Incidenthanteringsprocessen: Så fungerar den

En incidenthanteringsprocess är det fasta arbetsflöde som verksamheten följer för att upptäcka, bedöma, åtgärda och lära av incidenter. Processen beskrivs i en incidenthanteringsplan och konkretiseras i rutiner för olika typer av incidenter. Med vårt incidenthanteringssystem följer varje incident samma steg och blir spårbar.

Det här behöver du veta:

• Incidenthanteringsprocessen består i regel av 6 steg: förbered, upptäck och anmäl, bedöm, begränsa och åtgärda, rapportera, utvärdera
• Tidsfristerna för rapportering börjar löpa när ni fått kännedom om incidenten, därför måste steg 2 och 3 gå snabbt
• Incidenthanteringsplanen beskriver organisationen och processen, medan en incidenthanteringsrutin beskriver vad en enskild medarbetare gör i en viss situation
• Processen ska övas och ses över efter varje allvarlig incident

Vad är en incidenthanteringsprocess?

En incidenthanteringsprocess är de steg som alla incidenter går igenom, från att någon upptäcker en avvikelse till att lärdomarna är inarbetade i verksamheten.

Processen gör hanteringen förutsägbar. När en incident inträffar finns ingen tid att diskutera vem som ska besluta eller vilken myndighet som ska kontaktas. Med en fast process vet alla vad nästa steg är, och dokumentationen blir jämförbar mellan incidenter.

Det svenska Metodstödet för systematiskt informationssäkerhetsarbete beskriver 4 operativa steg: upptäcka och anmäla, bedöma och besluta om åtgärd, åtgärda och återställa, samt identifiera grundorsaker. Standarden ISO/IEC 27035 delar in arbetet på liknande sätt, men lägger till förberedelse före och utvärdering efter. Med rapporteringen som ett eget steg blir det 6 steg.

Incidenthanteringsprocessen steg för steg

Incidenthanteringsprocessen består av 6 steg: förbered, upptäck och anmäl, bedöm och klassa, begränsa och åtgärda, rapportera, samt utvärdera och lär.

Steg 1: Förbered

I steg 1 ser ni till att organisation, rutiner och verktyg finns på plats innan en incident inträffar.

Förberedelsen är det steg som avgör hur snabbt de övriga går. Den omfattar en beslutad incidenthanteringsplan, utsedda roller med ersättare, kontaktuppgifter till leverantörer och myndigheter, och kriterier för vad som räknas som allvarligt. Hit hör också utbildning, eftersom en medarbetare som inte känner igen en incident inte heller anmäler den.

Steg 2: Upptäck och anmäl

I steg 2 registreras incidenten så snart någon upptäcker den, oavsett om det är en medarbetare, ett övervakningssystem eller en leverantör.

Tröskeln för att anmäla ska vara låg. Det är bättre att få 10 anmälningar om misstänkt phishing än att missa den som lyckades. Registrera tidpunkten för upptäckten direkt, eftersom 72-timmarsfristen i GDPR och 24-timmarsfristen i cybersäkerhetslagen räknas från när verksamheten fick kännedom om incidenten. Incidenter hos leverantörer kommer ofta in här. Ett personuppgiftsbiträde ska underrätta er utan onödigt dröjsmål (art. 33.2 GDPR), och hur väl leverantörerna lever upp till det kan ni följa upp i vår tjänst för leverantörsutvärdering.

Steg 3: Bedöm och klassa

I steg 3 bedömer ni hur allvarlig incidenten är, vilken information och vilka system som berörs, och om den utlöser rapporteringsplikt.

Bedömningen görs mot förutbestämda kriterier, till exempel låg, medel och hög allvarlighetsgrad. Ställ 3 frågor: berörs personuppgifter, påverkas kritiska tjänster, och kan skadan spridas till andra? Svaren styr vem ärendet eskaleras till och vilka frister som gäller. Om personuppgifter berörs är det en personuppgiftsincident, och då avgör ni också om den ska anmälas till IMY.

Steg 4: Begränsa och åtgärda

I steg 4 stoppar ni skadan från att spridas, tar bort orsaken och återställer verksamheten.

Begränsning kommer först, till exempel att isolera en smittad dator, spärra ett konto eller be mottagaren av ett felskickat mejl att radera det. Därefter tas orsaken bort och system återställs från säkerhetskopior. Spara loggar och annan bevisning innan ni rensar, eftersom de behövs för att utreda grundorsaken och om ni gör en polisanmälan. Blir incidenten utdragen eller allvarlig, ska planen ange när den lämnas över till krisledningen.

Steg 5: Rapportera

I steg 5 rapporterar ni incidenten till de myndigheter och personer som har rätt att få veta, inom gällande frister.

Rapporteringen sker i praktiken parallellt med steg 4, eftersom fristerna inte väntar på att incidenten är löst. Det här gäller i Sverige:

• IMY: Personuppgiftsincidenter som kan medföra risk för de registrerade, inom 72 timmar enligt art. 33 GDPR.
• De registrerade: Utan onödigt dröjsmål om incidenten medför hög risk för dem, enligt art. 34 GDPR.
• NCSC: Betydande incidenter enligt cybersäkerhetslagen (2025:1506), via cyberportalen. En tidig varning inom 24 timmar, en incidentanmälan inom 72 timmar och en slutrapport inom 1 månad. Stöd för hela NIS2-arbetet finns i NIS2-tjänsten.
• Finansinspektionen: Större IKT-relaterade incidenter enligt DORA-förordningen (EU 2022/2554).

Fristerna är korta bland annat därför att myndigheterna ska kunna varna andra och begränsa spridningen. Har ni inte all information inom fristen ska ni rapportera det ni vet och komplettera senare.

Steg 6: Utvärdera och lär

I steg 6 utreder ni grundorsaken och för in lärdomarna i rutiner, utbildning och riskbedömning.

Gör utvärderingen inom några veckor, medan detaljerna är färska. Fråga vad som hände, varför skyddet inte räckte och vad som fungerade i hanteringen. Varje åtgärd som beslutas ska ha en ägare och ett datum. Utvärderingen är också det steg som oftast hoppas över, och då riskerar samma incident att inträffa igen.

Vad är en incidenthanteringsplan?

En incidenthanteringsplan är det beslutade dokument som beskriver hur verksamheten är organiserad för att hantera incidenter, vem som gör vad och hur processen ska följas.

Planen fastställs av ledningen och är processens styrdokument. Den ger svar på frågor som måste vara besvarade i förväg: vem som får fatta beslut om att stänga ett system, när krisledningen ska kallas in och vem som kontaktar myndigheterna. I ISO 27001 motsvaras den av kravet på planering och förberedelse inför incidenter (kontroll 5.24).

Vad ska en incidenthanteringsplan innehålla?

En incidenthanteringsplan ska minst innehålla omfattning, roller, kriterier för allvarlighetsgrad, processens steg, eskaleringsvägar, rapporteringskrav och kontaktuppgifter.

En plan som bara finns i ett delat dokument hjälper inte om servern med dokumentet är krypterad av en ransomwareattack. Se därför till att den viktigaste informationen, som kontaktlistan och reservrutiner för rapportering, finns tillgänglig även offline.

Vad är en incidenthanteringsrutin?

En incidenthanteringsrutin är en konkret instruktion för hur en viss typ av incident ska hanteras, eller för vad en viss roll ska göra.

Skillnaden mot planen är detaljnivån. Planen beskriver organisationen och processen på övergripande nivå. Rutinen beskriver vad en medarbetare gör i en specifik situation, steg för steg. En verksamhet har normalt 1 plan men flera rutiner.

Vilka incidenthanteringsrutiner behöver verksamheten?

De flesta verksamheter behöver minst en rutin för hur medarbetare anmäler incidenter, en för personuppgiftsincidenter och en för de vanligaste angreppen.

• Rutin för anmälan: Hur och var alla medarbetare anmäler en misstänkt incident, och vad de inte ska göra, till exempel stänga av datorn.
• Rutin för personuppgiftsincidenter: Hur bedömningen enligt GDPR görs, vem som anmäler till IMY och hur incidenten dokumenteras.
• Rutin för phishing och kapade konton: Hur kontot spärras, lösenordet byts och vidarebefordringsregler kontrolleras.
• Rutin för ransomware: Hur drabbade system isoleras, vem som larmas och hur data återställs från säkerhetskopia. Myndigheterna avråder från att betala lösensumma.
• Rutin för incidenter hos leverantörer: Hur ni tar emot information och följer upp biträdets hantering.

Rutinerna ska vara korta nog att följa under stress. En rutin på 1 sida som alla känner till gör mer nytta än en manual på 30 sidor som ingen har läst.

Vem gör vad i incidenthanteringsprocessen?

Ledningen beslutar om planen och om allvarliga åtgärder, incidentansvarig leder hanteringen, och alla medarbetare ansvarar för att anmäla.

Dataskyddsombudet ska inte vara den som beslutar om anmälan till IMY. Rollen är rådgivande och övervakande enligt art. 39 GDPR, och beslutet ligger hos den personuppgiftsansvariga verksamheten.

Exempel på situationer där processen sätts på prov

• ”Intrånget upptäcktes en fredag kl. 17.00, och den incidentansvariga var på semester utan utsedd ersättare.”
• ”Vi anmälde personuppgiftsincidenten till IMY i tid, men glömde att samma attack var en betydande incident som skulle rapporteras till NCSC.”
• ”Leverantören berättade om intrånget först 5 dagar efter att de upptäckt det, trots att biträdesavtalet kräver besked inom 24 timmar.”

Vanliga frågor om incidenthanteringsprocessen

Hur ofta ska incidenthanteringsplanen uppdateras?

Incidenthanteringsplanen bör ses över minst 1 gång per år och efter varje allvarlig incident eller större organisationsförändring.

Kontaktlistor och ersättare blir inaktuella snabbast. Kontrollera dem oftare, till exempel varje kvartal.

Vem ska godkänna incidenthanteringsplanen?

Incidenthanteringsplanen ska godkännas av ledningen, eftersom den fördelar ansvar och beslutsmandat i verksamheten.

För verksamheter som omfattas av cybersäkerhetslagen följer det också av lagens krav på att ledningen godkänner riskhanteringsåtgärderna.

Vad är skillnaden mellan incidenthantering och kontinuitetshantering?

Incidenthantering hanterar den enskilda händelsen, medan kontinuitetshantering ser till att kritiska verksamheter kan fortsätta trots störningen.

De två hänger ihop. Incidenthanteringsplanen ska ange när en incident är så allvarlig att kontinuitetsplanen och krisledningen tar över.

Kan vi ha en gemensam process för GDPR och informationssäkerhet?

Ja, en gemensam process är oftast att föredra, så länge bedömningen av risker för de registrerade finns med som ett eget moment.

Med en ingång för alla incidenter minskar risken att en personuppgiftsincident hanteras som ett vanligt IT-ärende. Rapporteringen skiljer sig sedan åt beroende på regelverk.

Behöver en liten verksamhet en incidenthanteringsprocess?

Ja, alla personuppgiftsansvariga behöver kunna upptäcka, bedöma, anmäla och dokumentera personuppgiftsincidenter, oavsett storlek.

För en liten verksamhet räcker ofta en kort plan på några sidor, en anmälningsrutin och en incidentlogg. Behöver ni hjälp med hur det ska se ut hos er, kontakta Draftit eller annan expert för konkret rådgivning.