Hur lång tid tar riskanalys-workshopen?

Fyra timmar, alltså en halvdag. Den genomförs digitalt, eller på plats hos er om ni väljer det. Tiden är satt så att alla fem stegen ryms, vilket kräver att gruppen håller sig till de mest kritiska tillgångarna i stället för att försöka täcka allt.

Blir vår riskanalys färdig under workshopen?

Nej, och det är inte målet. Ni går hem med ett påbörjat riskregister som täcker era mest kritiska tillgångar, en metod ni kan tillämpa vidare och en instruktionsbok för hur registret fylls på. En fullständig riskanalys för hela verksamheten är ett längre arbete.

Vad kostar workshopen?

Fast pris, angivet i offert. Ni vet beloppet innan ni bestämmer er. Workshopen ingår också i det samlade workshopprogrammet, där paketpriset är lägre än de fem workshopparna var för sig.

Varför en riskmatris med fyra nivåer och inte fem?

Ett jämnt antal nivåer tar bort mittenalternativet. Med fem nivåer hamnar en stor del av bedömningarna i mitten, vilket ger en matris som ser färdig ut men inte skiljer något från något. Fyra nivåer tvingar fram ett ställningstagande.

Vi har redan en riskanalys. Är workshopen ändå relevant?

Svaret avgörs av var analysen står i dag. Har ni en analys som gjordes en gång och sedan inte uppdaterats är det upprepningsförmågan som saknas, inte dokumentet. Skicka gärna över den befintliga analysen så säger vi rakt ut om workshopen tillför något.

Vilket ramverk följer ni?

Arbetssättet vilar på metodstödet för systematiskt informationssäkerhetsarbete, och det är metodstödets objektspecifika riskanalys vi levererar, inte den strategiska riskbilden för hela organisationen. Resultatet är utformat för att svara mot cybersäkerhetslagen 2 kap. 3 § p. 1, mot MCFFS 2026:11 3 kap. 12–13 §§ från 2026-10-01, och mot ISO 27001 klausul 6.1.2 och 8.2 för bedömningen samt 6.1.3 och 8.3 för behandlingen. Behandlingsdelen är den workshopen faktiskt levererar, så den hör med i uppräkningen.

Vem ska besluta om vi accepterar en risk?

Riskägaren, som ni själva utser, i praktiken ofta den som äger verksamheten eller systemet där risken sitter. Enligt ISO 27001 6.1.3 är det riskägarna som godkänner behandlingsplanen och accepterar kvarstående risk. MCFFS 2026:11 använder inte begreppet riskägare: 3 kap. 13 § pekar ut vem som ansvarar för att en åtgärd genomförs, vilket är en annan roll. Föreskriftens allmänna råd säger däremot att ledningen bör fastställa kriterierna för riskacceptans, alltså ribban, inte det enskilda beslutet.

Nr 03

2026

Utbildningar

Riskanalysen som faktiskt blir gjord

En riskanalys som börjar i metodvalet kan fastna där. Den här workshopen vänder på ordningen: ni arbetar med er egen verksamhet från första minuten och går hem med ett påbörjat riskregister, inte med anteckningar om hur man gör ett.

Boka en kostnadsfri genomgång Vad lagen kräver

Kort svar

En riskanalys inom informationssäkerhet identifierar vad som kan hända era informationstillgångar, hur troligt det är och vad konsekvensen blir. Cybersäkerhetslagen (SFS 2025:1506) kräver strategier för riskanalys i 2 kap. 3 § punkt 1. Sedan den 1 oktober 2026 preciserar MCFFS 2026:11 3 kap. 12–13 §§ vad det innebär. Vår workshop är en halvdag som vi leder och där ni bygger ett riskregister och ett utkast till åtgärdsplan för ett avgränsat analysobjekt i er egen verksamhet.

2 kap. 3 §

MCFFS 2026:11, från den 1 oktober 2026

Vad kräver cybersäkerhetslagen i fråga om riskanalys?

Punkt 1 i uppräkningen av säkerhetsåtgärder kräver strategier för riskanalys och för nätverks- och informationssystemens säkerhet. Formuleringen är kort, men den rymmer hela lagens logik: åtgärderna ska vara lämpliga och proportionella i förhållande till risken, och den bedömningen går inte att göra utan att riskerna är kända.

Punkten anger området, inte metoden. Metoden står i föreskriften MCFFS 2026:11, som trädde i kraft den 1 oktober 2026. Från det datumet ska ni enligt föreskriftens 3 kap. 12 § identifiera, analysera och värdera risker utifrån konsekvens och sannolikhet, utforma nivåer och kriterier så att risker kan jämföras över tid, och fastställa kriterier för riskacceptans. Enligt 3 kap. 13 § ska de åtgärder ni väljer, och de risker åtgärderna omhändertar, dokumenteras i en åtgärdsplan som anger ansvarig roll eller ansvarsområde och när varje åtgärd ska vara genomförd.

Riskanalysen är också det område som det övriga säkerhetsarbetet vilar på. Beslut om kryptering, åtkomstkontroll, leverantörskrav och kontinuitet ska alla kunna härledas till en bedömd risk. Era interna regler, till exempel informationssäkerhetspolicyn, ska dessutom utgå från identifierade risker och från fastställda mål och inriktning för cybersäkerheten. Ledningen ska informeras om genomförandet och om er nivå av cybersäkerhet vid behov men minst en gång per år.

Vilka tre källor ska riskarbetet utgå från?

Föreskriften pekar ut tre typer av underlag, och de är parallella snarare än steg efter varandra: relevant informationsklassning, information från omvärldsbevakning och information om incidenter och tillbud. Ordet relevant står i källan, men den säger inte relevant för vad. Vi läser det som klassning som är relevant för det ni analyserar, inte en avslutad klassning av hela organisationen. Annars vore riskarbetet blockerat av ett projekt som sällan blir färdigt.

Föreskriftens allmänna råd pekar dessutom ut utkontrakterad informationsbehandling, digitala leveranskedjor och den digitala miljön i sin helhet som egna värderingsområden. Vår läsning av det är att beroendena behöver kartläggas för att kunna värderas, och vi arbetar därför med dem i workshopen. Att den slutsatsen är vår och inte föreskriftens ord säger vi hellre rakt ut.

Gäller föreskriften alla?

Nej. Föreskriftens krav på säkerhetsåtgärder gäller inte verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden. För dem gäller endast föreskriftens krav på ledningens utbildning. Lagens krav på riskanalys i 2 kap. 3 § punkt 1 gäller däremot fullt ut även för dem: det undantaget finns inte i lagen.

4 × 4

Sannolikhet mot konsekvens

Hur bedöms en risk i praktiken?

Vi arbetar med en riskmatris i fyra nivåer på vardera axeln: hur troligt något är, och hur illa det blir om det inträffar. Fyra nivåer är tillräckligt för att skilja det brådskande från det som kan vänta, och få nog för att en grupp faktiskt ska kunna enas under en halvdag.

Ett jämnt antal nivåer har dessutom en egenskap som är lätt att missa: det finns ingen mittpunkt att lägga sig på när man är osäker. Gruppen tvingas ta ställning åt något håll, och det är i den diskussionen bedömningen faktiskt görs.

Fyra nivåer är däremot vårt val, inte ett krav. Föreskriften säger att ni ska utforma nivåerna och kriterierna, och att de ska hänga ihop så att risker går att jämföra över tid. Vi kommer med ett förslag till workshopen, ni fastställer det. Detsamma gäller kriterierna för riskacceptans: att de ska finnas har varit ett krav sedan den 1 oktober 2026, hur högt ribban ligger är ert beslut.

En sak till som ofta saknas i bedömningen: de skydd ni redan har. En risk som värderas som om ingenting fanns på plats blir systematiskt övervärderad och får därmed för hög prioritet. Vi väger därför in befintliga åtgärders effekt när risknivån sätts. Att göra det just vid analysen är vår metod snarare än föreskriftens ord. Vad föreskriften kräver är att åtgärdernas lämplighet följs upp.

Fyra sätt att behandla en risk

Reducera: Inför en säkerhetsåtgärd som sänker sannolikheten eller konsekvensen. Det val som ligger närmast till hands, och det som kostar.
Undvika: Sluta med aktiviteten som skapar risken. Ibland det enda rimliga, ofta det som ingen vågar föreslå.
Överföra: Lägg risken hos någon annan genom försäkring eller avtal. Observera att ansvaret enligt lagen inte följer med.
Acceptera: Ta risken medvetet. Ett fullgott val, men det kräver att en namngiven riskägare faktiskt fattar beslutet.

Vem accepterar en risk: riskägaren eller ledningen?

Riskägaren. Enligt ISO 27001 6.1.3 är det riskägarna som godkänner behandlingsplanen och godtar den risk som blir kvar. Vem som är riskägare utser ni själva, och i praktiken är det ofta den som äger verksamheten eller systemet som risken gäller. Föreskriften använder inte begreppet riskägare: 3 kap. 13 § pekar ut vem som ansvarar för att en åtgärd genomförs, vilket är en annan roll och ett annat moment.

Ledningen har egna uppgifter, skilda från riskägarens. Enligt föreskriftens allmänna råd bör ledningen fastställa kriterierna för riskacceptans (ett råd, inte ett krav). Ledningen ska också godkänna och övervaka genomförandet av säkerhetsåtgärderna och hållas informerad vid behov men minst en gång per år. Att vi ändå rekommenderar ledningsförankring bygger på vår erfarenhet av vad som håller vid en granskning, inte på något ramverken kräver av er.

Fyra

Mönster som går att bygga bort

Varför blir riskanalyser hyllvärmare?

Det som avgör om en riskanalys lever vidare är inte metodvalet. Fyra mönster avgör det, och alla fyra är förutsägbara nog att gå att bygga bort redan under workshopen. Det här är våra egna kontrollpunkter, byggda på erfarenhet. De är inte en rangordning av vad tillsynen bedömer strängast, och sådan statistik finns oss veterligen inte.

Riskanalysen görs en gång. Den blir ett projekt med en slutrapport i stället för något som lever vidare. Föreskriften kräver sedan den 1 oktober 2026 att ni identifierar och hanterar behovet av att uppdatera genomförda riskanalyser när hotbilden ändras eller nya sårbarheter dyker upp.
Policyn saknar koppling till registret. Två dokument utan koppling till varandra, där policyn beskriver ambitioner som inte avspeglas i riskregistret.
Riskerna saknar ägare. En risk utan namngiven riskägare är ingens ansvar, och den behandlas därefter. Enligt ISO 27001 är det också riskägaren som godkänner behandlingen och godtar det som blir kvar.
Beslutet fattas aldrig av någon. Riskacceptans som ingen uttalar är inte riskacceptans, och den håller inte vid en granskning. Underlaget cirkuleras, alla nickar, ingen skriver under.

Därför är sista steget i workshopen dokumentation med namngivna riskägare, och därför lägger vi beslutet vid ett eget tillfälle efteråt i stället för att klämma in det i slutet av en halvdag.

Halvdag

Sex till åtta deltagare

Fem steg på en halvdag, med er egen verksamhet på bordet

Workshopen tar fyra timmar och genomförs digitalt, eller på plats om ni väljer det. Vi håller i strukturen och tidsplaneringen så att ni hinner igenom alla fem stegen, vilket är det som avgör om ni går hem med ett resultat eller med en påbörjad diskussion.

Arbetssättet vilar på det nationella metodstödet för systematiskt informationssäkerhetsarbete, och materialet är vårt eget. Metodstödet rymmer två skilda underlag om risker, och vi levererar det ena: den objektspecifika riskanalysen för ett avgränsat område ni pekar ut. Den strategiska riskbilden för hela organisationen, som ledningen beslutar och som bygger på en egen hotbildsbeskrivning, är en annan produkt och ingår inte här.

Halvdagen är en del av er insats, inte hela leveransen. Före workshopen avgränsar vi analysobjektet tillsammans med er, samlar in underlaget, anpassar hotbiblioteket till er sektor och tar fram förslag till risk- och acceptanskriterier. Efter workshopen färdigställer vi registret, formulerar åtgärdsplanen enligt föreskriftens formkrav och skriver sammanfattningen för ledningen. Förarbetet och efterarbetet är tillsammans större än själva workshoptillfället.

Inventera tillgångar
Vilken information och vilka system är värda att skydda? Vi börjar med de mest kritiska i stället för att försöka få med allt, eftersom ett register som ska vara komplett innan det används aldrig blir färdigt.
Identifiera hot
Vad kan hända tillgångarna? Vi arbetar med en samling beskrivna hot som underlag, så att gruppen slipper hitta på hotbilden från början och i stället kan diskutera vilka som är relevanta.
Bedöm risker
Sannolikhet och konsekvens sätts i en matris med fyra nivåer per axel. Diskussionen om varför bedömningarna skiljer sig åt är en av workshopens mest värdefulla delar.
Välj behandling
Reducera, undvika, överföra eller acceptera, med en namngiven ägare per risk. Här blir det tydligt vilka beslut som kräver ledningen och vilka som kan fattas direkt.
Dokumentera
Resultatet förs in i riskregistret under workshopen, inte efteråt.

Vilka bör delta

IT-ansvariga, verksamhetsansvariga och en representant från ledningen. Finns en säkerhetsansvarig hör hen hit, och har ni en inköps- eller upphandlingsfunktion bidrar den med överblicken över leverantörsriskerna, men ingen av de två är ett krav. Helst sex till åtta deltagare med en blandning av IT och verksamhet. Blandningen är inte en detalj: risker som bara IT ser blir tekniska, och risker som bara verksamheten ser saknar åtgärd.

Vad ni förbereder

Två saker är obligatoriska, och båda löser vi tillsammans i förberedelsen: att analysobjektet är avgränsat och beslutat, och att de som deltar har mandat att fastställa risk- och acceptanskriterier. Övrigt underlag är önskvärt men inget krav: finns en systemförteckning, en tidigare riskanalys, en informationsklassning eller en sammanställning av inträffade incidenter vinner vi tid på att få underlaget i förväg.

Beslutstillfället: ett eget möte efteråt

Riskägarnas godkännande av behandlingsplanen och deras acceptans av kvarstående risk sker vid ett separat, kortare möte när underlaget är färdigställt. Godkännandet och riskacceptansen protokollförs med namn och datum. Vi lägger mötet utanför workshopen av ett enkelt skäl: ett beslut som fattas under sista kvarten av en halvdag, på ett underlag ingen hunnit läsa, är inte ett beslut som håller när någon frågar efter det.

Åtta

Leverabler, var och en namngiven

Vad ni har i handen efteråt

Workshopmaterialet är färdigproducerat och verifierat. Ni får ett paket som går att arbeta vidare i utan att någon behöver bygga mallar först. Åtta leverabler.

Riskregister: Ifyllt med de risker ni arbetat fram under workshopen. Varje rad bär konsekvens, sannolikhet, risknivå, behandlingsval och ansvarig roll.
Utkast till åtgärdsplan: Valda åtgärder och de risker de omhändertar, var och en med ansvarig roll eller ansvarsområde och ett datum. Det är formkravet i 3 kap. 13 §, och vi använder föreskriftens ord åtgärdsplan när vi åberopar den.
Riskkriterier och acceptanskriterier: Preliminära, med antal nivåer och vad varje nivå innebär för konsekvens respektive sannolikhet. Framtagna för att ni ska kunna fastställa dem, inte för att ersätta ert beslut.
Instruktionsbok till registret: Så att nästa uppdatering går att göra utan oss. Godkänd när ni kan lägga till en ny risk utan vår medverkan.
Sammanfattning för ledningen: Analysobjektet, de högst värderade riskerna, valda behandlingar och vilka beslut som återstår. Med mall och färdigt exempel att utgå från.
Protokoll från beslutstillfället: Riskägarnas godkännande av behandlingsplanen och deras acceptans av kvarstående risk, dokumenterade med namn och datum.
Hotbibliotek: Underlaget vi arbetar med i steg 2, anpassat till er sektor, så att gruppen slipper hitta på hotbilden från början.
Utbildningsmaterial: Underlaget från workshopen i en form som går att använda internt för den som inte kunde delta.

Fast pris, angivet i offert. Workshopen kan genomföras fristående, men ger mest när nuläget är känt genom en säkerhetsanalys först.

3 kap. 12 §

Händelsestyrt, inte årligt

Hur ofta ska riskanalysen göras om?

Här blandas två olika saker lätt ihop. Riskanalysen har inget årsintervall i föreskriften. Kravet i 3 kap. 12 § tredje stycket är händelsestyrt: ni ska identifiera och hantera behovet av att uppdatera genomförda analyser när hoten förändras eller nya sårbarheter blir kända.

Årsintervallet finns på ett annat ställe och gäller något annat. Enligt 3 kap. 19 § ska uppföljningen och utvärderingen av säkerhetsåtgärderna för sektorskritiska system ske vid behov men minst en gång per år. Det är alltså åtgärdernas lämplighet som följs upp årligen, inte riskanalysen som helhet, och kravet är knutet till de system som är sektorskritiska.

Att vi ändå brukar föreslå en fast rytm för översyn är vår modell, inte ett krav ur någon källa. Den fasta rytmen finns för att händelsestyrda krav i praktiken tenderar att leda till att översynen inte blir regelbunden.

Vad ni gör själva efteråt

Ni äger resultatet och driver det vidare. Instruktionsboken finns just för det: uppdateringen av registret, uppföljningen av åtgärderna och genomförandet av dem är ert arbete och ingår inte i workshopen.

Vi säljer alltså inte fortlöpande efterlevnad. Workshopen ger ett analysresultat och en metod ni kan upprepa. Behöver ni löpande prioritering och uppföljning kan ett vCISO-uppdrag passa. En ny workshop för ett nytt analysobjekt är en egen leverans.

Vanliga frågor

Hur lång tid tar riskanalys-workshopen?: Fyra timmar, alltså en halvdag. Den genomförs digitalt, eller på plats hos er om ni väljer det. Tiden är satt så att alla fem stegen ryms, vilket kräver att gruppen håller sig till de mest kritiska tillgångarna i stället för att försöka täcka allt.
Blir vår riskanalys färdig under workshopen?: Nej, och det är inte målet. Ni går hem med ett påbörjat riskregister som täcker era mest kritiska tillgångar, en metod ni kan tillämpa vidare och en instruktionsbok för hur registret fylls på. En fullständig riskanalys för hela verksamheten är ett längre arbete.
Vad kostar workshopen?: Fast pris, angivet i offert. Ni vet beloppet innan ni bestämmer er. Workshopen ingår också i det samlade workshopprogrammet, där paketpriset är lägre än de fem workshopparna var för sig.
Varför en riskmatris med fyra nivåer och inte fem?: Ett jämnt antal nivåer tar bort mittenalternativet. Med fem nivåer hamnar en stor del av bedömningarna i mitten, vilket ger en matris som ser färdig ut men inte skiljer något från något. Fyra nivåer tvingar fram ett ställningstagande.
Vi har redan en riskanalys. Är workshopen ändå relevant?: Svaret avgörs av var analysen står i dag. Har ni en analys som gjordes en gång och sedan inte uppdaterats är det upprepningsförmågan som saknas, inte dokumentet. Skicka gärna över den befintliga analysen så säger vi rakt ut om workshopen tillför något.
Vilket ramverk följer ni?: Arbetssättet vilar på metodstödet för systematiskt informationssäkerhetsarbete, och det är metodstödets objektspecifika riskanalys vi levererar, inte den strategiska riskbilden för hela organisationen. Resultatet är utformat för att svara mot cybersäkerhetslagen 2 kap. 3 § p. 1, mot MCFFS 2026:11 3 kap. 12–13 §§ från 2026-10-01, och mot ISO 27001 klausul 6.1.2 och 8.2 för bedömningen samt 6.1.3 och 8.3 för behandlingen. Behandlingsdelen är den workshopen faktiskt levererar, så den hör med i uppräkningen.
Vem ska besluta om vi accepterar en risk?: Riskägaren, som ni själva utser, i praktiken ofta den som äger verksamheten eller systemet där risken sitter. Enligt ISO 27001 6.1.3 är det riskägarna som godkänner behandlingsplanen och accepterar kvarstående risk. MCFFS 2026:11 använder inte begreppet riskägare: 3 kap. 13 § pekar ut vem som ansvarar för att en åtgärd genomförs, vilket är en annan roll. Föreskriftens allmänna råd säger däremot att ledningen bör fastställa kriterierna för riskacceptans, alltså ribban, inte det enskilda beslutet.

Boka riskanalysworkshopen

Börja med ett kostnadsfritt samtal på 30 minuter. Vi går igenom var ni står, vilka tillgångar som bör prioriteras och om workshopen är rätt nästa steg för er. Inga förpliktelser.

Boka 30 minuter Läs om cybersäkerhetslagen