Vad är skillnaden mellan backup och kontinuitetsplanering?

Backup är en teknisk åtgärd som skyddar data. Kontinuitetsplanering omfattar hela verksamheten: lokaler, personal, leverantörer, kommunikation och de manuella rutiner som ska bära er tills tekniken är tillbaka. Att ha backup svarar inte på frågan om verksamheten kan leverera under tiden.

Vad betyder RTO och RPO?

RTO, Recovery Time Objective, är målet för hur snabbt en process ska vara återställd. RPO, Recovery Point Objective, är hur mycket data ni accepterar att förlora mätt i tid, vilket styr backupfrekvensen. RTO är ett mål, inte en uppmätt tid. Skillnaden syns först när ni övat.

Blir kontinuitetsplanen färdig under workshopen?

Nej. Ni går hem med en påbörjad verksamhetskonsekvensanalys för era kritiska processer och ett planutkast, plus materialet för att arbeta vidare. Målet är en grund som håller, inte ett färdigt dokument på fyra timmar.

Kräver cybersäkerhetslagen att vi har en kontinuitetsplan?

Lagen anger kontinuitetshantering och krishantering som säkerhetsområde i 2 kap. 3 § p. 3, men föreskriver inte ett visst dokument. MCFFS 2026:11 3 kap. 14–16 §§ är mer konkret från 2026-10-01: ni ska fastställa en prioriteringsordning för återställning, acceptabla tider för otillgänglighet, och alternativa arbetssätt som ska övas. Det är svårt att uppfylla utan en plan, även om ordet plan inte står i texten.

Hur ofta ska kontinuitetsplanen övas?

Föreskriftens allmänna råd anger vid behov men minst en gång per år, på två ställen med två olika föremål: dels användning av alternativa arbetssätt och återställning av sektorskritiska system, dels krishanteringen avseende sektorsverksamhet. Det är allmänna råd och inte bindande krav, och ledet vid behov betyder att årsintervallet är ett golv snarare än ett tak.

Vi har en kontinuitetsplan men har aldrig övat den. Vad rekommenderar ni?

Börja med övningen. En plan som aldrig prövats bygger på antaganden: personer som slutat, dokumentation som ligger i systemet som är nere, rutiner som kräver något ingen längre har. Ett tabletop-moment på en timme prövar antagandena på ett sätt en genomläsning inte kan.

Vad kostar workshopen?

Fast pris, angivet i offert. Workshopen ingår också i det samlade workshopprogrammet, där paketpriset är lägre än de fem workshopparna var för sig.

Nr 07

2026

Utbildningar

Tre dagar utan affärssystemet

Vilka processer är kritiska, och hur snabbt måste de vara tillbaka? I den här workshopen påbörjar ni en verksamhetskonsekvensanalys, fastställer acceptabla avbrottstider och övar planen i ett scenario. Ni går hem med ett underlag som håller både i drift och vid tillsyn.

Boka en kostnadsfri genomgång Vad lagen kräver

Kort svar

Kontinuitetsplanering handlar om att hålla kritiska verksamhetsprocesser igång vid en störning, inte bara om att återställa teknik. Cybersäkerhetslagen (SFS 2025:1506) anger kontinuitets- och krishantering som säkerhetsområde i 2 kap. 3 § p. 3. Från 2026-10-01 preciserar MCFFS 2026:11 vad det innebär: acceptabla avbrottstider, prioriteringsordning för återställning och övade alternativa arbetssätt. Vår workshop är en faciliterad halvdag där ni påbörjar en verksamhetskonsekvensanalys och övar planen i ett scenario.

2 kap. 3 §

Lagen, punkt 3 av tio

3 kap. 14–16 §§

MCFFS 2026:11, från 2026-10-01

Vad kräver cybersäkerhetslagen om kontinuitet?

Punkt 3 säger sex ord: kontinuitetshantering och krishantering. Ordet krishantering står där med avsikt, och det sträcker kravet längre än teknisk återställning. Verksamheten ska kunna hantera en situation där störningen samtidigt påverkar kunder, leverantörer och ledning.

Men punkten anger området, inte metoden. Den står i MCF:s föreskrift MCFFS 2026:11, och från 2026-10-01 ska ni enligt dess 3 kap. 14–16 §§ hantera ert behov av kontinuitet, fastställa en prioriteringsordning för återställning av verksamheten och fastställa acceptabla tider för otillgänglighet i produktionsmiljön. Alternativa arbetssätt ska fastställas och övas för de verksamheter som bedöms behöva dem, och behovet av redundanta funktioner ska hanteras.

Två krav i samma paragrafspann brukar förbises. Ni ska på förhand tydliggöra de roller och befogenheter som krävs för att hantera en kris, och ni ska på förhand säkerställa tillgång till stöd från de leverantörer ni är beroende av. Det andra är svårt att ordna mitt i ett avbrott. Krishanteringen har dessutom en egen paragraf, 3 kap. 18 §, som kräver att ni hanterar behovet av att aktivera krisorganisationen, säkra uthållighet under krisen och genomföra intern och extern kriskommunikation.

Lagen har dessutom ett allriskperspektiv. Det står i paragrafens andra stycke och inte i punkt 3: skyddet ska hålla mot incidenter oavsett orsak, alltså lika mycket mot brand, översvämning, strömavbrott och mänskliga fel som mot cyberangrepp.

Hur ofta ska planen övas?

Föreskriftens allmänna råd anger vid behov men minst en gång per år, och de säger det på två ställen om två olika saker. Det ena gäller användning av alternativa arbetssätt och återställning av sektorskritiska system. Det andra gäller krishanteringen avseende sektorsverksamhet.

Två saker är värda att notera. Det är allmänna råd och inte bindande krav, alltså vad myndigheten anser bör göras. Och ledet vid behov betyder att årsintervallet är ett golv, inte ett tak: förändras verksamheten ska ni öva oftare. Vår rekommendation är att lägga övningen i årshjulet direkt, eftersom en plan som ska övas när det blir tid aldrig övas.

Gäller föreskriften alla?

Nej. Föreskriften omfattar inte verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster mellan företag, post- och budtjänster eller rymden. För dem gäller av föreskriften endast ledningens utbildning. Lagens krav på kontinuitets- och krishantering gäller däremot fullt ut även för dem.

BIA

Analysen planen vilar på

Vad är en verksamhetskonsekvensanalys?

En verksamhetskonsekvensanalys, i ISO 22301 kallad Business Impact Analysis, besvarar en enda fråga per process: vad händer om den slutar fungera, och hur snabbt blir det ohållbart? Svaret ger tre mått som sedan styr varje teknisk och organisatorisk prioritering.

MTPD: Maximum Tolerable Period of Disruption. Den längsta tid verksamheten över huvud taget klarar sig utan processen innan skadan blir oacceptabel. Ett verksamhetsbeslut, inte ett tekniskt.
RTO: Recovery Time Objective. Målet för hur snabbt återställningen ska ske, satt kortare än MTPD för att lämna marginal. Observera att det är ett mål: tar den faktiska återställningen längre tid har ni missat ert eget, vilket bara syns om ni övat.
RPO: Recovery Point Objective. Hur mycket data ni accepterar att förlora, mätt i tid. Måttet styr backupfrekvensen och är det som avgör om nattlig säkerhetskopiering räcker.

Hur hänger måtten ihop med ISO 27001?

MTPD, RTO, RPO och analysen som ger dem kommer från ISO 22301, standarden för kontinuitetshantering. Arbetar ni mot ISO 27001 möter ni samma mark i fyra säkerhetsåtgärder: A.5.29 om informationssäkerhet under störning, A.5.30 om IKT-beredskap för kontinuitet, A.8.13 om säkerhetskopiering och A.8.14 om redundans. Vi arbetar med 22301:s mått eftersom de är etablerade och mätbara, men leverablerna märks mot båda standarderna och mot föreskriften, så att underlaget går att använda i vilket av spåren ni än står i.

Gäller detta bara produktionsmiljön?

Nej, och den avgränsningen håller inte. För produktionsmiljön ska acceptabla tider fastställas. För utvecklings-, test- och utbildningsmiljö ska ni identifiera och hantera behovet av att göra samma sak, bedöma behovet av redundans och planera för hur avbrott ska hanteras.

Skillnaden är praktisk, inte formell. En testmiljö som ligger nere blockerar återställningsarbetet, och utbildningsmiljön är ofta den enda plats där ett alternativt arbetssätt går att öva utan att störa driften.

Backup är inte kontinuitetsplanering

Sammanblandningen känns igen på svaret "vi har backup" när frågan gällde kontinuitet. Säkerhetskopiering är en teknisk åtgärd som skyddar data. Kontinuitetsplanering omfattar lokaler, personal, leverantörer, kommunikation och manuella rutiner för tiden innan tekniken är tillbaka.

Den andra återkommande upptäckten är att backupen aldrig återställts fullt ut. En säkerhetskopia som ingen prövat är ett antagande, inte ett skydd, och det visar sig vid sämsta tänkbara tillfälle: när den behövs. Föreskriftens 4 kap. 28 § kräver just att information ska kunna återställas inom de acceptabla tider ni fastställt, vilket är ett annat krav än att kopian finns.

Ett råd i föreskriften är värt att lyfta särskilt, eftersom det svarar direkt mot utpressningsangrepp: minst en säkerhetskopia bör skyddas mot skadlig kod genom att lagras på hårdvara som är separerad från källsystemet. En kopia som angriparen når från samma miljö som originalet är ingen kopia när det gäller.

Övat

Eller bara nedskrivet

Varför fungerar inte kontinuitetsplaner när de behövs?

För att de skrivits av någon som föreställt sig störningen i lugn och ro. En plan som aldrig prövats bygger på antaganden om att rätt personer är nåbara, att dokumentationen går att öppna och att alternativa rutiner fungerar. Alla tre antagandena prövas första gången i skarpt läge, och då samtidigt.

Ett vanligt exempel: kontinuitetsplanen ligger på intranätet, och intranätet är nere. Ett annat: krisorganisationen förutsätter en person som slutade i våras. Ett tredje: den manuella rutinen kräver en pappersblankett ingen längre har.

Därför innehåller workshopen en tabletop-övning, och den körs innan planutkastet skrivs. Övningen kostar en timme, och det är först i scenariot man märker vad man inte tänkt på. Bristerna som kommer fram är det planen skrivs för att hantera.

Halvdag

Med tabletop-övning

Från kritiska processer till övad plan

Workshopen tar cirka fyra timmar och genomförs på plats eller digitalt. Arbetet följer ISO 22301, och ni arbetar med era egna processer hela vägen. Scenariot i övningen väljs så att det träffar något ni faktiskt är beroende av, inte ett generiskt haveri.

Ramar och lagkrav
Vad 2 kap. 3 § p. 3 och MCFFS 2026:11 kräver av er, och vad de inte kräver. Trettio minuter som avgör vilken ambitionsnivå resten av dagen ska ha.
Identifiera kritiska processer
Vilka processer måste fungera för att verksamheten ska leverera? Frågan besvaras av verksamheten, inte av IT, och svaret överraskar ofta båda.
Verksamhetskonsekvensanalys
MTPD, RTO och RPO sätts per process i BIA-matrisen. Här blir beroendena synliga: en process med fyra timmars tolerans som vilar på ett system med ett dygns återställningstid.
Tabletop-övning
Analysen prövas mot ett scenario med hjälp av scenariokorten. Bristerna som kommer fram är det planen sedan skrivs för att hantera.
Kontinuitetsplan-utkast
Alternativa arbetssätt, krisorganisation, kontaktvägar och prioriteringsordning förs in i planmallen, med övningens fynd i handen. Sista momentet är att någon som inte fyllt i planen får pröva att använda den.

Vilka bör delta

Ledning, IT-ansvariga och verksamhetsansvariga från alla delar av organisationen. Bredden är viktigare här än i de flesta andra workshops: kritiska beroenden sitter mellan avdelningar, och de syns först när avdelningarna sitter i samma rum.

Vad ni förbereder

Ingenting obligatoriskt. Finns en processkarta, en systemförteckning eller en befintlig kontinuitetsplan skickar ni den i förväg. Har ni redan satt RTO för era system tar vi med dem in i analysen och prövar om de håller mot verksamhetens svar.

Åtta

Leverabler i paketet

Vad ni har i handen efteråt

Ni får ett paket som går att arbeta vidare i, och som håller som underlag vid tillsyn. Inget av det byggs under passet: materialet finns färdigt när vi kommer.

BIA-matris: Verksamhetskonsekvensanalysen med MTPD, RTO och RPO per process, inklusive en mognadsbedömning av var ni står.
Kontinuitetsplan-utkast: Planmallen ifylld med era processer, alternativa arbetssätt och krisorganisation så långt ni hann under passet.
Scenariokort: Underlag för att öva vidare internt, så att planen prövas mer än den gång vi var där.
Instruktionsbok: Hur BIA-matrisen och planen underhålls när verksamheten förändras. Materialet ska överleva den som var med.
Handlingskort: Kortformat för dem som ska agera i skarpt läge, när ingen hinner läsa en plan på trettio sidor.
Lagkravsmappning: Hur materialet svarar mot MCFFS 2026:11 3 kap. 14–16 §§, 3 kap. 18 § och 4 kap. 28 §, mot lagens 2 kap. 3 § p. 3 och mot ISO 22301 och ISO 27001. Paragraf för paragraf, så att underlaget går att visa upp.
Ledningsrapport: Resultatet sammanfattat för beslut, med de avvägningar som kräver ledningens ställningstagande.
Offline-paket: Workshopens kärninnehåll som självbärande PDF, gjord för att skrivas ut. En plan som bara finns i systemet som är nere hjälper ingen.

Fast pris, angivet i offert. Workshopen tar vid där incidenthanteringen slutar: när störningen blivit långvarig och verksamheten måste fungera ändå. Kravet på att på förhand säkra stöd från era leverantörer möter ni från andra hållet i leverantörssäkerheten, där föreskriften kräver att ni hanterar behovet av kontinuitet i leveranskedjan.

Vanliga frågor

Vad är skillnaden mellan backup och kontinuitetsplanering?: Backup är en teknisk åtgärd som skyddar data. Kontinuitetsplanering omfattar hela verksamheten: lokaler, personal, leverantörer, kommunikation och de manuella rutiner som ska bära er tills tekniken är tillbaka. Att ha backup svarar inte på frågan om verksamheten kan leverera under tiden.
Vad betyder RTO och RPO?: RTO, Recovery Time Objective, är målet för hur snabbt en process ska vara återställd. RPO, Recovery Point Objective, är hur mycket data ni accepterar att förlora mätt i tid, vilket styr backupfrekvensen. RTO är ett mål, inte en uppmätt tid. Skillnaden syns först när ni övat.
Blir kontinuitetsplanen färdig under workshopen?: Nej. Ni går hem med en påbörjad verksamhetskonsekvensanalys för era kritiska processer och ett planutkast, plus materialet för att arbeta vidare. Målet är en grund som håller, inte ett färdigt dokument på fyra timmar.
Kräver cybersäkerhetslagen att vi har en kontinuitetsplan?: Lagen anger kontinuitetshantering och krishantering som säkerhetsområde i 2 kap. 3 § p. 3, men föreskriver inte ett visst dokument. MCFFS 2026:11 3 kap. 14–16 §§ är mer konkret från 2026-10-01: ni ska fastställa en prioriteringsordning för återställning, acceptabla tider för otillgänglighet, och alternativa arbetssätt som ska övas. Det är svårt att uppfylla utan en plan, även om ordet plan inte står i texten.
Hur ofta ska kontinuitetsplanen övas?: Föreskriftens allmänna råd anger vid behov men minst en gång per år, på två ställen med två olika föremål: dels användning av alternativa arbetssätt och återställning av sektorskritiska system, dels krishanteringen avseende sektorsverksamhet. Det är allmänna råd och inte bindande krav, och ledet vid behov betyder att årsintervallet är ett golv snarare än ett tak.
Vi har en kontinuitetsplan men har aldrig övat den. Vad rekommenderar ni?: Börja med övningen. En plan som aldrig prövats bygger på antaganden: personer som slutat, dokumentation som ligger i systemet som är nere, rutiner som kräver något ingen längre har. Ett tabletop-moment på en timme prövar antagandena på ett sätt en genomläsning inte kan.
Vad kostar workshopen?: Fast pris, angivet i offert. Workshopen ingår också i det samlade workshopprogrammet, där paketpriset är lägre än de fem workshopparna var för sig.

Boka kontinuitetsplanering-workshopen

Börja med ett kostnadsfritt samtal på 30 minuter. Vi går igenom vilka processer som är mest kritiska hos er och om workshopen är rätt nästa steg. Inga förpliktelser.

Boka 30 minuter Läs om cybersäkerhetslagen