Raden i riskregistret som säger accepterad utan att säga av vem

I nästan varje riskregister finns en rad som slutar med ordet accepterad.

Den raden är ofta helt riktig. Att ta en risk medvetet är ett fullgott val, och verksamheter som försöker reducera allt får sällan något gjort. Frågan är en annan, och när den ställs brukar det bli tyst i rummet: vem accepterade den?

Fyra sätt att behandla en risk, och ett av dem har ett villkor #

När en risk är bedömd finns fyra vägar. De är väl kända, men den fjärde har ett villkor som de andra saknar.

Reducera. Inför en åtgärd som sänker sannolikheten eller konsekvensen. Det val som ligger närmast till hands, och det som kostar.

Undvika. Sluta med aktiviteten som skapar risken. Ibland det enda rimliga, ofta det som ingen vågar föreslå.

Överföra. Lägg risken hos någon annan genom försäkring eller avtal. Men ansvaret enligt lagen följer inte med. Ni kan flytta kostnaden, inte skyldigheten. En verksamhetsutövare som pekar på sitt försäkringsbolag har fortfarande kvar sitt eget krav att uppfylla.

Acceptera. Ta risken medvetet. Helt i sin ordning, men det förutsätter att en namngiven riskägare faktiskt fattar beslutet.

Det är villkoret i den sista som gör att raden i registret behöver ett namn bredvid sig.

Riskägaren, inte ledningen #

Enligt ISO 27001 6.1.3 är det riskägarna som godkänner behandlingsplanen och accepterar den risk som blir kvar. Alltså de som äger verksamheten eller systemet risken sitter i.

Det är ett svar som ofta överraskar, eftersom instinkten säger att stora beslut hör hemma hos ledningen. Men den som accepterar en risk ska kunna leva med den, och det gör den som driver processen, inte den som läser en sammanställning en gång i kvartalet.

Föreskriften känner inte ens begreppet riskägare. MCFFS 2026:11 3 kap. 13 § pekar ut vem som ansvarar för att en åtgärd genomförs. Det är en annan roll och ett annat moment: att någon ser till att en åtgärd blir gjord är inte samma sak som att någon tar ansvar för den risk som blir kvar när den är gjord.

Två ramverk, två olika frågor, och ingen av dem säger att ledningen accepterar risker.

Vad ledningen då faktiskt ska göra #

Ledningen har egna uppgifter, och de är inte riskägarens.

Enligt föreskriftens allmänna råd bör ledningen fastställa kriterierna för riskacceptans. Alltså var gränsen går för vad som får accepteras och av vem.

Detta är ett råd och inte ett krav, och den skillnaden ska sägas rakt ut även när den är obekväm för den som säljer.

Ledningen ska däremot godkänna och övervaka genomförandet av säkerhetsåtgärderna, och hållas informerad om genomförandet och verksamhetens nivå av cybersäkerhet vid behov men minst en gång per år. Det är bindande från den 1 oktober 2026.

Skillnaden mellan ett bör och ett ska i två meningar som ser likadana ut är precis den sortens detalj som avgör vad en granskare frågar efter.

Vid behov men minst en gång per år är ett golv med en utlösare, inte en årskadens. Årligen är minimum, och därutöver när det behövs. Hände något i mars räcker det alltså inte att ledningen informerades i januari.

Vilka föreskriften ställer kraven på #

Verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden omfattas endast av kravet på ledningens utbildning i 2 kap. 1 §.

Det betyder att både det allmänna rådet om acceptanskriterier och det bindande kravet ovan faller bort för dem: ett allmänt råd är inte ett krav, och begränsningen omfattar allt utom 2 kap. 1 §. Detsamma gäller 3 kap. 13 § om vem som ansvarar för att en åtgärd genomförs.

Riskarbetet självt slipper ni inte. Begränsningen gäller vad den här föreskriften kräver av er, inte lagen. Cybersäkerhetslagens krav på riskhantering står kvar, och ISO 27001:s krav på riskägare följer av en certifiering ni valt själva.

Att vi ändå rekommenderar ledningsförankring #

Vi rekommenderar att riskacceptanser förankras hos ledningen. Rekommendationen vilar på vår erfarenhet av vad som håller vid en granskning, inte på något ramverken kräver av er.

Skälet är praktiskt. En riskägare som accepterat något stort utan att ledningen vet om det står ensam den dagen risken faller ut. Förankringen skyddar personen lika mycket som verksamheten.

Men det är ett råd från oss, och ni ska kunna skilja det från lagens krav. En leverantör som inte gör den skillnaden åt er gör er en otjänst.

Var riskarbetet ska hämta sitt underlag #

Föreskriften pekar ut tre underlag, och de gäller sida vid sida, inte i tur och ordning:

• relevant informationsklassning
• information från omvärldsbevakning
• information om incidenter och tillbud

Ordet relevant står i källan, och det avgör omfattningen: kravet är inte en avslutad klassning av hela organisationen, utan klassning som är relevant för det ni analyserar.

Det är en generös skrivning, och den är praktiskt viktig: annars vore riskarbetet blockerat av ett klassningsprojekt som sällan blir färdigt.

Tre frågor att ta med till nästa genomgång #

Har varje accepterad risk ett namn? Inte en avdelning, inte en roll i plural. En person.

Vet den personen om det? Ett förvånansvärt vanligt fynd är att riskägaren aldrig blivit tillfrågad, bara utsedd i ett dokument.

Finns kriterierna för vad som får accepteras? Om inte är varje acceptans ett enskilt omdöme utan referens, och två likvärdiga risker kan hanteras helt olika beroende på vem som råkade titta.

Ingen av frågorna kräver ett verktyg. De kräver att någon läser registret högt och stannar vid orden som saknar namn.