Tillgångsregistret som byggdes som projekt stämmer inte längre

De flesta verksamheter har ett tillgångsregister, och oftast stämmer det. Någon byggde det, det tog veckor, och det var korrekt den dagen det blev klart.

Frågan är vilken dag det var.

Varför register åldras snabbare än man tror #

Ett register som inte uppdateras vid förändring börjar avvika från verkligheten inom månader.

Problemet är inte avvikelsen i sig. Det är att den märks först när någon behöver lita på registret, och det är sällan en lugn dag. Vid en incident, vid en revision eller när någon ska svara på vilka system som berörs av ett angrepp.

Orsaken är nästan alltid densamma: registret byggdes som ett projekt och inte som en rutin. Ett projekt har ett slutdatum. Verkligheten har det inte.

Behörigheterna är samma problem en gång till #

Samma mönster återkommer i åtkomsten, och där är det ofta värre.

Rättigheter delas ut vid behov. De tas sällan bort. En medarbetare som bytt roll ett par gånger bär med sig allt hen någonsin behövt, och ingen enskild tilldelning såg fel ut när den gjordes.

Behörigheterna och registret hänger ihop, och det är ingen slump. Cybersäkerhetslagens 2 kap. 3 § p. 9 omfattar personalsäkerhet, åtkomstkontroll och tillgångsförvaltning i samma punkt. Lagstiftaren har alltså redan buntat ihop dem.

Logiken är rak: åtkomstkontroll förutsätter att man vet vad som ska skyddas. Utan register går det att styra åtkomst till system man känner till, vilket inte är samma sak som till de system man har.

Vad som ändras den 1 oktober #

Lagen gäller redan i dag och kräver tillgångsförvaltning. Den anger området, men inte metoden.

Från den 1 oktober 2026 tillkommer metoden. MCFFS 2026:11 3 kap. 11 § kräver att informationen värderas utifrån vilken nivå av skydd den behöver avseende:

• konfidentialitet
• riktighet, inklusive autenticitet
• tillgänglighet

Syftet står i föreskriften: att identifiera vilka konsekvenser bristande cybersäkerhet kan få.

Ni ska själva fastställa antalet nivåer och vilka kriterier som ska användas. Föreskriften talar inte om hur många klasser ni ska ha eller var gränserna går. Det beslutet ligger hos er, inte hos IT.

Kravet gäller information, inte system. Ett systemregister svarar på vilka lådor ni har. Klassningen svarar på vad som ligger i dem och hur illa det vore om det läckte, ändrades eller försvann.

Om ni redan har ett register #

Då är ni bättre ställda än de flesta, och arbetet är ett annat: registret ska prövas, inte byggas.

Två frågor räcker för att veta var ni står.

När uppdaterades det senast, och av vilken händelse? Om svaret är ett datum men ingen händelse har ni ett register som underhålls när någon kommer på det. Om svaret är “vid varje ny leverantör” eller “när ett system avvecklas” har ni en rutin.

Vem gick igenom behörigheterna senast? Om ingen kan svara är det där ni börjar, inte i registret. Behörighetsgenomgången ger dessutom ofta halva systemförteckningen på köpet, eftersom den tvingar fram frågan om vilka system som faktiskt används.

Rutinerna som håller registret vid liv #

Det som skiljer ett levande register från ett dött är inte verktyget. Det är att två moment återkommer utan att någon behöver besluta om dem varje gång.

En periodisk genomgång av behörigheter. Vem har åtkomst till vad, och stämmer det med vad de gör i dag?

En avslutningsrutin som faktiskt stänger. När någon slutar eller byter roll, vad tas bort och vem kontrollerar att det skedde? Den rutin som finns nedskriven men aldrig följs upp är den vanligaste enskilda orsaken till att rättigheter samlas på hög.

Båda är tråkiga. Det är hela poängen: de ska gå att göra utan projekt.

Ni slipper metodkravet, inte registret #

Verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden omfattas endast av kravet på ledningens utbildning i 2 kap. 1 §.

Men lagens krav på tillgångsförvaltning i 2 kap. 3 § p. 9 gäller er ändå. Begränsningen gäller vad föreskriften kräver av er, inte lagen. Ni slipper alltså metodkravet på värdering från den 1 oktober, men inte kravet att veta vilken information och vilka system ni har.

Börja med tre stickprov #

Ta fram registret, om det finns. Välj tre poster på måfå och kontrollera dem mot verkligheten: finns systemet kvar, stämmer ägaren, används det som står?

Tre stickprov säger sällan hela sanningen, men de säger nästan alltid om registret beskriver i dag eller den dag det skrevs.