har backup”.

Det är inte ett dåligt svar. Det är svaret på en annan fråga, och skillnaden mellan de två frågorna är den som avgör om verksamheten håller den dag något går sönder.

Två saker som förväxlas dagligen #

Säkerhetskopiering är en teknisk åtgärd som skyddar data.

Kontinuitetsplanering omfattar lokaler, personal, leverantörer, kommunikation och manuella rutiner för tiden innan tekniken är tillbaka. Det är arbetet med att hålla kritiska verksamhetsprocesser igång under en störning, inte bara att få tillbaka systemen efteråt.

Backup är alltså en del av kontinuitetsarbetet. Den är inte kontinuitetsarbetet.

Den praktiska konsekvensen märks först i skarpt läge. Data går att återställa, men ingen vet vem som ringer kunderna, var personalen ska sitta eller hur ordrar tas emot under de timmar eller dygn det tar. Den delen fanns aldrig nedskriven, för frågan om den ställdes aldrig.

Nästa upptäckt är obehagligare #

Backupen har aldrig återställts fullt ut.

Det är det vanligaste fyndet när någon faktiskt frågar. Kopian tas varje natt, larmet är grönt, och ingen har prövat att sätta tillbaka den. En säkerhetskopia som ingen prövat är ett antagande, inte ett skydd, och det visar sig vid sämsta tänkbara tillfälle: när den behövs.

Vad lagen faktiskt kräver från den 1 oktober #

Cybersäkerhetslagen anger kontinuitets- och krishantering som ett av tio säkerhetsområden i 2 kap. 3 § p. 3. Det har gällt sedan i januari, men säger inte hur mycket som krävs.

Den 1 oktober 2026 preciserar MCFFS 2026:11 innehållet. Föreskriftens 4 kap. 28 § kräver att information ska kunna återställas inom de acceptabla tider ni fastställt.

Läs den meningen en gång till. Den ställer två krav, inte ett:

1. Ni ska ha fastställt acceptabla tider för återställning.
2. Återställningen ska faktiskt klara dem.

Att kopian finns svarar mot inget av de två. Ett företag med perfekt fungerande backup och utan fastställda tider uppfyller inte kravet, och märker det först när någon frågar efter underlaget.

Var tiderna kommer ifrån #

De tider ni ska fastställa kommer ur en verksamhetskonsekvensanalys, i ISO 22301 kallad Business Impact Analysis. Den besvarar en enda fråga per process: vad händer om den slutar fungera, och hur snabbt blir det ohållbart?

Svaret ger tre mått som sedan styr varje teknisk prioritering:

• MTPD, den längsta tid verksamheten över huvud taget klarar sig utan processen.
• RTO, målet för hur snabbt återställning ska ske.
• RPO, hur mycket data ni kan förlora.

Det är verksamhetens beslut. En IT-avdelning kan inte avgöra hur länge fakturering får ligga nere, men den kan bygga för den tid den fått.

Rådet som svarar direkt mot utpressningsangrepp #

Föreskriften ger också ett allmänt råd: minst en säkerhetskopia bör skyddas mot skadlig kod genom att lagras på hårdvara som är separerad från källsystemet.

Skälet är enkelt. En kopia som angriparen når från samma miljö som originalet är ingen kopia när det gäller. Den krypteras med allt annat.

Det är ett råd, inte ett bindande krav. Men det pekar på precis det scenario som utpressningsangreppen bygger på.

Två avgränsningar som inte håller #

“Det gäller väl bara produktionsmiljön?” Nej. För produktionsmiljön ska acceptabla tider fastställas. För utvecklings-, test- och utbildningsmiljö ska ni identifiera och hantera behovet av att göra samma sak. En testmiljö som ligger nere blockerar återställningsarbetet, och utbildningsmiljön är ofta den enda plats där ett alternativt arbetssätt går att öva utan att störa driften.

“Vi är undantagna från föreskriften.” Kanske. Verksamhetsutövare som uteslutande verkar inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster mellan företag, post- och budtjänster samt rymden omfattas bara av föreskriftens krav på ledningens utbildning.

Men lagens krav på kontinuitets- och krishantering i 2 kap. 3 § gäller er fullt ut ändå. Undantaget gäller föreskriften, inte lagen, och den skillnaden är lätt att missa för den som just fått veta att den är undantagen.

Vad ni kan göra den här veckan #

Välj den process ni minst av allt vill vara utan. Ställ två frågor om den:

Hur länge klarar vi oss utan den? Skriv ner ett tal, i timmar eller dygn. Det är er första acceptabla tid.

Har vi någonsin återställt den, med klockan igång? Om svaret är nej har ni ingen backup ni kan luta er mot. Ni har en fil ni hoppas på.

Skillnaden mellan de två svaren kostar en eftermiddag att ta reda på.