Vad IMY:s beslut mot Miljödata lär oss om riskarbete
Den 22 september 2026 beslutade IMY om en sanktionsavgift på 1,8 miljoner kronor mot systemleverantören Miljödata i Karlskrona AB. Bakom beslutet finns ett mönster vi sett i flera IMY-avgöranden: bristande teknisk och organisatorisk säkerhet för de personuppgifter man hanterar.
Beslutet är intressant att läsa för alla som arbetar med dataskydd och informationssäkerhet. Inte för att Miljödata är unikt, utan för att de brister IMY pekar på är välkända och åtgärdbara.
Vad hände?
I augusti 2025 utsattes Miljödata för ett dataintrång. En hotaktör fick tillgång till en stor mängd personuppgifter och publicerade dem på Darknet. Bland de berörda uppgifterna fanns personnummer, kontaktuppgifter och känsliga uppgifter om sjukfrånvaro, rehabilitering och elevhändelser.
Miljödata levererar system till offentlig sektor. Det innebar att en majoritet av Sveriges kommuner, flera regioner och statliga myndigheter, samt ett stort antal privata företag, påverkades av incidenten. IMY har inlett granskningar av två kommuner och en region kopplade till angreppet.
IMY konstaterade att Miljödata inte hade haft tillräckliga kontroller vid installation av ny mjukvara och saknade automatisk realtidsövervakning av sina system.
IMY:s generaldirektör Eric Leijonram kommenterade:
“GDPR ställer krav på lämpliga säkerhetsåtgärder för de personuppgifter man hanterar. Här har Miljödata brustit och resultatet är att en hotaktör kom över uppgifter om en stor del av Sveriges befolkning. Min förhoppning är att även andra verksamheter tar till sig av sanktionsbeslutet och vid behov ser över säkerheten för de personuppgifter man själv ansvarar för.”
Mönstret i IMY:s tillsynsbeslut
Miljödata-beslutet är inte isolerat. I januari 2026 fick Sportadmin en sanktionsavgift på 6 miljoner kronor för bristande IT-säkerhet, efter att ha haft dokumenterade risker sedan 2021 utan att åtgärda dem tillräckligt.
IMY:s bedömningar pekar i samma riktning: det räcker inte att känna till riskerna. Säkerhetsarbetet behöver vara aktivt, dokumenterat och spårbart, med tydliga åtgärder och uppföljning.
Vad föreskrifterna kräver sedan 1 oktober
Sedan 1 oktober 2026 gäller föreskriften om säkerhetsåtgärder och ledningens utbildning, utfärdad med stöd av cybersäkerhetslagen. Den preciserar vad ledningen i organisationer som omfattas av lagen ska fastställa, bedöma, godkänna och följa upp. Riskarbete är inte längre en intern angelägenhet. Det är något verksamheter behöver kunna visa, inför tillsyn och vid en incident.
Vad det kräver i praktiken
Riskarbete som uppfyller vad GDPR och cybersäkerhetslagen kräver behöver tre saker:
- Koppling till tillgångarna. Ni behöver veta vad ni skyddar för att kunna bedöma riskerna mot det. Utan den kopplingen är riskanalysen en fristående övning, inte ett styrmedel.
- Behandlingsplaner med ansvarig och deadline. En identifierad risk som saknar en åtgärd, en ansvarig och en deadline är inte riskhantering. Det är en notering.
- Riskregister som faktiskt används. Riskregistret behöver vara tillgängligt och levande, inte ett dokument som uppdateras inför revision.
Vill du veta mer?
Vår nya riskhanteringsmodul kopplar riskerna till de tillgångar ni redan har klassade, samlar behandlingsplaner med ansvarig och deadline och ger ett riskregister per riskägare och centralt. Den lanseras i december.
Kontakta oss om du vill veta mer.
IMYs beslut mot Miljödata – FAQ
Vad innebär IMY:s beslut mot Miljödata för andra organisationer?
IMY:s generaldirektör uppmanar alla verksamheter att ta till sig av beslutet och se över sin säkerhet. GDPR kräver lämpliga tekniska och organisatoriska säkerhetsåtgärder, oavsett bransch eller storlek.
Vad kräver föreskriften om säkerhetsåtgärder av riskarbetet?
Föreskriften som gäller sedan 1 oktober 2026 preciserar att ledningen ska fastställa mål, bedöma vilka åtgärder som behövs, godkänna dem och följa upp att de genomförs. Riskarbetet ska vara dokumenterat och spårbart.
Vad är skillnaden mellan riskanalys och riskregister?
Riskanalysen är processen: ni identifierar risker, bedömer sannolikhet och konsekvens och bestämmer hur de ska behandlas. Riskregistret är resultatet: en strukturerad sammanställning av identifierade risker, bedömningar, åtgärder och ansvar. Riskregistret uppdateras löpande och används som underlag vid tillsyn och interna uppföljningar.
