Kostnader för grundläggande it-säkerhet

Kort svar: vad kostar grundläggande it-säkerhet?

Gartner (2025): säkerhet tar i snitt 5,7 procent av organisationers totala IT-budget, upp från 4,9 procent året innan. Riktlinjen är 5–7 procent av IT-budgeten för de flesta organisationer.

Opsios budgetguide räknar med 200 000–600 000 kronor per år för svenska små företag. Reglerade branscher som finans och hälso- och sjukvård bör enligt samma guide ligga högre, kring 8–12 procent.

IBM (2024): ett genomsnittligt dataintrång i Norden kostar motsvarande cirka 35 miljoner kronor. Opsio menar att en årlig säkerhetsbudget på 500 000 kronor därför är en rimlig försäkringspremie — långt under vad en incident kan kosta.

Viktiga siffror om IT-säkerhet i Sverige

Vad avgör kostnaden?

Vanligaste utgångspunkten är IT-budgetens storlek. För ett svenskt medelstort företag med total IT-ram på 10 miljoner kronor motsvarar riktlinjen 5–7 procent ett årligt säkerhetsanslag på 0,5–0,7 miljoner kronor (Opsio). Saknar ni separat säkerhetsbudget är första steget att räkna fram er totala IT-budget och därefter pröva procentsatsen mot den.

Bransch och regelverk höjer nivån. Reglerade verksamheter inom finans och hälso- och sjukvård bör enligt Opsio ligga högre. Opsio lyfter NIS2 som kostnadsdrivare: regelverket ökar investeringarna i incidenthantering och rapportering.

Regelverk kan också kräva dokumentation som kostar arbetstid och systemstöd. Försvarsmaktens föreskrifter (FFS 2019:2) gällde Fortifikationsverket, Försvarshögskolan och de myndigheter som hör till Försvarsdepartementet. Enligt lagen.nu är de upphävda eller ersatta av FFS 2025:3.

Föreskrifterna innehöll krav på dokumenterade rutiner för att upptäcka, bedöma och hantera incidenter och avvikelser som rör säkerhetskänslig verksamhet. Att bedöma kostnaden i förväg är svårt: i Statskontorets utredning av NIS-direktivet ansåg de utpekade myndigheterna att de ekonomiska konsekvenserna var svåra att bedöma. Regeringen hade då ännu inte gett dem något formellt tillsynsuppdrag.

Utöver budgetnivå och regelverk styr antalet system och tjänster, organisationens mognad, krav från kunder och leverantörskedja samt hur mycket incidenthantering och rapportering som behöver byggas upp. Fler system, integrationer och externa parter ger fler ytor att skydda, övervaka och uppdatera — och fler löpande kostnadsposter, även om varje enskild post är liten.

Var pengarna går: typiska poster i grundskyddet

Grundskyddet består av återkommande poster: IT-utrustning och programvaror (brandvägg, skydd mot skadlig kod, licenser, uppgraderingar), utbildning av personal, extern säkerhetsgranskning eller penetrationstest, incidentberedskap samt löpande drift i form av övervakning, loggning, uppdateringar och administrativt arbete. Opsios budgetguide har en uppdelning per kostnadsområde och en prioriteringsmodell som fungerar oavsett företagsstorlek — användbar som mall när ni mappar era egna poster.

Flera av dessa områden finns i Skatteverkets avdragslexikon. Delar av säkerhetskostnaderna kan därför hamna under avdragsgilla områden, men vad som faktiskt är avdragsgillt beror på verksamhetsform och på om utgiften är nödvändig för verksamheten.

Extern säkerhetsgranskning är ofta den mest synliga engångskostnaden. Opsio erbjuder i sin guide en kostnadsfri säkerhetsgranskning mot NIS2 och cybersäkerhetslagen, vilket kan ge en första nulägesbild innan ni köper en fullständig granskning eller ett penetrationstest.

Incidentberedskap och löpande drift glöms lättast bort eftersom de sällan syns som en enskild faktura: kontaktvägar och jour, rutiner vid misstänkt intrång, övning av rutinerna samt tid för att uppdatera och följa upp larm. Budgetera dem som en löpande månadskostnad, inte som ett engångsprojekt.

Budgetexempel i svenska kronor

Litet företag: Opsios budgetguide anger 200 000–600 000 kronor per år som rimligt intervall för små företags grundläggande IT-säkerhet. Intervallet är brett eftersom det rymmer allt från enklare molntjänster och utbildning till extern granskning och incidentberedskap.

Medelstort företag: med en total IT-ram på 10 miljoner kronor ger riktlinjen 5–7 procent (Gartner, 2025, återgiven av Opsio) 500 000–700 000 kronor per år till säkerhet. Räknat på snittet 5,7 procent landar samma företag på 570 000 kronor.

Reglerad verksamhet: inom finans eller hälso- och sjukvård anger Opsio 8–12 procent av IT-budgeten. Vid en IT-ram på tio miljoner kronor motsvarar det 800 000–1 200 000 kronor per år — jämfört med 0,5–0,7 miljoner kronor för de flesta organisationer med samma IT-ram.

Kostnadsintervall för grundläggande IT-säkerhet i Sverige

Grundskydd när budgeten är liten

Börja med rutiner och ansvar: bestäm vem som gör vad vid en incident, var larm hamnar och hur ni dokumenterar det som händer. Det kostar framför allt arbetstid.

Utbilda personalen. I kampanjen Tänk säkert ger Säkerhetsbranschen, tillsammans med medlemsföretaget Unbreached, tips på hur företag med liten budget kan höja cybersäkerheten.

Prioritera sedan de tekniska åtgärder som ger mest effekt per krona: uppdateringar och patchning av system och programvaror, säkerhetskopiering med testad återläsning samt åtkomstkontroll där varje användare bara har de behörigheter arbetet kräver och där inloggning skyddas med flerfaktorsautentisering.

Avsluta med incidentrutinerna i praktiken: kontaktlista, rutin för att stänga av konton och koppla bort system, samt kunskap om vilka rapporteringsskyldigheter som gäller för er verksamhet. Opsios prioriteringsmodell fungerar oavsett företagsstorlek och kan användas för att avgöra i vilken ordning åtgärderna ska genomföras.

Steg-för-steg: Bygg upp grundläggande IT-säkerhet med liten budget

Skatteeffekter: sänk nettokostnaden

Skatteverket anger att en enskild näringsidkare får göra kostnadsavdrag för inköp och andra utgifter som är nödvändiga för att kunna tjäna pengar i verksamheten, men aldrig för privata levnadskostnader. En del utgifter dras av direkt med hela beloppet, medan andra måste fördelas över flera år genom avskrivning eller värdeminskningsavdrag. För vissa utgiftstyper finns begränsningar i hur stort avdraget får vara.

Driver du ekonomisk verksamhet får du vanligtvis även dra av momsen på inköpen i momsdeklarationen. Undantag finns — momsen på inköp av personbil får till exempel normalt inte dras av — så kontrollera varje post mot er verksamhetsform. Skatteverkets avdragslexikon vänder sig i första hand till dig som bedriver enskild näringsverksamhet eller handels- eller kommanditbolag, vilket innebär att avdragsreglerna kan se annorlunda ut i ett aktiebolag.

I avdragslexikonet finns de mest relevanta IT-säkerhetsposterna med: IT-utrustning, dator, datorprogram, programvaror, utbildningar och kurser, bokföringshjälp och redovisningshjälp. Nettokostnaden för grundskyddet blir därför lägre än bruttokostnaden när avdragsrätten och momsen räknas in — hur mycket beror på skattesats, avdragsrätt och verksamhetsform.

Skatteverket betonar att du alltid ska spara underlagen för inköpen, exempelvis fakturor, och bokföra utgifterna löpande i verksamheten. Ett praktiskt grepp är att hålla säkerhetskostnaderna åtskilda i bokföringen per kategori — utrustning, programvara, utbildning, extern tjänst — så att avdragsrätt och moms kan hanteras post för post vid deklarationen.

Så motiverar du kostnaden för ledningen

Enligt Cisco (2024), återgivet av Opsio, är avkastningen på säkerhetsinvesteringar i genomsnitt 179 procent. Ställ den siffran mot er egen budget: en årlig säkerhetsbudget på 500 000 kronor ligger långt under den genomsnittliga kostnaden för ett dataintrång i Norden som nämns i Kort svar.

Andelen av IT-budgeten som går till säkerhet ökar redan i branschen som helhet (Gartner, 2025). NIS2 driver ökade investeringar i incidenthantering och rapportering (Opsio).

Sammanfattning och nästa steg

De viktigaste kostnadsposterna är IT-utrustning och programvaror, utbildning, extern säkerhetsgranskning eller penetrationstest, incidentberedskap samt löpande drift med övervakning, loggning och uppdateringar. Avdragsregler och moms påverkar nettokostnaden.

Checklista för att ta fram er egen budget: 1. Räkna fram er totala IT-budget och beräkna säkerhetsandelen utifrån er bransch och reglering (se intervallen ovan). 2. Lista nuvarande kostnader per område — utrustning och programvaror, utbildning, extern granskning, incidentberedskap och löpande drift — så att ni ser vilka poster som saknas helt.

Checklista: Ta fram er egen IT-säkerhetsbudget