Hotbilden har blivit snabbare och mer svårfångad

Utvecklingen inom AI påverkar inte bara verksamheternas egna processer utan också angriparnas arbetssätt. Angrepp kan genomföras snabbare, med större skala och med mer övertygande social manipulation än tidigare. Nätfiske, identitetsbedrägerier och automatiserad sårbarhetsskanning blir effektivare när AI används för att generera innehåll, anpassa budskap och identifiera svaga punkter.

För verksamheter innebär detta att traditionella skydd inte längre räcker som ensam strategi. Det behövs ett säkerhetsarbete som kombinerar tekniska skydd med styrning, utbildning, riskanalys och tydliga processer för incidenthantering. När hoten blir mer dynamiska behöver även förmågan att upptäcka, agera och återhämta sig bli mer mogen.

Leveranskedjan är en av de största riskerna

Ett av de tydligaste budskapen i rapporten är att leveranskedjan har blivit en central sårbarhet. Många organisationer är beroende av molntjänster, SaaS-leverantörer, konsulter, integrationspartners, öppen källkod och andra externa beroenden. Det skapar effektivitet, men också en komplex struktur där ett intrång hos en leverantör kan få konsekvenser långt utanför den egna verksamheten.

Det här är särskilt viktigt i ljuset av cybersäkerhetslagen. Kraven handlar inte bara om att skydda interna system, utan också om att förstå och hantera risker i leverantörsledet. För organisationer som arbetar med egenkontroller innebär det att leverantörsstyrning inte kan ses som en separat inköpsfråga. Det är en del av den samlade riskhanteringen.

När ett intrång sker hos en tredje part kan följdeffekterna bli omfattande. Driftstörningar, informationsläckor, osäkerhet kring ansvar och brister i incidentkommunikation kan snabbt påverka flera verksamheter samtidigt. Därför behöver leveranskedjesäkerhet behandlas som en operativ förmåga, inte bara som en klausul i ett avtal.

Mognaden är ofta lägst där beroendet är störst

Många verksamheter har kommit längre inom områden där de själva har direkt kontroll, till exempel åtkomsthantering, interna policyer och grundläggande incidentprocesser. Men när ansvaret sträcker sig utanför den egna organisationen sjunker ofta mognaden. Det gäller särskilt säkerhetskontroller i leveranskedjan, uppföljning av externa parter och kontinuitetsplanering kopplad till tredjepartsberoenden.

Det är en viktig insikt för ledning och styrning. En organisation kan uppleva att den har relativt god ordning internt, men ändå vara sårbar genom sina leverantörer, partners eller externa tjänster. I praktiken betyder det att hela den digitala miljön behöver ses som ett sammanhängande ekosystem, inte som enbart interna resurser.

För verksamheter som omfattas av cybersäkerhetslagen blir detta extra relevant eftersom regelefterlevnad bygger på att risker identifieras, bedöms och hanteras utifrån faktisk påverkan. Därför behöver dokumentation och spårbarhet finnas även i arbetet med externa beroenden.

Cybersäkerhetslagen ökar trycket på ledningen

En tydlig förändring i det nya regulatoriska landskapet är att cybersäkerhet allt mer blir en ledningsfråga. Det räcker inte längre att betrakta säkerhet som en teknisk stödfunktion. Risker behöver lyftas till samma nivå som andra verksamhetskritiska frågor, med beslut, prioriteringar och uppföljning i ledning och styrelse.

Det här förändrar också kraven på egenkontroll. Organisationen behöver kunna visa hur säkerhetsarbetet styrs, vem som ansvarar för vad, hur incidenter hanteras, hur risker prioriteras och hur förbättringar följs upp. Utan tydligt ägarskap från ledningen finns en risk att arbetet blir splittrat mellan IT, verksamhet, juridik, HR och inköp.

Ett moget säkerhetsarbete kräver därför mer än teknik. Det kräver mandat, styrning och en tydlig koppling mellan risk, ansvar och åtgärd.

Regelefterlevnad får inte bli ett självändamål

Rapporten lyfter också en viktig risk: att arbetet med regelefterlevnad blir för administrativt och för lite operativt. När fokus hamnar på att bocka av krav, skriva dokument och hantera formalia finns en risk att organisationen missar det verkliga målet — att bygga faktisk motståndskraft.

Det betyder inte att dokumentation är oviktig. Tvärtom är dokumentation och spårbarhet centralt i egenkontroller och nödvändigt för att kunna visa hur arbetet bedrivs. Men dokumentationen behöver spegla verkliga processer, verkliga beslut och verkliga förbättringar. Annars skapas en falsk känsla av trygghet.

För att lyckas behöver verksamheter arbeta riskbaserat. Det innebär att prioritera de åtgärder som ger mest effekt utifrån organisationens beroenden, hotbild, incidenthistorik och samhällsviktiga funktioner. Alla krav kan inte hanteras samtidigt med samma tyngd. Därför blir prioritering en ledningsfråga.

Vad bör verksamheter fokusera på nu?

Det mest akuta är ofta att få en tydlig bild av nuläget. Många organisationer behöver börja med att kartlägga sina viktigaste beroenden, identifiera var riskerna är som störst och se över hur väl nuvarande kontroller faktiskt fungerar i praktiken.

Ett rimligt fokusområde är att stärka arbetet inom följande delar:

leveranskedjesäkerhet och tredjepartsrisker
incidenthantering och rapporteringsvägar
ledningsansvar och styrmodell
kontinuitetsplanering och återställningsförmåga
AI-risker kopplade till både hotbild och egen användning
dokumentation, uppföljning och spårbarhet i egenkontroller

För många verksamheter är det också relevant att använda etablerade ramverk för att strukturera arbetet. Exempelvis kan ett ledningssystem enligt ISO 27001 ge stöd för att knyta ihop riskhantering, styrning, ansvar och uppföljning på ett mer sammanhållet sätt.

Slutsats

Hotbilden förändras snabbt, och det gör även kraven på hur verksamheter ska arbeta med cybersäkerhet. AI driver på utvecklingen, leveranskedjorna skapar nya sårbarheter och cybersäkerhetslagen skärper förväntningarna på styrning, incidentförmåga och ansvar.

Det räcker därför inte att ha punktinsatser eller enbart tekniska skydd. Organisationer behöver bygga operativ motståndskraft som fungerar i vardagen och som går att följa upp över tid. För att lyckas krävs ett riskbaserat arbetssätt, tydligt ledningsansvar och egenkontroller med dokumentation och spårbarhet som bärande delar.

Att tänka på

Kartlägg vilka leverantörer och externa tjänster som är verksamhetskritiska.
Säkerställ att ledningen har ett tydligt ansvar för cybersäkerhet och uppföljning.
Behandla leveranskedjesäkerhet som en operativ förmåga, inte bara som en avtalsfråga.
Integrera AI-risker i ordinarie riskhantering och egenkontroller.
Bygg dokumentation som visar hur risker bedöms, åtgärder beslutas och förbättringar följs upp.
Verifiera alltid kravbilden mot aktuell lagstiftning, myndighetsvägledning och den egna organisationens situation.