Riskhantering inom IT-säkerhet handlar om att identifiera, bedöma och behandla riskerna i verksamhetens system, nätverk och data. Kraven kommer främst från GDPR, cybersäkerhetslagen och, för finansiella verksamheter, DORA. För verksamheter som omfattas av cybersäkerhetslagen finns stöd i NIS2-tjänsten.
Det här behöver du veta:
Riskhantering inom IT-säkerhet är det löpande arbetet med att hitta, värdera och behandla risker i verksamhetens tekniska miljö, så att skyddet står i proportion till hur allvarliga riskerna är.
IT-säkerhet är den del av informationssäkerheten som rör tekniken, alltså hårdvara, programvara, nätverk och molntjänster. Skillnaden mellan begreppen förklaras närmare i artikeln om skillnaden mellan cybersäkerhet, IT-säkerhet och informationssäkerhet. Riskhantering inom IT säkerställer att den tekniska miljön skyddar informationens konfidentialitet, riktighet och tillgänglighet. Riskhantering inom säkerhet i stort omfattar även fysisk säkerhet och personalsäkerhet, men det är ofta i IT-miljön som incidenterna uppstår.
Arbetet följer samma process som all riskhantering: fastställ ramar, bedöm riskerna, besluta om åtgärder och följ upp. Det som skiljer IT från andra riskområden är tempot. Nya sårbarheter publiceras dagligen, molntjänster ändras utan att ni blir tillfrågade och hotbilden kan förändras på några dagar. Riskbedömningen behöver därför uppdateras oftare än på andra områden.
IKT står för informations- och kommunikationsteknik, och IKT-riskhantering är i praktiken samma sak som riskhantering inom IT, med särskilt fokus på verksamhetens digitala motståndskraft.
Begreppet IKT används i EU-lagstiftning som DORA och NIS2. Teknologisk riskhantering är ett bredare samlingsnamn för hantering av risker som uppstår genom teknik, inklusive till exempel AI-system och automatiserade beslut. För en svensk organisation är skillnaderna mellan begreppen i första hand språkliga. Det som räknas är att riskerna i tekniken hanteras systematiskt och dokumenteras.
I Sverige ställer framför allt cybersäkerhetslagen och GDPR krav på riskhantering inom IT, och finansiella verksamheter omfattas dessutom av DORA.
| Regelverk | Vem omfattas | Kärnkrav på riskhantering |
|---|---|---|
| Cybersäkerhetslagen (2025:1506) | Väsentliga och viktiga entiteter i 18 sektorer | Riskhanteringsåtgärder som godkänns av ledningen |
| GDPR | Alla som behandlar personuppgifter | Säkerhetsåtgärder i proportion till risken, art. 32 |
| DORA (EU 2022/2554) | Banker, försäkringsbolag, betalningsinstitut och andra finansiella entiteter | Dokumenterad ram för IKT-riskhantering |
| ISO 27001 | Frivillig, för den som certifierar sig | Riskbedömning, riskbehandlingsplan och uttalande om tillämplighet |
Cybersäkerhetslagen trädde i kraft 15 januari 2026 och genomför NIS2-direktivet (EU 2022/2555) i svensk rätt. Lagen kräver att åtgärderna täcker bland annat riskanalys, incidenthantering, kontinuitet, säkerhet i leverantörskedjan, kryptering, åtkomstkontroll och utbildning. En genomgång av anmälningsplikt och ansvar finns i artikeln om cybersäkerhetslagen.
GDPR gäller oavsett sektor. Art. 32 kräver tekniska och organisatoriska åtgärder som står i proportion till riskerna för de registrerade, vilket förutsätter att riskerna i IT-miljön är bedömda.
DORA kräver att finansiella entiteter har en heltäckande och väldokumenterad ram för IKT-riskhantering, som ledningsorganet ansvarar för och som ses över minst 1 gång per år.
Förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn, DORA, tillämpas sedan 17 januari 2025. I Sverige är Finansinspektionen tillsynsmyndighet. Kort fakta om förordningen finns under vad är DORA-förordningen. Kraven på IKT-riskhantering finns i kapitel 2:
Kraven preciseras i delegerad förordning (EU) 2024/1774. Vissa mindre finansiella entiteter får tillämpa en förenklad ram enligt art. 16, eftersom kraven ska stå i proportion till verksamhetens storlek och riskprofil.
DORA kräver dessutom hantering av IKT-tredjepartsrisker, det vill säga risker hos leverantörer av molntjänster och andra IKT-tjänster. Det är ett av de områden där finansiella entiteter oftast behöver bygga ut sitt arbete.
De vanligaste IT-riskerna rör behörigheter, sårbarheter som inte åtgärdas, beroenden av leverantörer och bristande förmåga att återställa system efter en attack.
| Risk | Typisk orsak | Exempel på åtgärd |
|---|---|---|
| Obehörig åtkomst | För breda behörigheter, delade konton, ingen flerfaktorsautentisering | Rollbaserad behörighet, regelbunden översyn, flerfaktorsautentisering |
| Utnyttjade sårbarheter | Uppdateringar dröjer, okända system i miljön | Sårbarhetsskanning, fastställda tider för uppdatering |
| Leverantörsrisk | Kritiska tjänster hos en enda leverantör, svaga avtal | Leverantörsbedömning, avtalskrav, exitplan |
| Ransomware och dataförlust | Nätfiske, bristande segmentering | Säkerhetskopior som är skilda från nätverket, återställningstester |
| Bristande tillgänglighet | Ingen redundans, ingen kontinuitetsplan | Kontinuitetsplan, övade rutiner |
Behörigheter är den risk som oftast underskattas, eftersom den växer i det tysta när medarbetare byter roll eller slutar. Läs mer om varför i artikeln om tillgångsstyrning som säkerhetsrisk.
IT-risker blir synliga när tekniken förändras eller när något går fel:
IT-risker ska värderas utifrån vilken påverkan de har på verksamhetens processer och på de registrerade, inte bara utifrån den tekniska allvarlighetsgraden.
En sårbarhet med högsta tekniska allvarlighetsgrad i ett testsystem utan data är mindre allvarlig än en medelallvarlig sårbarhet i systemet som hanterar patientjournaler. Därför behöver IT-riskerna bedömas tillsammans med de som äger processerna och informationen. Metoden för den bedömningen beskrivs i guiden om riskanalys för informationssäkerhet.
Det här gör kopplingen hållbar:
Behöver ni hjälp att avgöra vilka krav som gäller just er verksamhet, kontakta Draftit eller annan expert för konkret rådgivning.
Ledningen bär ansvaret, även om IT-avdelningen sköter det praktiska arbetet.
Både cybersäkerhetslagen och DORA lägger uttryckligen ansvaret på ledningen, som ska godkänna åtgärderna och följa upp dem. IT-chefen kan vara riskägare för tekniska risker, men beslutet om att acceptera allvarliga risker ligger på högre nivå.
Nej, DORA:s krav på IKT-riskhantering gäller de finansiella entiteterna, men som leverantör påverkas ni ändå genom avtalskraven.
Banker och andra finansiella entiteter måste ställa krav på sina IKT-leverantörer, bland annat om säkerhet, revision och exitstrategier. Leverantörer som bedöms som kritiska kan dessutom hamna under direkt EU-tillsyn.
Riskbedömningen ska omprövas minst 1 gång per år och dessutom vid större förändringar i IT-miljön.
Enskilda risker, som nya sårbarheter, behöver hanteras löpande i den vanliga driften. DORA kräver också omprövning efter allvarliga IKT-incidenter.
Nej, ISO 27001 ger en bra grund men täcker inte alla krav i DORA.
DORA ställer bland annat särskilda krav på incidentrapportering till Finansinspektionen, tester av digital motståndskraft och hantering av IKT-tredjepartsrisker. Ett befintligt ledningssystem enligt ISO 27001 gör det däremot betydligt lättare att bygga vidare.
Riskhantering syftar till att förebygga och begränsa risker, medan kontinuitetshantering handlar om att hålla verksamheten igång när en risk ändå inträffar.
Kontinuitetsplanen beskriver hur kritiska system återställs och i vilken ordning. Båda krävs i cybersäkerhetslagen och i DORA.