På den här sidan
Riskanalysen är grunden i NIS2-arbetet. Utan den vet ni inte vilka säkerhetsåtgärder som är lämpliga och proportionella för just er verksamhet.
Den här guiden ger dig en riskanalys checklista för NIS2: vad cybersäkerhetslagen och Myndigheten för civilt försvars (MCF) föreskrifter faktiskt kräver av riskarbetet, och hur ni kan gå tillväga steg för steg. Den riktar sig till VD, IT-chef och ekonomiansvarig i små och medelstora företag och offentlig sektor, och förutsätter inga juridiska förkunskaper.
Guiden gäller de verksamhetsutövare som omfattas av lagen. Är du osäker på om ni gör det kan du börja med självtestet eller guiden om vilka sektorer som omfattas av NIS2.
Vad lagen kräver av riskanalysen
NIS2 är EU:s direktiv om cybersäkerhet (direktiv (EU) 2022/2555). I Sverige har det genomförts genom cybersäkerhetslagen (2025:1506) och cybersäkerhetsförordningen (2025:1507), som trädde i kraft den 15 januari 2026.
Enligt 2 kap. 3 § cybersäkerhetslagen ska verksamhetsutövare vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska säkerhetsåtgärder. Åtgärderna ska utgå från ett allriskperspektiv, alltså inte bara it-attacker utan även till exempel driftstörningar och fysiska händelser, och ge en säkerhetsnivå som är lämplig i förhållande till risken. Det första av de tio områden som åtgärderna åtminstone ska avse är strategier för riskanalys och för nätverks- och informationssystemens säkerhet.
Riskanalysen är med andra ord inte ett eget pappersprojekt. Den är det underlag som avgör vilka åtgärder ni ska välja inom alla övriga områden.
Vad MCF:s föreskrifter säger om riskanalys
MCF har meddelat föreskrifter och allmänna råd om säkerhetsåtgärder och ledningens utbildning (MCFFS 2026:11), som gäller från den 1 oktober 2026. De mest konkreta kraven på riskarbetet finns i 3 kap. Föreskrifterna är tvingande, medan de allmänna råden är rekommendationer om hur kraven kan tillämpas.
Av föreskrifterna framgår att verksamhetsutövaren ska:
- bedriva ett systematiskt och riskbaserat cybersäkerhetsarbete utifrån ett allriskperspektiv, som integreras med hur organisationen redan leds och styrs (3 kap. 1 §),
- värdera sin information utifrån behovet av skydd avseende konfidentialitet, riktighet och tillgänglighet, och själv fastställa antal nivåer och kriterier för det (informationsklassning, 3 kap. 11 §),
- identifiera, analysera och värdera risker utifrån deras konsekvens och sannolikhet, med informationsklassningen, omvärldsbevakningen och information om incidenter och tillbud som underlag (3 kap. 12 §),
- utforma nivåer och kriterier för konsekvens och sannolikhet så att risker kan jämföras över tid, och fastställa kriterier för riskacceptans (3 kap. 12 §),
- identifiera och hantera behovet av att uppdatera genomförda riskanalyser när hot och sårbarheter förändras (3 kap. 12 §),
- välja säkerhetsåtgärder utifrån resultatet av riskanalyserna och dokumentera dem i en åtgärdsplan, där det framgår vem som ansvarar för att varje åtgärd genomförs och när den ska vara klar (3 kap. 13 §).
Notera att vissa sektorer, bland dem digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden, enligt 1 kap. 1 § endast omfattas av kraven på ledningens utbildning i just dessa föreskrifter. Kontrollera vad som gäller er sektor.
Riskanalys checklista: steg för steg
Använd listan som ett arbetssätt. Den följer föreskrifternas logik men är en praktisk tolkning, inte en officiell mall.
1. Förankra uppdraget hos ledningen
- Ledningen ska enligt 3 kap. 4 § godkänna och övervaka genomförandet av säkerhetsåtgärderna. Det förutsätter fastställda mål och inriktning, tydliga uppgifter och tillräckliga resurser.
- Ledningen ska enligt samma paragraf få information om genomförandet och om nivån på cybersäkerheten vid behov, men minst en gång per år.
- De allmänna råden anger att ledningen bör fastställa kriterier för riskacceptans. Det är ett beslut som bör komma från ledningen, inte från it-avdelningen.
2. Kartlägg information och system
- Hur ska ni veta vad som ska skyddas? Håll en uppdaterad förteckning över relevant information om den digitala miljön (4 kap. 9 §). De allmänna råden nämner bland annat vilka system som ingår i produktionsmiljön, kontaktuppgifter till ägare och leverantörer, och vilka system som är sektorskritiska.
- Dokumentera vilken informationsbehandling som är utkontrakterad och vem som är leverantör.
- Utse informationsägare och systemägare. Enligt 3 kap. 7–8 §§ ska informationsägaren säkerställa att informationen är värderad och att risker analyserats, och systemägaren att risker analyserats för systemen och att rätt skyddsnivå uppnås.
3. Klassa informationen
- Bedöm hur allvarligt det vore om informationen blev röjd (konfidentialitet), felaktig eller manipulerad (riktighet) eller otillgänglig (tillgänglighet).
- Bestäm själva hur många nivåer ni använder och vad som kännetecknar varje nivå. De allmänna råden anger att nivåerna för informationsklassning bör vara identiska med, eller kunna relateras till, nivåerna för konsekvensbedömning i riskanalysen. Använd därför samma skala på båda ställen.
4. Ta fram en skala för konsekvens och sannolikhet
Skalan är ert eget verktyg och ska göra att risker kan jämföras över tid. Ett exempel på upplägg, som ni anpassar efter er verksamhet:
| Nivå | Konsekvens (exempel på kriterium) | Sannolikhet (exempel på kriterium) |
|---|---|---|
| Låg | Kan hanteras inom ordinarie drift | Inträffar sällan |
| Medel | Påverkar enskilda verksamheter en kortare tid | Kan inträffa under en period på några år |
| Hög | Allvarlig driftstörning eller ekonomisk skada | Kan inträffa inom ett år |
Tabellen är ett illustrativt förslag, inte ett krav från lag eller myndighet. Det som krävs är att ni har definierade nivåer och kriterier, och att de används konsekvent.
5. Identifiera risker
- Utgå från informationsklassningen, omvärldsbevakning och erfarenheter av incidenter och tillbud (3 kap. 12 §).
- Omvärldsbevakningen ska enligt 3 kap. 10 § hämta information från leverantörerna av den digitala miljöns hård- och mjukvara samt från NCSC.
- De allmänna råden anger att risker bör värderas separat för bland annat informationsbehandling i system, förvärv av system, utkontrakterad informationsbehandling, digitala leveranskedjor, mobila system och enskilda segment, samt för den digitala miljön i sin helhet.
6. Värdera och prioritera
Bedöm varje risk utifrån konsekvens och sannolikhet och jämför mot ledningens kriterier för riskacceptans. Risker över den accepterade nivån ska omhändertas med en åtgärd.
7. Välj åtgärder och skriv åtgärdsplan
- Välj åtgärder utifrån riskanalysen, inte utifrån vad som är enklast att köpa.
- Skriv en åtgärdsplan med risk, åtgärd, ansvarig roll och datum (3 kap. 13 §). De allmänna råden säger att planen bör redovisa vilka alternativa åtgärder som övervägts.
8. Följ upp och uppdatera
- Uppdatera riskanalysen när hot och sårbarheter förändras (3 kap. 12 §).
- Följ upp både identifierade risker och införda åtgärder, och förbättra vid behov (3 kap. 1 §).
- Spara dokumentation. De allmänna råden anger att beslut, analyser, bedömningar, planer och resultat av uppföljning bör sparas för tillsynsändamål (3 kap. 3 §).
Sammanfattande checklista
- Ledningen har fastställt mål och riktning för cybersäkerheten och kriterier för riskacceptans
- Information och system är kartlagda, med namngivna informations- och systemägare
- Informationen är klassad utifrån konfidentialitet, riktighet och tillgänglighet
- Skalor för konsekvens och sannolikhet är definierade
- Risker är identifierade, bland annat för leverantörer och utkontrakterad drift
- Risker är värderade mot riskacceptansen
- Åtgärdsplan finns med ansvarig roll och datum
- Ledningen informeras minst en gång per år
- Riskanalysen uppdateras vid förändrade hot och sårbarheter
- Beslut och underlag är dokumenterade och sparade
Standarder som stöd
Enligt 3 kap. 2 § ska verksamhetsutövaren identifiera och hantera behovet av att använda relevanta standarder. De allmänna råden anger att SS-ISO/IEC 27001:2022 och SS-EN ISO/IEC 27002:2022 bör användas som stöd eller motsvarande standarder. Att följa en standard är alltså ett sätt att strukturera arbetet, men föreskrifterna kräver inte certifiering av den egna verksamheten.
Vanliga frågor
Vad är en riskanalys enligt NIS2? Det är en systematisk genomgång där ni identifierar, analyserar och värderar risker utifrån konsekvens och sannolikhet, och utifrån resultatet väljer säkerhetsåtgärder. Kravet följer av cybersäkerhetslagen och MCFFS 2026:11.
Finns det en färdig riskanalys-mall som myndigheten kräver? Vi har inte funnit någon obligatorisk mall i föreskrifterna. De kräver i stället vissa moment, som nivåer och kriterier, kriterier för riskacceptans och en åtgärdsplan. Hur ni dokumenterar det bestämmer ni själva, så länge kraven uppfylls.
Hur ofta ska riskanalysen göras? Föreskrifterna anger ingen fast frekvens. Riskanalyserna ska uppdateras vid förändrade hot och nya sårbarheter som kan påverka cybersäkerheten. Ledningen ska dessutom få information om cybersäkerhetsnivån minst en gång per år.
Vem ska göra riskanalysen? Ansvaret ligger hos verksamhetsutövaren, och ledningen ska godkänna och övervaka arbetet. Informationsägare och systemägare har enligt föreskrifterna egna uppgifter i att säkerställa att risker analyseras för sin information respektive sina system.
Hur Nisenta kan hjälpa
Om ni vill samla kartläggning, åtgärdsplan och uppföljning på ett ställe kan Nisenta hjälpa till med strukturen. Ett bra första steg är checklistan för NIS2.
Källor
Vill ni se det med er egen verksamhet?
Att komma igång som kund tar några minuter. Ni väljer regelverk, svarar i den takt ni hinner och bygger efterlevnaden steg för steg - utan konsultarvode.