Cybersäkerhetskollen 2025: Allvarliga brister, och privat sektor saknas helt

Cybersäkerhetskollen 2025, som MCF redovisade i februari 2026, visar att 78 procent av 188 offentliga organisationer inte nådde grundnivån för systematiskt cybersäkerhetsarbete. De 188 är de som besvarade Infosäkkollen, IT-säkkollen och Leveranskedjekollen, alltså med OT-säkkollen borträknad. Någon mätbar förbättring sedan 2024 syns inte. Samtidigt deltog bara 20 av de 600–700 privata bolag som omfattades av tidigare NIS-lagstiftning. MCF konstaterar att myndigheten därmed inte kan bedöma Sveriges samlade cybersäkerhetsnivå.

Vad är Cybersäkerhetskollen? #

Cybersäkerhetskollen är Myndigheten för civilt försvars (MCF) återkommande uppföljning av systematiskt cybersäkerhetsarbete i offentlig förvaltning och samhällsviktig verksamhet. Mätningen har genomförts fyra gånger: 2021, 2023, 2024 och 2025. Efter hand har fler delområden tillkommit, senast OT-säkkollen 2025. Totalt medverkade 335 organisationer 2025, det högsta deltagandet hittills. Nästa genomförande är planerat till 2027.

Mätningen omfattar fyra delområden:

• Infosäkkollen – systematiskt informationssäkerhetsarbete
• IT-säkkollen – teknisk IT-säkerhet
• OT-säkkollen – operativ teknik (ny 2025, redovisas separat)
• Leveranskedjekollen – säkerhet i leverantörsrelationer (ny 2025)

Resultaten graderas på en fyrgradig skala. Nivå 1 innebär att grundläggande systematik saknas. Nivå 4 innebär väl fungerande och kontinuerligt förbättrat arbete.

Vad visar resultaten för offentlig sektor? #

Av de 188 organisationer som deltagit i tre av de fyra mätningarna, OT borträknat, når 78 procent inte ens nivå 1 inom minst ett kärnområde. De saknar dokumenterade processer för grundläggande cybersäkerhetsarbete.

Av de 47 organisationer som genomförde alla fyra mätningstyper nådde bara tre nivå 1 i den samlade bedömningen. Det är framför allt OT-säkerheten som drar ner resultatet. OT-säkkollen genomfördes för första gången 2025, och resultaten visar att de flesta organisationer saknar grunderna i sitt systematiska arbete kring operativ teknik.

Inom Infosäkkollen, den delmätning som följer informationssäkerhetsarbetet, var de svagaste arbetsområdena desamma som 2024: ledningens styrning och kontroll, där 53 procent nådde nivå 1 eller högre, uppföljning och utvärdering med 59 procent samt incident- och kontinuitetshantering med 65 procent. Inget av dem förbättrades mer än marginellt sedan 2024. För ledningens styrning och kontroll var andelen oförändrad.

Varför saknas privat sektor i mätningen? #

Här gömmer sig rapportens mest anmärkningsvärda datapunkt. Av de 600–700 privata organisationer som omfattades av tidigare NIS-lagstiftning deltog bara 20 i Cybersäkerhetskollen 2025. Det ger en deltagandegrad på mellan 2,9 och 3,3 procent, räknat på rapportens egna tal. Deltagandegraden är min uträkning; MCF redovisar antalen, inte andelen.

Resultatet för de 20 bolagen har exkluderats från samtliga resultatredovisningar eftersom underlaget är för litet för statistisk analys. MCF konstaterar att de därmed inte kan fullgöra regeringens uppdrag att bedöma nivån på Sveriges samlade cybersäkerhetsarbete.

Det handlar inte om att privata bolag aktivt motsätter sig mätningen. Det har helt enkelt inte funnits tillräckliga incitament att delta i en frivillig undersökning. MCF har genomfört informationsinsatser, men effekten har uteblivit tre år i rad.

MCF rekommenderar nu regeringen att överväga obligatoriskt deltagande i Cybersäkerhetskollen om privat sektor inte ansluter frivilligt vid nästa genomförande.

Varför är privat sektors frånvaro ett problem? #

Med Cybersäkerhetslagen (SFS 2025:1506) utökas antalet berörda sektorer från 7 till 18. MCF bedömer att 3 000–5 000 verksamhetsutövare omfattas av lagen, varav majoriteten finns inom privat sektor.

Tre faktorer gör frånvaron i mätningen problematisk:

Samma krav, ingen insyn. Cybersäkerhetslagen ställer identiska krav på riskbedömning, incidenthantering, leverantörsuppföljning och ledningens utbildning oavsett om organisationen är offentlig eller privat. Men medan offentlig sektor mäts och granskas finns inga motsvarande data för privat sektor.

Kraven sprider sig nedåt. Organisationer som omfattas av Cybersäkerhetslagen måste ställa krav på sina leverantörer. I praktiken innebär det att även företag som inte själva omfattas av lagen kan behöva påvisa att de arbetar systematiskt med säkerhet. Annars riskerar de att tappa sina kunder till företag som uppfyller dessa krav.

Referenspunkten saknas. Om 78 procent av offentliga organisationer som vet att de mäts och får återkoppling inte klarar grundnivån, finns det ingen anledning att anta att privata organisationer utan motsvarande uppföljning presterar bättre. Och för privat sektor finns ingen mätning som kan säga emot det antagandet.

Varför förbättras inte resultaten trots ökat engagemang? #

I enkätutvärderingen som följde med mätningen uppgav 61 procent av organisationerna att deras högsta ledning hade det engagemang som krävs. Det var en förbättring med åtta procentenheter jämfört med enkäten 2024, och den största förbättringen i hela enkäten.

Samtidigt uppgav 65 procent att de saknade den personal som krävs för att förbättra cybersäkerhetsarbetet. Det är ett annat 65-procentstal än det för incident- och kontinuitetshantering ovan: detta kommer ur enkäten, inte ur nivåbedömningen. MCF pekar särskilt ut personalfrågan som den enda i enkäten där utvecklingen sedan 2024 var negativ.

Mönstret är tydligt: engagemang utan operativ kompetens ger ingen förflyttning. Ledningen vill agera men saknar människorna som kan göra jobbet. I organisationer med 50–250 anställda ser frågan teknisk ut och hamnar därför hos IT-chefen, som får ansvaret utan mandatet, budgeten eller specialistkompetensen att bygga ett ledningssystem för informationssäkerhet (LIS).

Resultatet blir att cybersäkerhet hamnar på agendan utan att hamna i verksamheten.

Vilka åtgärder ger effekt snabbast? #

Genomför en gap-analys. Mät var organisationen faktiskt står genom en strukturerad genomgång av processer, dokumentation och tekniska åtgärder mot Cybersäkerhetslagens tio säkerhetsområden (2 kap. 3 §). En gap-analys tar typiskt två till fyra veckor och ger en konkret åtgärdsplan.

Säkra ledningens utbildning. Cybersäkerhetslagen kräver att ledningen genomgår utbildning om säkerhetsåtgärder (2 kap. 4 §). Utbildningen är inte en formalitet. Det är kärnan i att ledningen tar ägarskap. Utan förståelse för kravbilden kan de varken prioritera resurser eller ta det ansvar lagen ålägger dem.

Etablera en säkerhetsfunktion. Systematiskt arbete kräver kontinuerlig styrning, inte ett engångsprojekt. En heltidsrekryterad CISO är en betydande fast kostnad. För organisationer med 50–250 anställda är en deltids-CISO en realistisk lösning som ger tillgång till senior kompetens utan att bära hela den kostnaden.

Så kan Obrium hjälpa #

Obrium genomför gap-analyser mot Cybersäkerhetslagen och levererar deltids-CISO till organisationer med 50–250 anställda. Resultatet: en prioriterad åtgärdsplan och löpande stöd för att genomföra den.

Boka ett kostnadsfritt 30-minuterssamtal där jag går igenom vad Cybersäkerhetslagen kräver av er specifikt: kontakt@obrium.se

Vanliga frågor #

Vad mäter Cybersäkerhetskollen?

Cybersäkerhetskollen är MCF:s årliga mätning av systematiskt cybersäkerhetsarbete i offentlig förvaltning och samhällsviktig verksamhet. Den mäter informationssäkerhet, IT-säkerhet, OT-säkerhet och leveranskedjesäkerhet på en fyrgradig skala. Mätningen bygger på självskattning kompletterad med MCF:s bedömning.

Varför deltar inte privata företag i Cybersäkerhetskollen?

Mätningen är frivillig och har hittills saknat tillräckliga incitament för privat sektor att delta. Av cirka 700 berörda privata organisationer under tidigare NIS-lagstiftning deltog bara 20 stycken 2025. MCF har rekommenderat regeringen att överväga obligatoriskt deltagande om frivillig anslutning inte ökar.

Vad innebär nivå 1 i Cybersäkerhetskollen?

Nivå 1 av 4 innebär att grundläggande systematik saknas. Organisationen har inte dokumenterade processer för det aktuella säkerhetsområdet. Att 78 procent inte når denna nivå innebär att de saknar grunden för systematiskt cybersäkerhetsarbete.

Gäller Cybersäkerhetslagen även privata företag?

Ja. Cybersäkerhetslagen omfattar både offentliga och privata verksamhetsutövare som uppfyller storleks- och sektorskriterierna. MCF bedömer att 3 000–5 000 organisationer omfattas, varav majoriteten är privata. Kraven på riskbedömning, incidenthantering och ledningens utbildning är identiska oavsett organisationsform.

Vad kostar en gap-analys mot Cybersäkerhetslagen?

Kostnaden beror på organisationens storlek och komplexitet. Analysen tar två till fyra veckor och resulterar i en prioriterad åtgärdsplan. Obrium lämnar fast pris efter ett inledande samtal, så att omfattningen är känd innan arbetet börjar.

Källa #

Samtliga siffror i den här artikeln kommer ur MCF:s redovisning av mätningen:

Myndigheten för civilt försvar, Cybersäkerhetskollen 2025. Redovisning av uppföljning av nivån på det systematiska cybersäkerhetsarbetet i offentlig förvaltning och samhällsviktig verksamhet. Publikationsnummer MCF0101, februari 2026. ISBN 978-91-7927-726-0. Rapporten finns i fulltext under MCF:s publikationer, sökbar på publikationsnumret.

Mätningen genomfördes mellan 23 april och 12 september 2025. Talen beskriver alltså läget hösten 2025 och gäller till dess MCF publicerar nästa genomförande, planerat till 2027. Deltagandegraden för privat sektor är min egen uträkning på rapportens antal, vilket framgår där den anges.