Vad är ett ledningssystem för informationssäkerhet?
Ett ledningssystem för informationssäkerhet är ett strukturerat sätt att skydda den information ett företag hanterar, oavsett om den finns i datorer, i molnet eller på papper. Den internationella standarden för ett sådant system heter ISO/IEC 27001. Målet är att hålla informationen konfidentiell, riktig och tillgänglig, och att göra skyddet till en rutin i stället för något man löser från fall till fall.
Vad betyder informationssäkerhet i praktiken?
Informationssäkerhet handlar om att skydda information mot att hamna i fel händer, bli förvanskad eller försvinna. Tre grundbegrepp återkommer, ofta kallade CIA-triaden efter engelskans confidentiality, integrity och availability. Konfidentialitet betyder att bara behöriga kommer åt informationen. Riktighet betyder att informationen inte ändras av någon obehörig, så att den går att lita på. Tillgänglighet betyder att informationen finns när den behövs, även vid driftstörningar eller en incident. Ett ledningssystem sätter de här tre målen i system: företaget bestämmer vilken information som är känslig, vilka risker som finns och vilka skydd som ska gälla. Det gäller alltså inte bara IT, utan också hur personalen hanterar uppgifter, hur avtalen med leverantörer ser ut och vad som händer när något går fel.
Vad är ISO 27001?
ISO/IEC 27001 är den internationella standarden för ledningssystem för informationssäkerhet, ofta förkortat ISMS efter engelskans Information Security Management System. Den senaste versionen är ISO/IEC 27001:2022, som ersatte 2013 års version helt efter att övergångsperioden gick ut den 31 oktober 2025. Standarden är uppbyggd på samma sätt som ISO 9001 och ISO 14001, med krav i kapitel 4 till 10 om organisationens sammanhang, ledarskap, planering, stöd, drift, uppföljning och förbättring. Till standarden hör Bilaga A, en lista med 93 säkerhetsåtgärder grupperade i fyra teman: organisatoriska, personorienterade, fysiska och tekniska åtgärder. Företaget väljer vilka åtgärder som är relevanta utifrån sin egen riskbedömning i stället för att införa alla. Själva certifieringen görs av ett ackrediterat certifieringsorgan, som granskar att systemet både finns dokumenterat och faktiskt används.
Hur bygger man upp ett ledningssystem för informationssäkerhet?
Arbetet börjar oftast med att kartlägga vilken information företaget hanterar och hur känslig den är. Sedan görs en riskbedömning: vad kan gå fel, hur troligt är det och hur allvarligt blir det? Utifrån riskerna väljer företaget sina säkerhetsåtgärder, till exempel behörighetsstyrning, kryptering, säkerhetskopiering, lösenordsrutiner och en plan för hur incidenter ska hanteras. En informationssäkerhetspolicy sätter ramarna och visar att ledningen står bakom arbetet. Därefter kommer driften, där rutinerna används i vardagen och medarbetarna vet vad som gäller. Sist kommer uppföljningen med interna revisioner, mätning och ledningens genomgång, så att systemet justeras när verksamheten eller hotbilden ändras. Det här är ett löpande arbete, inte ett projekt med ett slutdatum.
Vad kräver nya cybersäkerhetslagen och NIS2?
Sedan den 15 januari 2026 gäller en ny cybersäkerhetslag i Sverige (SFS 2025:1506). Den genomför EU:s NIS2-direktiv och ersätter den tidigare NIS-lagen. Lagen ställer krav på riskhantering, incidentrapportering och styrning av cybersäkerhet, och den berör uppskattningsvis 8 000 organisationer i 18 samhällsviktiga sektorer. Berörda verksamheter ska registrera sig senast den 30 september 2026, och för väsentliga entiteter gäller full efterlevnad från den 31 december 2026. Sanktionsavgifterna kan bli höga, upp till 10 miljoner euro eller 2 procent av den globala omsättningen för väsentliga entiteter. Även företag som inte omfattas direkt påverkas ofta, eftersom lagen kräver att verksamheter ser över säkerheten i sin leverantörskedja. En underleverantör till ett större bolag kan alltså få frågor om sitt informationssäkerhetsarbete utan att själv ha någon rapporteringsskyldighet. Ett ledningssystem för informationssäkerhet gör de frågorna enklare att svara på.
Hur hänger informationssäkerhet ihop med kvalitet, miljö och arbetsmiljö?
Många företag driver redan ett ledningssystem för kvalitet eller miljö, och grunden är densamma för informationssäkerhet. Alla bygger på samma logik: bestäm mål och ansvar, arbeta med risker, dokumentera rutiner, följ upp och förbättra. Standarderna delar dessutom samma kapitelstruktur, vilket gör dem lätta att foga ihop. Ett företag som samlar flera områden i ett gemensamt system slipper dubbla rutiner och kan hantera kvalitet, miljö, arbetsmiljö och informationssäkerhet med en och samma grundmodell. För mindre företag är det ofta den rimliga vägen, eftersom det håller nere administrationen. Läs mer om hur ett integrerat ledningssystem fungerar.
Är FR2000 ett ledningssystem för informationssäkerhet?
Nej, inte i strikt mening. FR2000 är en svensk kravstandard för verksamhetsledning som täcker kvalitet, miljö, arbetsmiljö, brandskydd och kompetensförsörjning, och den bygger på ISO 9001 och ISO 14001. Informationssäkerhet ingår inte, och FR2000 ersätter alltså inte en ISO 27001-certifiering för den som behöver visa upp ett certifierat informationssäkerhetsarbete. Men ett FR2000-certifierat företag har redan de delar som informationssäkerhet vilar på: dokumentstyrning, riskarbete, interna revisioner och ledningens genomgång. Den som senare vill bygga på med informationssäkerhet enligt ISO 27001 har därför en stabil grund att stå på, eftersom standarderna delar samma struktur. För många mindre företag är FR2000 ett enklare och billigare sätt att komma igång med ett strukturerat ledningssystem, och sedan lägga till informationssäkerhet i takt med att kraven kommer.
Vill du ha hjälp att bygga ett strukturerat ledningssystem för kvalitet, miljö och arbetsmiljö, eller se om FR2000 passar som ett enklare alternativ till separata ISO-certifieringar? Begär offert →