Incidentplan för it-säkerhet i småföretag

Vad en incidentplan är – och varför småföretag inte klarar sig utan

MSB:s metodstöd definierar en incident som "en oönskad händelse med negativa konsekvenser". En informationssäkerhetsincident är en incident där skyddet av informationen brister, så att konfidentialitet, riktighet eller tillgänglighet påverkas negativt. Metodstödet skiljer på avvikelse, tillbud och oönskad händelse för att visa allvarlighetsgrad. Planen bör därför ha flera nivåer i stället för att behandla allt som samma sorts händelse.

Guiden Datorsäkerhet för småföretag (Hemmasupport) anger att 39 procent av små och medelstora företag drabbas av cyberincidenter som orsakats av mänskliga misstag. Småföretag saknar ofta en dedikerad IT-avdelning som snabbt kan hantera ett angrepp. Det ger långsammare återhämtning och större skada.

Konsekvenserna beskrivs som ekonomisk förlust för återställning, juridisk hjälp och eventuella böter. Dessutom affärsstopp när systemen ligger nere och beställningar inte kan tas emot, förlorat kundförtroende och skadat rykte. Guiden konstaterar att det är betydligt dyrare att lösa en incident efteråt än att arbeta förebyggande.

Incidentplanen är ett arbetssätt för att upptäcka, bedöma, hantera och utreda incidenter och visa vem som gör vad. Att skriva ner besluten i förväg gör att snabba beslut – koppla ner ett system, kontakta kunder, tillkalla extern hjälp – inte fattas av den som råkar vara på plats, under tidspress och utan mandat.

En färdig incidentplan för ett litet företag består av fyra delar som ska vara ifyllda: roller med ersättare, beslutsvägar med mandat, rapportering till en namngiven mottagare och en checklista. Fälten fylls i för er verksamhet – en plan med tomma rader är ingen plan.

Statistik om cyberincidenter i småföretag

Incidenttyper din plan behöver täcka

De vanligaste hoten mot småföretag anges vara ransomware, nätfiske, dataintrång och skadlig kod. Ransomware låser filer och kräver betalning för att låsa upp dem. Enligt Hemmasupports guide kan en enda attack stänga ner hela verksamheten på minuter.

Nätfiske är falska mejl eller meddelanden som lurar anställda att lämna ut lösenord eller klicka på skadliga länkar. Det anges som den vanligaste ingångspunkten för angripare. Dataintrång innebär att obehöriga tar sig in i systemen och stjäl kunddata, affärshemligheter eller ekonomisk information.

Planen måste också täcka händelser utanför it-miljön. MSB:s metodstöd nämner borttappade USB-minnen, kvarglömd information på papper eller whiteboards och att någon pratar om något den inte ska. Sådana händelser påverkar konfidentialiteten precis som ett intrång. De kräver samma beslut: vem kontaktas, behöver någon informeras och hur begränsas skadan?

Gå igenom listan och markera vilka scenarier som är realistiska hos er. Finns känslig kunddata? Sker betalningar online? Finns papper med personuppgifter i receptionen? Står en whiteboard i ett rum där besökare passerar? Varje markerat scenario ska ha en egen rad i planen med första åtgärd och ansvarig.

Top 5 hot mot småföretag – i ordning av frekvens och allvarlighetsgrad

Roller, kontaktvägar och beslutsrätt innan något händer

Bestäm fyra funktioner i förväg: den som upptäcker och larmar, den som bedömer allvarlighetsgrad, den som beslutar om åtgärder och den som utreder i efterhand. I ett litet företag kan samma person ha flera roller. Varje roll ska ändå ha minst en namngiven ersättare, eftersom en incident inte alltid inträffar när ordinarie person är i tjänst.

Skriv ner beslutsmandatet, för det är där larmkedjan annars fastnar: vem får stänga av verksamhetskritiska system, koppla bort en dator från nätet, beställa extern hjälp och uttala sig till kunder och medier. Ett larmnummer eller en adress som alltid bevakas, inklusive utanför kontorstid, hör till samma beslut.

Rollerna vilar på två grundprinciper i Diggs rekommendation för informationssäkerhet och teknisk IT-säkerhet. Administrativ och personell säkerhet handlar om att öka förtroendet för att egen eller inhyrd personal har rätt tillgång till information och behandlar den säkert. Det förutsätter interna rutiner.

Där beskrivs också att obehörig tillgång till information i lokalerna försvåras genom skalskydd och fysisk säkerhet, till exempel tillträdesbegränsning. Översatt till planen: vem har nyckel, vem har konton med utökade rättigheter, och vad händer när en medarbetare slutar eller ett konsultuppdrag avslutas?

Ledningen behöver vara synlig i planen. En guide om efterlevnad beskriver kulturell efterlevnad som att skapa en organisation där anställda känner ansvar för efterlevnad och där ledningen sätter föredömen. När chefen själv rapporterar sina misstag i samma kanal som alla andra blir det tydligt att rapportering förväntas och inte bestraffas.

Klassa informationen och värdera riskerna först

Börja med att klassa informationen. Enligt 6 § i MSBFS 2020:6, återgiven i Diggs rekommendation, bör verksamheten klassa sin information avseende konfidentialitet, riktighet och tillgänglighet i olika nivåer. Klassningen ska utgå från vilka konsekvenser ett bristande skydd kan få. Därefter bör verksamheten identifiera, analysera och värdera risker för sin information. Digg hänvisar till MSB:s metodstöd (MSB 0040-09) för informationssäkerhetsklassning.

För ett litet företag räcker oftast tre nivåer: information vars röjande kan skada företaget eller enskilda, information som är känslig men inte kritisk, och information som kan vara öppen. Det praktiskt viktiga är inte nivånamnen utan att ni per informationsmängd kan svara på tre frågor: vad händer om den läcker, vad händer om den är fel, och vad händer om den inte går att komma åt?

Koppla klassningen till planen – den avgör vilka incidenter som är allvarliga och hur snabbt de måste hanteras. En incident som berör kundregister med känsliga uppgifter kan kräva externt stöd och information till kunder samma dag, medan en felkonfigurerad skrivare kan hanteras nästa vecka. Skriv ner kopplingen som beslutskriterier, så slipper den som tar emot larmet bedöma från noll.

Arbetssättet steg för steg: upptäcka, bedöma, åtgärda, utreda

MSB:s metodstöd säger att organisationen behöver ett arbetssätt för att upptäcka, bedöma, hantera och utreda incidenter. Upptäckt handlar om hur ni får veta att något hänt: medarbetarens rapport, ett tekniskt larm, en kund som hör av sig eller ett system som inte svarar. Bestäm en larmkanal och se till att den fungerar även utanför kontorstid.

Bedömningen bör kopplas till klassningen: vilken information berörs, är den påverkad, står verksamheten still? Prioritera det som stoppar verksamheten eller rör skyddsvärd information. Begränsningen är de åtgärder som hindrar spridning: koppla bort system eller konton, byt lösenord, stäng av påverkat konto. Samla samtidigt underlag om vad som hänt innan ni återställer, eftersom en snabb återställning kan förstöra spåren.

Utredningen i efterhand faller lätt bort. MSB:s metodstöd beskriver incidenthantering som att minimera risken för att incidenter uppstår, minska deras konsekvenser, utreda orsakerna och förbättra skyddet så att liknande incidenter inte inträffar i framtiden. Lägg därför in en kort uppföljning som standard: vad hände, vad gjorde vi, vad ändrar vi?

Dokumentera i en incidentlogg: datum, vad som hände, vem som hanterade, vilka beslut som fattades och hur lång tid återställningen tog. Loggen visar mönster: upprepas samma misstag är det rutinen och inte personen som behöver ändras. Den ger också underlag om kund, försäkringsbolag eller myndighet frågar vad som gjorts. Förvara mallen och loggen så att de går att nå även när it-systemen ligger nere, till exempel i utskriven form.

Rapportera vidare till rätt mottagare

MSB:s metodstöd konstaterar att en del författningar kräver att incidenter av olika slag rapporteras till olika myndigheter. Organisationen behöver därför ett arbetssätt för upptäckt, bedömning, åtgärd och utredning av incidenter. Arbetssättet ska också visa hur rapporteringspliktiga incidenter rapporteras till rätt myndighet. Rapporteringsrutinen ska vara en del av arbetssättet, inte ett separat dokument.

Kartlägg vilka skyldigheter som gäller er verksamhet, eftersom kraven varierar med sektor och verksamhet.

Behandlar ni personuppgifter i kundregister eller personalregister gäller Dataskyddsförordningen. En personuppgiftsincident är en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring av personuppgifter, eller till obehörigt röjande av eller obehörig åtkomst till dem. Det spelar ingen roll om det skett oavsiktligt eller med avsikt.

Som personuppgiftsansvarig ska ni anmäla vissa personuppgiftsincidenter till IMY eller annan behörig dataskyddsmyndighet. Anmälan ska som utgångspunkt göras inom 72 timmar från det att ni fick vetskap om incidenten. Använd IMY:s e-tjänst, eller blanketten om kakor är blockerade i webbläsaren – e-tjänsten kräver Google Chrome eller Microsoft Edge.

Anmälan blir en allmän handling när den kommit in till IMY. Lämna inte fler uppgifter än nödvändigt, och beskriv i anmälningsformuläret om någon uppgift bör omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400). Direkt efter inskickad anmälan kan ni spara ner en kopia via webbläsaren.

Vissa personuppgiftsincidenter ska i stället anmälas enligt brottsdatalagen, och då används IMY:s blankett. IMY:s checklistor och EDPB:s riktlinjer 01/2021 ger exempel på incidenter: en obehörig part får tillgång till personuppgifter, en dator med personuppgifter förloras eller stjäls, eller någon ändrar personuppgifter utan tillstånd.

Leder incidenten sannolikt till hög risk för fysiska personers rättigheter och friheter ska ni också informera de registrerade utan onödigt dröjsmål. Dokumentation ska föras över inträffade personuppgiftsincidenter, även de som inte anmäls.

Lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster genomförde NIS-direktivet. Den omfattade samhällsviktiga tjänster inom energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten samt digital infrastruktur, och digitala tjänster. Den ställde krav på säkerhetsåtgärder och rapportering av incidenter som påverkar kontinuiteten i tjänsterna.

Enligt 7 § gällde lagen inte för leverantörer av digitala tjänster som är mikroföretag eller små företag enligt kommissionens rekommendation 2003/361/EG. Lagen upphörde att gälla den 15 januari 2026 och upphävdes genom SFS 2025:1506. Enligt Hemmasupports guide gäller sedan samma datum en ny svensk cybersäkerhetslag baserad på NIS2-direktivet, med skärpt ansvar direkt på företagsledningen.

Rutinen har samma innehåll oavsett vilka formella krav som gäller er. Den ska svara på vem som ansvarar för att anmälan görs och vilka uppgifter som ska sammanställas: vad som hänt, när, vilken information som berörts och vilka åtgärder som vidtagits. Den ska också ange vilken mottagare anmälan går till och var kopian sparas. Bestäm dessutom vem som svarar på frågor från myndigheter och kunder i efterhand.

Skapa ett öppet klimat och öva på planen

MSB framhåller att organisationen behöver ett tillåtande klimat och att medarbetare uppmuntras att rapportera incidenter. De flesta organisationer vill få kännedom om alla typer av incidenter, eftersom de indikerar att något inte står rätt till. Kunskapen gör det möjligt att åtgärda problem innan situationen förvärras. Bestraffas rapportering blir nästa händelse orapporterad och hanteras först när en kund hör av sig.

Konkreta åtgärder: håll isär rapporten från bedömningen av skuld, säg uttryckligen att den som rapporterar ett misstag gjort rätt och uppmärksamma snabb upptäckt. En guide om efterlevnad beskriver att processen för avvikelser och incidenter ska omfatta identifiering, utredning, åtgärder och kommunikation. Anställda behöver känna ansvar för efterlevnad medan ledningen sätter föredömen. Ledningen bör därför rapportera sina egna misstag i samma kanal som alla andra.

Gå igenom planen med jämna mellanrum och följ upp att rutinerna efterlevs i vardagen, inte bara att de är nedskrivna. Former som fungerar i små företag: ta en incidenttyp per möte och låt varje person beskriva vad den gör först, testa larmnumret, kontrollera att ersättarna är kvar och att kontaktlistan stämmer. Justera planen efter varje verklig incident och varje övning – det är där bristerna blir synliga.

Mall och checklista att fylla i

Fyll i följande och håll det uppdaterat, både digitalt och i utskriven kopia på en plats som går att nå när it-systemen ligger nere:

– Incidentansvarig och ersättare, med mobilnummer som fungerar utanför kontorstid.

– Beslutsmandat: vem får stänga av system, vem får beställa extern hjälp, vem får informera kunder och vem får göra extern anmälan.

– Kontaktlista: intern ledning, IT-leverantör, försäkringsbolag, juridiskt stöd och den myndighet som tar emot anmälan för just er verksamhet.

– Vid personuppgiftsincident: IMY, som tar emot anmälan via e-tjänsten eller blanketten, och vem som är personuppgiftsansvarig och gör anmälan inom 72 timmar.

– De scenarier ni markerat som relevanta, med första åtgärd per scenario: ransomware, nätfiske, dataintrång, skadlig kod, borttappat USB-minne samt kvarglömd information på papper eller whiteboard.

– Beslutskriterier för allvarlighetsgrad, kopplade till klassningen av konfidentialitet, riktighet och tillgänglighet.

– Var kopian av anmälan till IMY sparas.

– Var incidentloggen förvaras och var planen finns i utskriven form.

– Datum för senaste genomgång och vem som ansvarar för nästa.