Nr 05
2026
ISO 27001 ger er ett beprövat ramverk för att arbeta systematiskt med informationssäkerhet. Oavsett om målet är certifiering eller att bygga en solid grund för ert säkerhetsarbete hjälper vi er hela vägen, med fokus på lösningar som fungerar i er vardag.
Fördelar
ISO 27001 är den mest erkända internationella standarden för ledningssystem för informationssäkerhet, ofta förkortat LIS. Standarden ger er en tydlig struktur för att identifiera risker, införa skyddsåtgärder och ständigt förbättra ert säkerhetsarbete.
Men ni behöver inte certifiera er för att ha nytta av standarden. Många organisationer använder ISO 27001 som ramverk för sitt informationssäkerhetsarbete utan att gå hela vägen till certifiering. Det viktiga är att arbetet blir systematiskt och anpassat efter er verksamhet.
Regelefterlevnad
Föreskriften MCFFS 2026:11 om säkerhetsåtgärder och ledningens utbildning kräver från den 1 oktober 2026 att verksamhetsutövaren identifierar och hanterar behovet av relevanta standarder i cybersäkerhetsarbetet (3 kap. 2 §), och det allmänna rådet pekar på SS-ISO/IEC 27001:2022 och 27002:2022 som stöd. Det är inte ett krav på certifiering. Verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden omfattas endast av kravet på ledningens utbildning i 2 kap. 1 §. Det finns goda skäl till att standarden pekas ut: den och lagen överlappar på de flesta viktiga områden.
Cybersäkerhetslagen kräver bland annat systematisk riskhantering, incidenthantering, driftskontinuitet och leverantörssäkerhet. Allt detta ingår redan i ISO 27001:s ramverk. Det innebär att organisationer som arbetar enligt standarden har en solid grund att stå på.
Att använda ISO 27001 som utgångspunkt ger er dessutom ett strukturerat sätt att dokumentera och följa upp ert säkerhetsarbete, något som förenklar både intern uppföljning och eventuell tillsyn.
Två spår
ISO 27001 som ramverk
Ni vill ha ett strukturerat säkerhetsarbete men behöver inte certifiera er. Kanske för att uppfylla cybersäkerhetslagens krav, möta kundförväntningar eller helt enkelt för att höja er säkerhetsnivå.
Passar er om
Typisk tidsram 3–6 månader
Vägen till certifiering
Ni vill gå hela vägen och certifiera er mot ISO 27001. Kanske för att kunder eller upphandlingar kräver det, eller för att visa marknaden att ni tar informationssäkerhet på allvar.
Passar er om
Typisk tidsram 6–12 månader
Oavsett spår börjar vi med en nulägesbedömning som ger er en tydlig bild av var ni står och vad som behövs.
Annex A
ISO 27001:2022 innehåller 93 kontroller i Annex A, uppdelade i fyra kategorier. Vilka kontroller som är relevanta för just er verksamhet avgörs i tillämplighetsförklaringen. Ni behöver inte implementera alla.
Policyer, roller och ansvar, informationsklassning, leverantörsrelationer, incidenthantering, kontinuitetsplanering, efterlevnad av lagar och krav.
Bakgrundskontroller, anställningsvillkor, säkerhetsmedvetenhet och utbildning, disciplinära processer, ansvar vid avslutad anställning, distansarbete.
Fysiskt skydd av lokaler, utrustning och tillgångar. Tillträdesskydd, skydd av kablar, säker avveckling av utrustning, clear desk.
Åtkomstkontroll, kryptering, nätverkssäkerhet, loggning, backup, säker utveckling, sårbarhetshantering, skydd mot skadlig kod.
En stor del av kontrollerna handlar om saker ni troligen redan gör i någon form. Vårt jobb är att hjälpa er strukturera, dokumentera och vid behov komplettera det arbetet.
Vårt stöd
Stöd anpassat efter era mål, oavsett om ni siktar på ett fungerande ramverk eller certifiering.
Vi kartlägger var ni står i dag i förhållande till ISO 27001. Ni får en tydlig bild av styrkor, brister och vad som behöver prioriteras, oavsett om målet är certifiering eller ett fungerande ramverk.
Kärnan i vårt arbete. Vi hjälper er bygga ett ledningssystem som passar er verksamhet, med riskprocess, policyer, kontroller och rutiner som fungerar i praktiken.
Ett ledningssystem fungerar bara om människorna i organisationen förstår det. Vi utbildar medarbetare, ledning och nyckelpersoner utifrån deras roller och ansvar.
För organisationer som vill certifiera sig hjälper vi till med förberedelserna: internrevision, ledningens genomgång och åtgärd av brister innan det ackrediterade certifieringsorganet genomför sin revision.
Den formella certifieringsrevisionen genomförs av ett ackrediterat certifieringsorgan. Vi hjälper er välja rätt organ och ser till att ni är väl förberedda.
Leverabler
Ett ledningssystem kan låta abstrakt. I praktiken handlar det om ett antal konkreta delar som tillsammans ger er kontroll över informationssäkerheten.
Övergripande policy som sätter riktningen och förankrar säkerhetsarbetet hos ledningen.
En levande förteckning över identifierade risker, hur allvarliga de är och vilka åtgärder som vidtas. Grunden för prioritering.
Dokumentet som visar vilka av de 93 kontrollerna ni tillämpar och varför, och vilka ni valt bort med motivering.
Praktiska rutiner för bland annat incidenthantering, åtkomstkontroll, backup, ändringshantering och leverantörsbedömning.
Plan för hur ni säkerställer att medarbetare har den kunskap och medvetenhet som behövs för sina roller.
Process för regelbunden uppföljning, internrevision och ledningens genomgång, så att ledningssystemet utvecklas över tid.
Allt anpassas efter er verksamhets storlek och behov. Ett ledningssystem för ett företag med 50 anställda ser annorlunda ut än ett för 500, och det ska det göra.
Tidsram
För en organisation i vår målgrupp tar vägen till certifiering sex till tolv månader. Var i spannet ni landar avgörs av omfattningens bredd, hur mycket som redan är på plats och hur snabbt ledningen kan fatta besluten. Tidslinjen nedan visar den längre vägen.
Mindre organisationer med en tydlig avgränsning når certifiering närmare sex månader. Organisationer som bara vill använda ISO 27001 som ramverk kan ha ett fungerande ledningssystem på plats inom 3–6 månader.
Frågor och svar
Nej. Standarden är utformad för att kunna anpassas efter organisationens storlek och komplexitet. Ett ledningssystem för ett medelstort företag behöver inte vara lika omfattande som för en stor koncern. Det viktiga är att det är proportionellt och fungerar i er vardag.
Inte nödvändigtvis. Många organisationer använder ISO 27001 som ramverk utan att certifiera sig. Om ni omfattas av cybersäkerhetslagen kan standarden hjälpa er uppfylla lagens krav utan att ni behöver gå hela vägen till certifiering. Certifiering blir relevant om kunder, upphandlingar eller andra affärskrav ställer det som villkor.
Det beror på er storlek och mognad. Ni behöver en eller flera personer som driver arbetet internt, med stöd från oss. En rimlig uppskattning för ett medelstort företag är en till två personer som lägger en del av sin tid på arbetet under uppbyggnadsfasen. Ledningens engagemang är nödvändigt, men det handlar om timmar snarare än heltid.
Absolut. Det är ofta det klokaste. Börja med nulägesbedömning och de mest kritiska områdena, och bygg ut stegvis. Många väljer att börja med en begränsad omfattning, exempelvis en avdelning eller tjänst, och utöka efter hand.
ISO 27001 är en frivillig internationell standard. Cybersäkerhetslagen är svensk lagstiftning som gäller för organisationer inom 18 utpekade sektorer. Men de överlappar i stor utsträckning: båda kräver systematisk riskhantering, incidenthantering, leverantörssäkerhet och dokumenterat säkerhetsarbete. Att arbeta enligt ISO 27001 ger er därför en stark grund för att uppfylla lagens krav.
Certifikatet gäller i tre år. Under den perioden genomförs årliga uppföljningsrevisioner av certifieringsorganet för att säkerställa att ledningssystemet fortfarande fungerar. Efter tre år görs en omcertifiering.
Boka ett kostnadsfritt samtal så diskuterar vi er situation. Vi hjälper er avgöra om ni behöver certifiera er eller om ISO 27001 som ramverk räcker för era behov.