Raden i riskregistret som säger accepterad utan att säga av vem

I nästan varje riskregister finns en rad som slutar med ordet accepterad.

Den raden är ofta helt riktig. Att ta en risk medvetet är ett fullgott val, och verksamheter som försöker reducera allt får sällan något gjort. Frågan är en annan, och när den ställs brukar det bli tyst i rummet: vem accepterade den?

Fyra sätt att behandla en risk, och ett beslut som alltid återstår #

När en risk är bedömd finns fyra vägar. De är väl kända, men ingen av dem klarar sig utan riskägarnas beslut: planen ska godkännas, och den risk som blir kvar ska godtas.

Reducera. Inför en åtgärd som sänker sannolikheten eller konsekvensen. Det val som ligger närmast till hands, och det som kostar.

Undvika. Sluta med aktiviteten som skapar risken. Ibland det enda rimliga, ofta det som ingen vågar föreslå.

Överföra. Lägg risken hos någon annan genom försäkring eller avtal. Men ansvaret enligt lagen följer inte med. Ni kan flytta kostnaden, inte skyldigheten. En verksamhetsutövare som pekar på sitt försäkringsbolag har fortfarande kvar sitt eget krav att uppfylla.

Acceptera. Ta risken medvetet. Helt i sin ordning, men det förutsätter att en namngiven riskägare faktiskt fattar beslutet.

I den sista vägen syns beslutet tydligast, och det är därför raden i registret behöver ett namn bredvid sig. Men beslutet hör inte bara till den vägen: risk blir kvar också när den har reducerats eller överförts.

Riskägarna beslutar, och ledningen är inte utesluten #

Enligt ISO 27001 6.1.3 är det riskägarna som godkänner behandlingsplanen och accepterar den risk som blir kvar. Standarden säger inte vilka riskägarna ska vara, och den utesluter inte att en person i ledningen är riskägare.

Det brukar ändå överraska, eftersom instinkten säger att stora beslut hör hemma hos ledningen. Men beslutet fattas av den som är utsedd att äga risken, och det är inte automatiskt den som läser en sammanställning en gång i kvartalet.

Föreskriften känner inte ens begreppet riskägare. MCFFS 2026:11 3 kap. 13 § pekar ut vem som ansvarar för att en åtgärd genomförs. Det är en annan roll och ett annat moment: att någon ser till att en åtgärd blir gjord är inte samma sak som att någon tar ansvar för den risk som blir kvar när den är gjord.

Två ramverk, två olika frågor, och ingen av dem säger att ledningen accepterar risker.

Vad ledningen då faktiskt ska göra #

Ledningen har egna uppgifter enligt föreskriften, och de är andra än riskägarens enligt ISO 27001.

Från den 1 oktober 2026 ska verksamhetsutövaren fastställa kriterier för riskacceptans. Det står i MCFFS 2026:11 3 kap. 12 §.

Att det är ledningen som fastställer kriterierna är däremot ett allmänt råd och inte ett krav.

Ledningen ska däremot godkänna och övervaka genomförandet av säkerhetsåtgärderna, och hållas informerad om genomförandet och verksamhetsutövarens nivå av cybersäkerhet vid behov men minst en gång per år. Det är bindande från den 1 oktober 2026.

Skillnaden mellan ett bör och ett ska i två meningar som ser likadana ut är precis den sortens detalj som avgör vad en granskare frågar efter.

Vid behov men minst en gång per år är ett golv med en utlösare, inte en årskadens. Årligen är minimum, och därutöver när det behövs. Hände något i mars räcker det alltså inte att ledningen informerades i januari.

Vilka föreskriften ställer kraven på #

Verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden omfattas endast av kravet på ledningens utbildning i föreskriftens 2 kap. 1 §.

Det betyder att kraven ovan, att kriterier för riskacceptans ska fastställas och att ledningen ska godkänna och övervaka, liksom det allmänna rådet om vem som fastställer kriterierna, inte gäller dem enligt den här föreskriften. Begränsningen gäller alla krav i föreskriften utom 2 kap. 1 §. Detsamma gäller 3 kap. 13 § om vem som ansvarar för att en åtgärd genomförs.

Riskarbetet självt slipper ni inte. Begränsningen gäller vad den här föreskriften kräver av er, inte lagen. Cybersäkerhetslagens krav på säkerhetsåtgärder utifrån risk står kvar. ISO 27001:s krav på riskägare är däremot ett krav i standarden, inte i lag. Det gäller den som bygger upp eller driver sitt ledningssystem för informationssäkerhet enligt standarden, även utan certifiering.

Att vi ändå rekommenderar ledningsförankring #

Vi rekommenderar att riskacceptanser förankras hos ledningen. Rekommendationen vilar på vår erfarenhet av vad som håller vid en granskning, inte på något ramverken kräver av er.

Skälet är praktiskt. En riskägare som accepterat något stort utan att ledningen vet om det står ensam den dagen risken faller ut. Förankringen skyddar personen lika mycket som verksamheten.

Men det är ett råd från oss, och ni ska kunna skilja det från lagens krav. En leverantör som inte gör den skillnaden åt er gör er en otjänst.

Var riskarbetet ska hämta sitt underlag #

Föreskriften pekar ut tre underlag, och de gäller sida vid sida, inte i tur och ordning:

• relevant informationsklassning
• information från omvärldsbevakning
• information om incidenter och tillbud

Ordet relevant står i källan, och det avgör omfattningen: kravet är inte en avslutad klassning av hela organisationen, utan klassning som är relevant för det ni analyserar.

Det är en generös skrivning, och den är praktiskt viktig: annars vore riskarbetet blockerat av ett klassningsprojekt som sällan blir färdigt.

Tre frågor att ta med till nästa genomgång #

Har varje accepterad risk ett namn? Inte en avdelning, inte en roll i plural. En person.

Vet den personen om det? Ett förvånansvärt vanligt fynd är att riskägaren aldrig blivit tillfrågad, bara utsedd i ett dokument.

Finns kriterierna för vad som får accepteras? Om inte är varje acceptans ett enskilt omdöme utan referens, och två likvärdiga risker kan hanteras helt olika beroende på vem som råkade titta.

Ingen av frågorna kräver ett verktyg. De kräver att någon läser registret högt och stannar vid orden som saknar namn.