Incidenthantering: Så fungerar det i praktiken

Incidenthantering är verksamhetens förmåga att upptäcka, hantera och lära av oönskade händelser som påverkar information och IT-system. GDPR, cybersäkerhetslagen och DORA ställer krav på både arbetssätt och rapportering. Med ett incidenthanteringssystem samlar ni anmälan, bedömning och dokumentation på ett ställe.

Det här behöver du veta:

• Incidenthantering omfattar hela kedjan: förberedelse, upptäckt, åtgärd, rapportering och lärande
• En personuppgiftsincident ska som regel anmälas till IMY inom 72 timmar
• En betydande incident enligt cybersäkerhetslagen rapporteras till NCSC i 3 steg: 24 timmar, 72 timmar och 1 månad
• Alla personuppgiftsincidenter ska dokumenteras, även de som inte behöver anmälas
• Ledningen ansvarar för att incidenthanteringen fungerar, inte IT-avdelningen ensam

Vad är incidenthantering?

Incidenthantering är det samlade arbetet med att förebygga, upptäcka, begränsa och åtgärda incidenter, och att dra lärdomar av dem så att de inte upprepas.

En incident är enligt Metodstödet för systematiskt informationssäkerhetsarbete, som i dag drivs av Nationellt cybersäkerhetscenter (NCSC), ”en oönskad händelse med negativa konsekvenser”. En informationssäkerhetsincident är en händelse där skyddet brister så att informationens konfidentialitet, riktighet eller tillgänglighet påverkas.

Incidenthantering handlar om mer än att släcka bränder. Arbetet börjar innan något har hänt, med roller, rutiner och kriterier för vad som är allvarligt. Det slutar inte när systemet är igång igen, utan först när orsaken är utredd och åtgärderna är inlagda i riskarbetet. Den kopplingen minskar risken att samma incident inträffar igen 6 månader senare.

Incidenthantering inom IT: driftstörning eller säkerhetsincident?

Begreppet incidenthantering inom IT används om 2 olika saker: att återställa en IT-tjänst som slutat fungera, och att hantera en händelse som hotar informationens säkerhet.

Den första betydelsen kommer från IT-tjänstehantering och ramverket ITIL, där en incident är ett oplanerat avbrott eller en försämring i en IT-tjänst. Målet är att användaren ska kunna jobba igen så snabbt som möjligt. Den andra betydelsen kommer från informationssäkerhet, där målet är att skydda information, utreda vad som hänt och uppfylla rapporteringskrav.

Gränsen är inte skarp. En server som går ner kan vara ett vanligt hårdvarufel, men den kan också vara första tecknet på en cyberattack. Därför behöver servicedesken veta när ett ärende ska lyftas till säkerhetsorganisationen. Saknas den bryggan blir en säkerhetsincident ofta liggande som ett supportärende, medan rapporteringsfristerna löper.

Vilka lagar kräver incidenthantering?

I Sverige kräver framför allt GDPR, cybersäkerhetslagen och, för finansiella verksamheter, DORA att ni kan hantera och rapportera incidenter inom bestämda tidsfrister.

• Dataskyddsförordningen (EU 2016/679), GDPR: En personuppgiftsincident ska anmälas till IMY inom 72 timmar från att ni fått kännedom om den, om det inte är osannolikt att den medför en risk för de registrerade (art. 33). Medför den hög risk ska de registrerade också informeras utan onödigt dröjsmål (art. 34).
• Cybersäkerhetslagen (2025:1506): Lagen trädde i kraft 15 januari 2026 och genomför NIS2-direktivet (EU 2022/2555). Sedan 1 juli 2026 rapporteras betydande incidenter till NCSC vid FRA via cyberportalen. NCSC skickar sedan rapporten vidare till ansvarig tillsynsmyndighet. Detaljerna finns i föreskrifterna MCFFS 2026:8, och NCSC beskriver rapporteringen steg för steg. Vad lagen kräver i övrigt beskrivs i artikeln om cybersäkerhetslagen och NIS2.
• DORA-förordningen (EU 2022/2554): Finansiella entiteter ska klassificera IKT-relaterade incidenter och rapportera större incidenter till Finansinspektionen. Den första anmälan ska göras inom 4 timmar från att incidenten klassats som större, och senast 24 timmar efter upptäckten.

Samma händelse kan utlösa flera rapporteringsplikter samtidigt. En ransomwareattack mot en kommun kan vara både en personuppgiftsincident och en betydande incident, och då ska IMY och NCSC ha var sin rapport. ISO 27001 är frivillig, men den som certifierar sig ska i regel ha planerad och dokumenterad incidenthantering enligt standardens kontroller 5.24 till 5.28.

Hur går incidenthantering till?

Incidenthantering går till så att ni förbereder er, upptäcker och bedömer incidenten, begränsar skadan, rapporterar och till sist utvärderar vad som hänt.

1. Förbered. Roller, rutiner, kontaktlistor och kriterier för allvarlighetsgrad finns på plats innan något händer.
2. Upptäck och anmäl. Medarbetare och system larmar, och incidenten registreras.
3. Bedöm och klassa. Hur allvarlig är incidenten, och utlöser den rapporteringsplikt?
4. Begränsa och åtgärda. Skadan begränsas, orsaken tas bort och verksamheten återställs.
5. Rapportera. Myndigheter och berörda informeras inom gällande frister.
6. Utvärdera och lär. Grundorsaken utreds och lärdomarna förs in i riskarbetet.

Varje steg, med vad som ska stå i incidenthanteringsplanen och rutinerna, beskrivs i artikeln om incidenthanteringsprocessen.

Vem ansvarar för incidenthanteringen?

Ytterst ansvarar ledningen för att incidenthanteringen fungerar, medan det operativa arbetet leds av en utsedd incidentansvarig.

Ansvaret följer av lagen. Enligt GDPR är det den personuppgiftsansvarige som ska anmäla och dokumentera personuppgiftsincidenter. Enligt cybersäkerhetslagen ska ledningen godkänna och följa upp verksamhetens riskhanteringsåtgärder, där incidenthantering ingår. Rollerna brukar fördelas så här:

• Ledningen: Beslutar om organisation, resurser och när krisledning ska aktiveras.
• Incidentansvarig eller incidentsamordnare: Leder hanteringen, fattar operativa beslut och håller ihop dokumentationen.
• IT och leverantörer: Begränsar skadan tekniskt och återställer system.
• Dataskyddsombud: Ger råd om personuppgiftsincidenter och övervakar att GDPR följs, men beslutar inte om anmälan.
• Kommunikationsansvarig: Informerar medarbetare, registrerade och media när det behövs.

Exempel på situationer där incidenthantering aktualiseras

• ”En medarbetare skickade en Excel-fil med lönelistor till fel mottagare utanför organisationen.”
• ”Vår molnleverantör meddelar att de haft ett intrång, men vet ännu inte om våra kunddata berörs.”
• ”Supporten har fått 5 ärenden om låsta konton på 1 timme, och alla användare har klickat på samma länk.”

Så blir incidenthanteringen spårbar vid tillsyn

Incidenthanteringen håller vid granskning när varje incident går att följa från anmälan till bedömning, beslut, åtgärd och uppföljning.

GDPR kräver att alla personuppgiftsincidenter dokumenteras, även de som inte anmäls till IMY (art. 33.5). Vid tillsyn vill myndigheten se varför ni bedömde som ni gjorde, inte bara att ni gjorde en bedömning. Det här behöver finnas:

• Incidentlogg: Alla incidenter, med datum, typ, berörda system och status.
• Tidslinje: När incidenten upptäcktes och när ni fick kännedom, eftersom fristerna räknas därifrån.
• Motiverade bedömningar: Varför en incident anmäldes eller inte, och vem som beslutade.
• Åtgärder med ansvarig: Vad som gjordes, av vem och när.
• Lärdomar: Vilka förändringar i rutiner eller riskbedömning incidenten ledde till.

Det vanligaste glappet är att incidenter hanteras via mejl och telefon och dokumenteras i efterhand. Då saknas ofta just de tidpunkter som visar att fristen hölls. Vår kurs om personuppgiftsincidenter ger medarbetarna grunden för att upptäcka och anmäla i tid. Behöver ni stöd i hur arbetet ska se ut hos er, kontakta Draftit eller annan expert för konkret rådgivning.

Vanliga frågor om incidenthantering

Vad menas med en incident?

En incident är en oönskad händelse som har påverkat eller kan påverka verksamheten, dess information eller dess IT-tjänster negativt.

Registrera gärna även tillbud, alltså händelser som kunde ha lett till skada men inte gjorde det. Ett exempel är ett phishingmejl som en medarbetare upptäckte innan hen klickade. Tillbuden visar var skyddet är svagt innan något allvarligt händer.

Vad är skillnaden mellan en incident och en personuppgiftsincident?

En personuppgiftsincident är en säkerhetsincident som berör personuppgifter, medan en incident kan gälla vilken information eller vilket system som helst.

En överbelastningsattack mot en informationswebbplats utan personuppgifter är en incident men inte en personuppgiftsincident. Slår attacken i stället ut en kundportal så att kunderna tillfälligt inte kommer åt sina uppgifter, kan det vara en personuppgiftsincident, eftersom även förlorad tillgänglighet räknas.

Vad är en incidentrapport?

En incidentrapport är den dokumentation som beskriver vad som hänt, hur incidenten hanterats och vilka konsekvenser den fått.

Rapporten används både internt och som underlag för anmälan till myndigheter. Enligt cybersäkerhetslagen sker rapporteringen i 3 steg: en tidig varning inom 24 timmar, en incidentanmälan inom 72 timmar och en slutrapport inom 1 månad.

Måste alla incidenter rapporteras till en myndighet?

Nej, bara incidenter som når upp till kraven i respektive regelverk ska rapporteras, men alla personuppgiftsincidenter ska dokumenteras internt.

En felskickad e-post med ett namn och en mejladress till en kollega i samma organisation behöver sällan anmälas. Bedömningen och skälen ska ändå dokumenteras, så att ni kan visa att den gjordes.

Hur ofta ska incidenthanteringen övas?

Incidenthanteringen bör övas minst 1 gång per år, och oftare för verksamheter som omfattas av cybersäkerhetslagen eller DORA.

En skrivbordsövning där ledningen går igenom ett scenario, till exempel ransomware en fredagskväll, avslöjar ofta luckor i kontaktlistor och beslutsmandat som inte syns i dokumenten.