Hur lång tid tar riskanalys-workshopen?

Cirka fyra timmar, alltså en halvdag. Den genomförs på plats hos er eller digitalt. Tiden är satt så att alla fem stegen ryms, vilket kräver att gruppen håller sig till de mest kritiska tillgångarna i stället för att försöka täcka allt.

Blir vår riskanalys färdig under workshopen?

Nej, och det är inte målet. Ni går hem med ett påbörjat riskregister som täcker era mest kritiska tillgångar, en metod ni kan tillämpa vidare och en instruktionsbok för hur registret fylls på. En fullständig riskanalys för hela verksamheten är ett längre arbete.

Vad kostar workshopen?

Fast pris, angivet i offert. Ni vet beloppet innan ni bestämmer er. Workshopen ingår också i det samlade workshopprogrammet, där paketpriset är lägre än de fem workshopparna var för sig.

Varför en riskmatris med fyra nivåer och inte fem?

Ett jämnt antal nivåer tar bort mittenalternativet. Med fem nivåer hamnar en stor del av bedömningarna i mitten, vilket ger en matris som ser färdig ut men inte skiljer något från något. Fyra nivåer tvingar fram ett ställningstagande.

Vi har redan en riskanalys. Är workshopen ändå relevant?

Svaret avgörs av var analysen står i dag. Har ni en analys som gjordes en gång och sedan inte uppdaterats är det upprepningsförmågan som saknas, inte dokumentet. Skicka gärna över den befintliga analysen så säger vi rakt ut om workshopen tillför något.

Vilket ramverk följer ni?

Arbetssättet vilar på MCF:s metodstöd för systematiskt informationssäkerhetsarbete, och det är metodstödets objektspecifika riskanalys vi levererar, inte den strategiska riskbilden för hela organisationen. Resultatet är utformat för att svara mot cybersäkerhetslagen 2 kap. 3 § p. 1, mot MCFFS 2026:11 3 kap. 12–13 §§ från 2026-10-01, och mot ISO 27001 klausul 6.1.2 och 8.2 för bedömningen samt 6.1.3 och 8.3 för behandlingen. Behandlingsdelen är den workshopen faktiskt levererar, så den hör med i uppräkningen.

Nr 03

2026

Utbildningar

Riskanalysen som faktiskt blir gjord

En riskanalys som börjar i metodvalet kan fastna där. Den här workshopen vänder på ordningen: ni arbetar med er egen verksamhet från första minuten och går hem med ett påbörjat riskregister, inte med anteckningar om hur man gör ett.

Boka en kostnadsfri genomgång Vad lagen kräver

Kort svar

En riskanalys inom informationssäkerhet identifierar vad som kan hända era informationstillgångar, hur troligt det är och vad konsekvensen blir. Cybersäkerhetslagen (SFS 2025:1506) kräver strategier för riskanalys i 2 kap. 3 § p. 1. Från 2026-10-01 preciserar MCFFS 2026:11 3 kap. 12–13 §§ vad det innebär. Vår workshop är en faciliterad halvdag där ni bygger ett riskregister och ett utkast till åtgärdsplan för ett avgränsat analysobjekt i er egen verksamhet.

2 kap. 3 §

MCFFS 2026:11, från 2026-10-01

Vad kräver cybersäkerhetslagen i fråga om riskanalys?

Punkt 1 i uppräkningen av säkerhetsåtgärder kräver strategier för riskanalys och för nätverks- och informationssystemens säkerhet. Formuleringen är kort, men den bär hela lagens logik: åtgärderna ska vara lämpliga och proportionella i förhållande till risken, och den bedömningen går inte att göra utan att riskerna är kända.

Punkten anger området, inte metoden. Metoden står i MCF:s föreskrift MCFFS 2026:11, som är beslutad och träder i kraft 2026-10-01. Från det datumet ska ni enligt föreskriftens 3 kap. 12 § identifiera, analysera och värdera risker utifrån konsekvens och sannolikhet, utforma nivåer och kriterier så att risker kan jämföras över tid, och fastställa kriterier för riskacceptans. Enligt 3 kap. 13 § ska de åtgärder ni väljer, och de risker de omhändertar, dokumenteras i en åtgärdsplan med ansvarig roll och tidpunkt per åtgärd.

Riskanalysen är också det område som resten vilar på. Beslut om kryptering, åtkomstkontroll, leverantörskrav och kontinuitet ska alla kunna härledas till en bedömd risk. Resultatet ska dessutom kopplas till er informationssäkerhetspolicy och till mål och inriktning för cybersäkerheten, och ledningen ska informeras om genomförandet och om er nivå av cybersäkerhet vid behov men minst en gång per år.

Vilka tre källor ska riskarbetet utgå från?

Föreskriften pekar ut tre indata, och de är parallella snarare än steg efter varandra: relevant informationsklassning, information från omvärldsbevakning och information om incidenter och tillbud. Ordet relevant står i källan och är värt att uppehålla sig vid. Kravet är inte en avslutad klassning av hela organisationen, utan klassning som är relevant för det ni analyserar. Annars vore riskarbetet blockerat av ett projekt som sällan blir färdigt.

Föreskriftens allmänna råd pekar dessutom ut utkontrakterad informationsbehandling, digitala leveranskedjor och den digitala miljön i sin helhet som egna värderingsområden. Vår läsning av det är att beroendena behöver kartläggas för att kunna värderas, och vi arbetar därför med dem i workshopen. Att den slutsatsen är vår och inte föreskriftens ord säger vi hellre rakt ut.

Gäller föreskriften alla?

Nej. Föreskriften omfattar inte verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster mellan företag, post- och budtjänster eller rymden. För dem gäller av föreskriften endast ledningens utbildning. Lagens krav på riskanalys i 2 kap. 3 § p. 1 gäller däremot fullt ut även för dem: det undantaget finns inte i lagen.

4 × 4

Sannolikhet mot konsekvens

Hur bedöms en risk i praktiken?

Vi arbetar med en riskmatris i fyra steg på vardera axeln: hur troligt något är, och hur illa det blir om det inträffar. Fyra nivåer är tillräckligt för att skilja det brådskande från det som kan vänta, och få nog för att en grupp faktiskt ska kunna enas under en halvdag.

Ett jämnt antal nivåer har dessutom en egenskap som är lätt att missa: det finns ingen mittpunkt att lägga sig på när man är osäker. Gruppen tvingas ta ställning åt något håll, och det är i den diskussionen bedömningen faktiskt görs.

Fyra nivåer är däremot vårt val, inte ett krav. Föreskriften säger att ni ska utforma nivåerna och kriterierna, och att de ska hänga ihop så att risker går att jämföra över tid. Vi kommer med ett förslag till workshopen, ni fastställer det. Detsamma gäller kriterierna för riskacceptans: att de ska finnas är ett krav från 2026-10-01, hur högt ribban ligger är ert beslut.

En sak till som ofta saknas i bedömningen: de skydd ni redan har. En risk som värderas som om ingenting fanns på plats blir systematiskt övervärderad, och prioriteringen därefter. Vi väger därför in befintliga åtgärders effekt när risknivån sätts. Att göra det just vid analysen är vår metod snarare än föreskriftens ord. Vad föreskriften kräver är att åtgärdernas lämplighet följs upp.

Fyra sätt att behandla en risk

Reducera: Inför en säkerhetsåtgärd som sänker sannolikheten eller konsekvensen. Det val som ligger närmast till hands, och det som kostar.
Undvika: Sluta med aktiviteten som skapar risken. Ibland det enda rimliga, ofta det som ingen vågar föreslå.
Överföra: Lägg risken hos någon annan genom försäkring eller avtal. Observera att ansvaret enligt lagen inte följer med.
Acceptera: Ta risken medvetet. Ett fullgott val, men det kräver att en namngiven riskägare faktiskt fattar beslutet.

Vem accepterar en risk: riskägaren eller ledningen?

Riskägaren. Enligt ISO 27001 6.1.3 är det riskägarna som godkänner behandlingsplanen och accepterar den risk som blir kvar, alltså de som äger verksamheten eller systemet risken sitter i. Föreskriften känner inte begreppet riskägare: 3 kap. 13 § pekar ut vem som ansvarar för att en åtgärd genomförs, vilket är en annan roll och ett annat moment.

Ledningen har egna uppgifter, och de är värda att hålla isär. Enligt föreskriftens allmänna råd bör ledningen fastställa kriterierna för riskacceptans (ett råd, inte ett krav). Ledningen ska också godkänna och övervaka genomförandet av säkerhetsåtgärderna och hållas informerad vid behov men minst en gång per år. Att vi ändå rekommenderar ledningsförankring är vår erfarenhet av vad som håller vid en granskning, inte något ramverken kräver av er.

Fyra

Mönster som går att bygga bort

Varför blir riskanalyser hyllvärmare?

Det som avgör om en riskanalys lever vidare är inte metodvalet. Fyra mönster avgör det, och alla fyra är förutsägbara nog att gå att bygga bort redan under workshopen. Det här är våra egna kontrollpunkter, byggda på erfarenhet. De är inte en rangordning av vad tillsynen träffar hårdast, och sådan statistik finns oss veterligen inte.

Riskanalysen görs en gång. Den blir ett projekt med en slutrapport i stället för något som lever vidare. Föreskriften kräver från 2026-10-01 att ni identifierar och hanterar behovet av att uppdatera genomförda riskanalyser när hotbilden ändras eller nya sårbarheter dyker upp.
Policyn saknar koppling till registret. Två dokument som lever sina egna liv, där policyn beskriver ambitioner som riskregistret inte känner till.
Riskerna saknar ägare. En risk utan namngiven riskägare är ingens ansvar, och den behandlas därefter. Det är också riskägaren som ska godkänna behandlingen och acceptera det som blir kvar.
Beslutet fattas aldrig av någon. Riskacceptans som ingen uttalar är inte riskacceptans, och den håller inte vid en granskning. Underlaget cirkuleras, alla nickar, ingen skriver under.

Därför är sista steget i workshopen dokumentation med namngivna riskägare, och därför lägger vi beslutet i ett eget tillfälle efteråt i stället för att klämma in det i slutet av en halvdag.

Halvdag

Sex till åtta deltagare

Fem steg på en halvdag, med er egen verksamhet på bordet

Workshopen tar cirka fyra timmar och genomförs på plats eller digitalt. Vi håller i strukturen och tidsättningen så att ni hinner igenom alla fem stegen, vilket är det som avgör om ni går hem med ett resultat eller med en påbörjad diskussion.

Arbetssättet vilar på MCF:s metodstöd för systematiskt informationssäkerhetsarbete, och materialet är vårt eget. Metodstödet rymmer två skilda riskprodukter, och det är värt att säga vilken vi levererar: den objektspecifika riskanalysen för ett avgränsat område ni pekar ut. Den strategiska riskbilden för hela organisationen, som ledningen beslutar och som bygger på en egen hotbildsbeskrivning, är en annan produkt och ingår inte här.

Halvdagen är er insats, inte hela leveransen. Före workshopen avgränsar vi analysobjektet tillsammans med er, samlar in underlaget, anpassar hotbiblioteket till er sektor och tar fram förslag till risk- och acceptanskriterier. Efter workshopen färdigställer vi registret, formulerar åtgärdsplanen enligt föreskriftens formkrav och skriver sammanfattningen för ledningen. Förarbetet och efterarbetet är tillsammans större än själva workshoptillfället.

Inventera tillgångar
Vilken information och vilka system är värda att skydda? Vi börjar med de mest kritiska i stället för att försöka få med allt, eftersom ett register som ska vara komplett innan det används aldrig blir färdigt.
Identifiera hot
Vad kan hända tillgångarna? Vi arbetar med ett hotbibliotek som underlag, så att gruppen slipper hitta på hotbilden från början och i stället kan diskutera vilka som är relevanta.
Bedöm risker
Sannolikhet och konsekvens sätts i en matris med fyra nivåer per axel. Diskussionen om varför bedömningarna skiljer sig åt är en av workshopens mest värdefulla delar.
Välj behandling
Reducera, undvika, överföra eller acceptera, med en namngiven ägare per risk. Här blir det tydligt vilka beslut som kräver ledningen och vilka som kan fattas direkt.
Dokumentera
Resultatet förs in i riskregistret under workshopen, inte efteråt. Det är skillnaden mellan ett underlag och en minnesanteckning.

Vilka bör delta

IT-ansvariga, verksamhetsansvariga och en representant från ledningen. Finns en säkerhetsansvarig hör hen hit, och har ni en inköps- eller upphandlingsfunktion bidrar den med överblicken över leverantörsriskerna, men ingen av de två är ett krav. Optimalt sex till åtta deltagare med en blandning av IT och verksamhet. Blandningen är inte en detalj: risker som bara IT ser blir tekniska, och risker som bara verksamheten ser saknar åtgärd.

Vad ni förbereder

Två saker är obligatoriska, och båda löser vi tillsammans i förberedelsen: att analysobjektet är avgränsat och beslutat, och att de som deltar har mandat att fastställa risk- och acceptanskriterier. Övrigt underlag är önskvärt men inget krav: finns en systemförteckning, en tidigare riskanalys, en informationsklassning eller en sammanställning av inträffade incidenter vinner vi tid på att få den i förväg.

Beslutstillfället – ett eget möte efteråt

Riskägarnas godkännande av behandlingsplanen och deras acceptans av kvarstående risk sker vid ett separat, kortare möte när underlaget är färdigställt. Det protokollförs med namn och datum. Vi lägger det utanför workshopen av ett enkelt skäl: ett beslut som fattas under sista kvarten av en halvdag, på ett underlag ingen hunnit läsa, är inte ett beslut som håller när någon frågar efter det.

Åtta

Leverabler, var och en namngiven

Vad ni har i handen efteråt

Workshopmaterialet är färdigproducerat och verifierat. Ni får ett paket som går att arbeta vidare i utan att någon behöver bygga mallar först. Åtta leverabler, och vi skriver ut vad var och en är.

Riskregister: Ifyllt med de risker ni arbetat fram under workshopen. Varje rad bär konsekvens, sannolikhet, risknivå, behandlingsval och ansvarig roll.
Utkast till åtgärdsplan: Valda åtgärder och de risker de omhändertar, var och en med ansvarig roll eller ansvarsområde och ett datum. Det är formkravet i 3 kap. 13 §, och vi använder föreskriftens ord åtgärdsplan när vi åberopar den.
Riskkriterier och acceptanskriterier: Preliminära, med antal nivåer och vad varje nivå innebär för konsekvens respektive sannolikhet. Framtagna för att ni ska kunna fastställa dem, inte för att ersätta ert beslut.
Instruktionsbok till registret: Så att nästa uppdatering går att göra utan oss. Godkänd när ni kan lägga till en ny risk utan vår medverkan.
Sammanfattning för ledningen: Analysobjektet, de högst värderade riskerna, valda behandlingar och vilka beslut som återstår. Med mall och färdigt exempel att utgå från.
Protokoll från beslutstillfället: Riskägarnas godkännande av behandlingsplanen och deras acceptans av kvarstående risk, dokumenterade med namn och datum.
Hotbibliotek: Underlaget vi arbetar med i steg 2, anpassat till er sektor, så att gruppen slipper hitta på hotbilden från början.
Utbildningsmaterial: Underlaget från workshopen i en form som går att använda internt för den som inte kunde delta.

Fast pris, angivet i offert. Workshopen kan genomföras fristående, men ger mest när nuläget är känt genom en säkerhetsanalys först.

3 kap. 12 §

Händelsestyrt, inte årligt

Hur ofta ska riskanalysen göras om?

Här blandas två olika saker lätt ihop, och skillnaden är värd att hålla rak. Riskanalysen har inget årsintervall i föreskriften. Kravet i 3 kap. 12 § tredje stycket är händelsestyrt: ni ska identifiera och hantera behovet av att uppdatera genomförda analyser när hoten förändras eller nya sårbarheter blir kända.

Årsintervallet finns på ett annat ställe och gäller något annat. Enligt 3 kap. 19 § ska uppföljningen och utvärderingen av säkerhetsåtgärderna för sektorskritiska system ske vid behov men minst en gång per år. Det är alltså åtgärdernas lämplighet som följs upp årligen, inte riskanalysen som helhet, och kravet är knutet till de system som är sektorskritiska.

Att vi ändå brukar föreslå en fast rytm för översyn är vår modell, inte ett krav ur någon källa. Den finns för att händelsestyrda krav i praktiken tenderar att bli ingen rytm alls.

Vad ni gör själva efteråt

Ni äger resultatet och driver det vidare. Instruktionsboken finns just för det: uppdateringen av registret, uppföljningen av åtgärderna och genomförandet av dem är ert arbete och ingår inte i workshopen.

Vi säljer alltså inte fortlöpande efterlevnad. Workshopen ger ett analysresultat och en metod ni kan upprepa. Behöver ni någon som driver arbetet löpande är det ett vCISO-uppdrag, och en ny workshop för ett nytt analysobjekt är en egen leverans.

Vanliga frågor

Hur lång tid tar riskanalys-workshopen?: Cirka fyra timmar, alltså en halvdag. Den genomförs på plats hos er eller digitalt. Tiden är satt så att alla fem stegen ryms, vilket kräver att gruppen håller sig till de mest kritiska tillgångarna i stället för att försöka täcka allt.
Blir vår riskanalys färdig under workshopen?: Nej, och det är inte målet. Ni går hem med ett påbörjat riskregister som täcker era mest kritiska tillgångar, en metod ni kan tillämpa vidare och en instruktionsbok för hur registret fylls på. En fullständig riskanalys för hela verksamheten är ett längre arbete.
Vad kostar workshopen?: Fast pris, angivet i offert. Ni vet beloppet innan ni bestämmer er. Workshopen ingår också i det samlade workshopprogrammet, där paketpriset är lägre än de fem workshopparna var för sig.
Varför en riskmatris med fyra nivåer och inte fem?: Ett jämnt antal nivåer tar bort mittenalternativet. Med fem nivåer hamnar en stor del av bedömningarna i mitten, vilket ger en matris som ser färdig ut men inte skiljer något från något. Fyra nivåer tvingar fram ett ställningstagande.
Vi har redan en riskanalys. Är workshopen ändå relevant?: Svaret avgörs av var analysen står i dag. Har ni en analys som gjordes en gång och sedan inte uppdaterats är det upprepningsförmågan som saknas, inte dokumentet. Skicka gärna över den befintliga analysen så säger vi rakt ut om workshopen tillför något.
Vilket ramverk följer ni?: Arbetssättet vilar på MCF:s metodstöd för systematiskt informationssäkerhetsarbete, och det är metodstödets objektspecifika riskanalys vi levererar, inte den strategiska riskbilden för hela organisationen. Resultatet är utformat för att svara mot cybersäkerhetslagen 2 kap. 3 § p. 1, mot MCFFS 2026:11 3 kap. 12–13 §§ från 2026-10-01, och mot ISO 27001 klausul 6.1.2 och 8.2 för bedömningen samt 6.1.3 och 8.3 för behandlingen. Behandlingsdelen är den workshopen faktiskt levererar, så den hör med i uppräkningen.
Vem ska besluta om vi accepterar en risk?: Riskägaren, alltså den som äger verksamheten eller systemet där risken sitter. Enligt ISO 27001 6.1.3 är det riskägarna som godkänner behandlingsplanen och accepterar kvarstående risk. MCFFS 2026:11 känner inte begreppet riskägare: 3 kap. 13 § pekar ut vem som ansvarar för att en åtgärd genomförs, vilket är en annan roll. Föreskriftens allmänna råd säger däremot att ledningen bör fastställa kriterierna för riskacceptans, alltså ribban, inte det enskilda beslutet.

Boka riskanalys-workshopen

Börja med ett kostnadsfritt samtal på 30 minuter. Vi går igenom var ni står, vilka tillgångar som bör prioriteras och om workshopen är rätt nästa steg för er. Inga förpliktelser.

Boka 30 minuter Läs om cybersäkerhetslagen