Cybersäkerhet för företag: guiden till ett skydd som håller

Det finns två sätt att sälja cybersäkerhet. Det ena är att skrämma: visa rubriker om ransomware och säga att nästa offer är du. Det andra är att förklara vad som faktiskt skyddar, i vilken ordning, och vad det kostar att inte göra det. Den här guiden försöker hålla sig till det andra.

Det mesta av det som skyddar ett företag är inte nytt och inte dyrt. Det är tråkigt. Konton med MFA, datorer som uppdateras, nätverk som är uppdelade, säkerhetskopior som testas och personal som vet vad de ska göra när något ser konstigt ut. Den som har det på plats har gjort mer än de flesta. Den som saknar det blir inte säkrare av att köpa ännu ett verktyg.

Vad är cybersäkerhet?

Cybersäkerhet är de tekniska och organisatoriska åtgärder som skyddar IT-system och information mot angrepp, fel och misstag. Målet brukar beskrivas med tre ord: konfidentialitet, riktighet och tillgänglighet. Obehöriga ska inte komma åt informationen, den ska vara korrekt och systemen ska fungera när du behöver dem.

Orden cybersäkerhet, IT-säkerhet och informationssäkerhet används ofta om samma sak. Den som vill vara noggrann skiljer på dem: informationssäkerhet omfattar all information, även den på papper, medan IT- och cybersäkerhet handlar om den digitala delen. För ett företag spelar skillnaden sällan roll. Definitionerna och de tre målen går vi igenom i Vad är IT-säkerhet?.

Vilka hot möter företag?

De vanligaste angreppen mot svenska företag är inte avancerade. De utnyttjar det enklaste som finns:

• Stulna inloggningar. Ett lösenord som läckt eller lurats fram via nätfiske räcker för att komma in, om kontot saknar MFA.
• Nätfiske. Mejl, sms och meddelanden som ser äkta ut och får någon att klicka, logga in eller betala. Läs mer om phishing.
• Sårbarheter som inte är åtgärdade. System som inte har uppdaterats, eller utrustning som inte längre får uppdateringar.
• Ransomware. Angriparen tar sig in, krypterar systemen och kräver betalt. Ofta kopieras data ut först. Läs mer om ransomware.
• Misstag. Filer som delas med fel person, konton som aldrig stängs när någon slutar, backup som ingen har testat.

Gemensamt för alla fem är att de oftast börjar med något som hade gått att förhindra.

De sex områdena

Ett skydd som håller täcker sex områden. Tabellen visar vad varje område handlar om och var du läser mer.

Område	Vad det handlar om	Viktigaste åtgärden	Läs mer
Identitet	Vem som får logga in, och hur	MFA på alla konton	Identitet och åtkomst, MFA, Zero trust
Enheter	Datorer, telefoner och servrar	Säkerhetsuppdateringar och EDR	Enhetshantering, EDR, XDR och MDR
Nätverk	Hur trafiken flödar och vem som når vad	Segmentering och säker fjärråtkomst	Nätverkssäkerhet
Data	Informationen du vill skydda	Behörigheter, kryptering och delning	Datasäkerhet, GDPR och IT-säkerhet
Personal	Människorna som använder systemen	Utbildning och en rutin för att säga till	Phishing, IT-säkerhetspolicy
Återställning	Vad som händer när något ändå går fel	Säkerhetskopia som går att återställa	Ransomware, Disaster recovery

Identitet

Identiteten är den nya ytterdörren. De flesta angrepp börjar inte med att någon bryter sig igenom en brandvägg, utan med att någon loggar in med ett lösenord som inte är deras. MFA på alla konton är den enskilt viktigaste åtgärden. Därefter kommer minsta möjliga behörighet, särskilt skydd för administratörskonton och rutiner för att stänga konton när någon slutar.

Enheter

Varje dator och telefon är en möjlig väg in. Säkerhetsuppdateringar ska installeras snabbt, och utrustning som inte längre får uppdateringar ska bytas ut. Traditionellt antivirus räcker inte längre, EDR upptäcker misstänkt beteende och kan isolera en dator som angrips. Allt detta blir mycket enklare med central enhetshantering.

Nätverk

Ett platt nätverk, där allt når allt, gör att ett angrepp på en dator snabbt kan sprida sig till resten. Dela upp nätverket i segment, skydda fjärråtkomsten med MFA och se till att någon faktiskt läser larmen från brandväggen. En dyrare brandvägg är sällan svaret.

Data

Vet du var din viktigaste information finns, vem som kommer åt den och om den går att återställa? Det är tre frågor som de flesta företag inte kan svara på direkt. Börja med att städa behörigheter och delningar, kryptera bärbara datorer och se till att känslig information inte ligger öppen för hela organisationen.

Personal

Det går inte att utbilda bort varje klick, och ett skydd som hänger på att ingen någonsin gör fel är inget skydd. Men personal som känner igen nätfiske och vet att de ska säga till direkt, utan att skämmas, gör enorm skillnad. Mät hur många som rapporterar, inte bara hur många som klickar.

Återställning

Förr eller senare går något fel. Då avgör säkerhetskopian om det blir en dålig dag eller en katastrof. Minst en kopia ska vara isolerad från systemen den skyddar, så att den inte krypteras eller raderas vid ett angrepp. Och återställningen ska testas, för en backup som aldrig har återställts är bara en förhoppning.

Var ska du börja?

Svenska NCSC har tio rekommenderade säkerhetsåtgärder som är en bra checklista för de flesta företag:

1. Säkerställ förmågan att upptäcka säkerhetshändelser.
2. Installera säkerhetsuppdateringar skyndsamt.
3. Förvalta behörigheter och använd stark autentisering.
4. Begränsa och skydda användningen av höga behörigheter.
5. Inaktivera oanvända tjänster och protokoll, härda system.
6. Säkerhetskopiera och testa återställning av information.
7. Segmentera och kontrollera åtkomst i nätverket.
8. Säkerställ att endast godkänd mjukvara får köras.
9. Uppgradera mjuk- och hårdvara.
10. Kontrollera internetåtkomst.

Är du osäker på var du ska börja, ta punkt 3, 2 och 6 först: MFA, uppdateringar och testad backup. De stoppar flest angrepp och gör störst skillnad när något ändå händer. Läs mer hos NCSC.

Två saker till behöver finnas tidigt, eftersom resten vilar på dem. En IT-säkerhetspolicy som ledningen har beslutat, så att någon äger frågan. Och en rutin för vad som händer vid en incident, så att ingen behöver hitta på den mitt i natten.

Regelverk: NIS2 och GDPR

Två regelverk ställer krav på cybersäkerheten i svenska företag:

• Cybersäkerhetslagen (NIS2) gäller medelstora och stora verksamheter i 18 samhällsviktiga sektorer sedan 15 januari 2026. Föreskrifterna som gäller från 1 oktober 2026 kräver bland annat MFA för administratörer och fjärråtkomst, snabb patchning, central loggning och isolerade säkerhetskopior. Läs guiden om NIS2 och vem som omfattas.
• GDPR gäller alla som hanterar personuppgifter och kräver lämpliga tekniska och organisatoriska åtgärder. En personuppgiftsincident ska anmälas till IMY inom 72 timmar. Läs GDPR och IT-säkerhet.

Omfattas du inte av NIS2 är kraven ändå en bra beskrivning av vad ordentlig cybersäkerhet är. Dina kunder kommer att fråga efter samma saker förr eller senare.

Vad gör du själv och vad kan en IT-partner ta?

En del av cybersäkerheten kan ingen annan ta över. Andra delar gör en IT-partner bättre och billigare än du själv.

Du äger själv	En IT-partner kan ta
Beslut om vilka risker som är acceptabla	MFA, behörigheter och administratörskonton
IT-säkerhetspolicyn och vem som ansvarar	Säkerhetsuppdateringar och enhetshantering
Att personalen vet vad de ska göra	EDR, övervakning och att någon läser larmen
Krav på dina leverantörer	Segmentering, brandvägg och fjärråtkomst
Beslutet att rapportera en incident	Säkerhetskopiering och återställningstester
Budget och prioritering	Underlag till ledningens uppföljning

Kolumnen till vänster är kort men viktig. En IT-partner som säger att de "tar hand om säkerheten" helt och hållet lovar mer än någon kan hålla. Ansvaret för besluten stannar hos dig.

Alla guider om IT-säkerhet

• Vad är IT-säkerhet? Definitionen, de tre målen och skillnaden mot informationssäkerhet.
• Phishing Så känner du igen nätfiske och bygger ett skydd som inte hänger på att ingen klickar.
• Ransomware De fyra skydden som räknas och vad du gör de första 60 minuterna.
• Penetrationstest Hur det går till, vad du får och när det är värt pengarna.
• Zero trust En modell, inte en produkt, och hur ett företag börjar.
• Nätverkssäkerhet Segmentering, fjärråtkomst och varför lådan inte skyddar.
• Datasäkerhet Ordning före verktyg: behörigheter, kryptering, backup och delning.
• GDPR och IT-säkerhet Tekniska åtgärder och vad du gör vid en personuppgiftsincident.
• IT-säkerhetspolicy Vad den ska innehålla, med en mall du kan använda direkt.
• EDR, XDR och MDR Skillnaden mot antivirus och vad ett litet bolag faktiskt behöver.

Grunderna först

Cybersäkerhet är inte ett projekt som blir klart. Men det är inte heller så komplicerat som det ofta låter. Grunderna stoppar det mesta: MFA, uppdateringar, segmentering, testad backup och personal som säger till. Få dem på plats först. Sedan vet du vad resten behöver kosta, och du slipper köpa skydd mot hot du inte har.

Så hjälper Nod till

Nod går kostnadsfritt igenom var du står i de sex områdena och vad som saknas. Vill du att vi tar ansvar för de tekniska delarna gör vi det: identitet och MFA, enheter och uppdateringar, övervakning, nätverk och säkerhetskopiering. Besluten, och ansvaret för dem, hjälper vi dig att ta fram underlag till. Läs mer om IT-säkerhet hos Nod.