Riskhantering inom IT-säkerhet: Så säkrar ni tekniken och följer kraven

Riskhantering inom IT-säkerhet handlar om att identifiera, bedöma och behandla riskerna i verksamhetens system, nätverk och data. Kraven kommer främst från GDPR, cybersäkerhetslagen och, för finansiella verksamheter, DORA. För verksamheter som omfattas av cybersäkerhetslagen finns stöd i NIS2-tjänsten.

Det här behöver du veta:

• IT-risker är risker som uppstår i tekniken: system, nätverk, molntjänster, behörigheter och leverantörer
• Cybersäkerhetslagen (2025:1506) kräver riskhanteringsåtgärder hos väsentliga och viktiga entiteter, och ledningen ska godkänna dem
• DORA kräver att finansiella entiteter har en dokumenterad ram för IKT-riskhantering som ses över minst 1 gång per år
• De vanligaste IT-riskerna rör behörigheter, sårbarheter som inte åtgärdas, leverantörer och bristande återställningsförmåga
• Riskhanteringen inom IT behöver kopplas till verksamhetens processer, annars prioriteras fel risker

Vad är riskhantering inom IT-säkerhet?

Riskhantering inom IT-säkerhet är det löpande arbetet med att hitta, värdera och behandla risker i verksamhetens tekniska miljö, så att skyddet står i proportion till hur allvarliga riskerna är.

IT-säkerhet är den del av informationssäkerheten som rör tekniken, alltså hårdvara, programvara, nätverk och molntjänster. Skillnaden mellan begreppen förklaras närmare i artikeln om skillnaden mellan cybersäkerhet, IT-säkerhet och informationssäkerhet. Riskhantering inom IT säkerställer att den tekniska miljön skyddar informationens konfidentialitet, riktighet och tillgänglighet. Riskhantering inom säkerhet i stort omfattar även fysisk säkerhet och personalsäkerhet, men det är ofta i IT-miljön som incidenterna uppstår.

Arbetet följer samma process som all riskhantering: fastställ ramar, bedöm riskerna, besluta om åtgärder och följ upp. Det som skiljer IT från andra riskområden är tempot. Nya sårbarheter publiceras dagligen, molntjänster ändras utan att ni blir tillfrågade och hotbilden kan förändras på några dagar. Riskbedömningen behöver därför uppdateras oftare än på andra områden.

Vad menas med IKT och teknologisk riskhantering?

IKT står för informations- och kommunikationsteknik, och IKT-riskhantering är i praktiken samma sak som riskhantering inom IT, med särskilt fokus på verksamhetens digitala motståndskraft.

Begreppet IKT används i EU-lagstiftning som DORA och NIS2. Teknologisk riskhantering är ett bredare samlingsnamn för hantering av risker som uppstår genom teknik, inklusive till exempel AI-system och automatiserade beslut. För en svensk organisation är skillnaderna mellan begreppen i första hand språkliga. Det som räknas är att riskerna i tekniken hanteras systematiskt och dokumenteras.

Vilka lagar kräver riskhantering inom IT?

I Sverige ställer framför allt cybersäkerhetslagen och GDPR krav på riskhantering inom IT, och finansiella verksamheter omfattas dessutom av DORA.

Cybersäkerhetslagen trädde i kraft 15 januari 2026 och genomför NIS2-direktivet (EU 2022/2555) i svensk rätt. Lagen kräver att åtgärderna täcker bland annat riskanalys, incidenthantering, kontinuitet, säkerhet i leverantörskedjan, kryptering, åtkomstkontroll och utbildning. En genomgång av anmälningsplikt och ansvar finns i artikeln om cybersäkerhetslagen.

GDPR gäller oavsett sektor. Art. 32 kräver tekniska och organisatoriska åtgärder som står i proportion till riskerna för de registrerade, vilket förutsätter att riskerna i IT-miljön är bedömda.

Vad kräver DORA för IKT-riskhantering?

DORA kräver att finansiella entiteter har en heltäckande och väldokumenterad ram för IKT-riskhantering, som ledningsorganet ansvarar för och som ses över minst 1 gång per år.

Förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn, DORA, tillämpas sedan 17 januari 2025. I Sverige är Finansinspektionen tillsynsmyndighet. Kort fakta om förordningen finns under vad är DORA-förordningen. Kraven på IKT-riskhantering finns i kapitel 2:

• Ledningsorganets ansvar (art. 5): Ledningen ska fastställa, godkänna och övervaka ramen och har det slutliga ansvaret för IKT-risken. Ledamöterna ska själva ha tillräcklig kunskap för att förstå riskerna.
• IKT-riskhanteringsram (art. 6): Ramen ska vara dokumenterad, ingå i det övergripande riskhanteringssystemet och omprövas minst årligen samt efter allvarliga IKT-incidenter.
• Identifiering (art. 8): Alla IKT-stödda funktioner, informationstillgångar och beroenden ska kartläggas och klassificeras.
• Skydd, upptäckt och återställning (art. 9 till 12): Säkerhetsåtgärder, övervakning, kontinuitetsplaner och rutiner för säkerhetskopiering.
• Lärande och kommunikation (art. 13 och 14): Erfarenheter från incidenter och tester ska föras tillbaka in i ramen.

Kraven preciseras i delegerad förordning (EU) 2024/1774. Vissa mindre finansiella entiteter får tillämpa en förenklad ram enligt art. 16, eftersom kraven ska stå i proportion till verksamhetens storlek och riskprofil.

DORA kräver dessutom hantering av IKT-tredjepartsrisker, det vill säga risker hos leverantörer av molntjänster och andra IKT-tjänster. Det är ett av de områden där finansiella entiteter oftast behöver bygga ut sitt arbete.

De vanligaste IT-riskerna och hur de behandlas

De vanligaste IT-riskerna rör behörigheter, sårbarheter som inte åtgärdas, beroenden av leverantörer och bristande förmåga att återställa system efter en attack.

Behörigheter är den risk som oftast underskattas, eftersom den växer i det tysta när medarbetare byter roll eller slutar. Läs mer om varför i artikeln om tillgångsstyrning som säkerhetsrisk.

Exempel på situationer där riskhantering inom IT aktualiseras

IT-risker blir synliga när tekniken förändras eller när något går fel:

• ✔︎ "Vi flyttar ekonomisystemet till molnet. Vilka nya risker uppstår, och vem ansvarar för säkerhetskopiorna?"
• ✔︎ "En kritisk sårbarhet i vår brandvägg publicerades i går. Hur snabbt måste vi agera och vem beslutar?"
• ✔︎ "Vår IT-leverantör använder underleverantörer vi inte känner till. Vad innebär det för vår riskbild enligt DORA?"

Så kopplar ni IT-risker till verksamheten

IT-risker ska värderas utifrån vilken påverkan de har på verksamhetens processer och på de registrerade, inte bara utifrån den tekniska allvarlighetsgraden.

En sårbarhet med högsta tekniska allvarlighetsgrad i ett testsystem utan data är mindre allvarlig än en medelallvarlig sårbarhet i systemet som hanterar patientjournaler. Därför behöver IT-riskerna bedömas tillsammans med de som äger processerna och informationen. Metoden för den bedömningen beskrivs i guiden om riskanalys för informationssäkerhet.

Det här gör kopplingen hållbar:

1. Utgå från informationstillgångarna. Bestäm vilken information och vilka processer som är mest kritiska innan ni bedömer tekniken.
2. Koppla system till behandlingar. Varje system som behandlar personuppgifter ska gå att spåra till behandlingarna i registerförteckningen.
3. Låt verksamheten värdera konsekvensen. IT bedömer sannolikheten, verksamheten bedömer vad ett avbrott eller en läcka innebär.
4. Rapportera till ledningen i verksamhetstermer. "Ekonomisystemet kan vara nere i 5 dagar efter en attack" säger mer än "CVSS 9,8".

Behöver ni hjälp att avgöra vilka krav som gäller just er verksamhet, kontakta Draftit eller annan expert för konkret rådgivning.

Vanliga frågor om riskhantering inom IT-säkerhet

Vem ansvarar för riskhanteringen inom IT?

Ledningen bär ansvaret, även om IT-avdelningen sköter det praktiska arbetet.

Både cybersäkerhetslagen och DORA lägger uttryckligen ansvaret på ledningen, som ska godkänna åtgärderna och följa upp dem. IT-chefen kan vara riskägare för tekniska risker, men beslutet om att acceptera allvarliga risker ligger på högre nivå.

Omfattas vi av DORA om vi är leverantör till en bank?

Nej, DORA:s krav på IKT-riskhantering gäller de finansiella entiteterna, men som leverantör påverkas ni ändå genom avtalskraven.

Banker och andra finansiella entiteter måste ställa krav på sina IKT-leverantörer, bland annat om säkerhet, revision och exitstrategier. Leverantörer som bedöms som kritiska kan dessutom hamna under direkt EU-tillsyn.

Hur ofta ska IT-riskerna bedömas?

Riskbedömningen ska omprövas minst 1 gång per år och dessutom vid större förändringar i IT-miljön.

Enskilda risker, som nya sårbarheter, behöver hanteras löpande i den vanliga driften. DORA kräver också omprövning efter allvarliga IKT-incidenter.

Räcker ISO 27001 för att uppfylla DORA?

Nej, ISO 27001 ger en bra grund men täcker inte alla krav i DORA.

DORA ställer bland annat särskilda krav på incidentrapportering till Finansinspektionen, tester av digital motståndskraft och hantering av IKT-tredjepartsrisker. Ett befintligt ledningssystem enligt ISO 27001 gör det däremot betydligt lättare att bygga vidare.

Vad är skillnaden mellan riskhantering inom IT och kontinuitetshantering?

Riskhantering syftar till att förebygga och begränsa risker, medan kontinuitetshantering handlar om att hålla verksamheten igång när en risk ändå inträffar.

Kontinuitetsplanen beskriver hur kritiska system återställs och i vilken ordning. Båda krävs i cybersäkerhetslagen och i DORA.