Säkerhet i småföretag: Rutinerna som behövs innan något går fel
De flesta småföretag har något slags skydd mot cyberattacker, men få har en rutin för vad de gör när något ändå går fel. Den rutinen avgör om en incident blir en jobbig dag eller en kris. Här är fem rutiner som ger störst effekt, och vad som gäller under de första 72 timmarna.
Därför är småföretag måltavlor
I en undersökning från försäkringsbolaget If, där 1 012 företag med upp till 49 anställda svarade, ser 28 procent cyberattacker som ett av de största hoten mot verksamheten. Ändå uppgav 49 procent att de inte har stärkt sin it-säkerhet de senaste två åren.
IT-säkerhetsspecialisten Karl Emil Nikka har i en artikel hos Företagarna beskrivit hur småföretag används som språngbräda mot de större företagen som är angriparnas egentliga mål, ofta med ett enda mejl som startpunkt. Att vara liten är alltså inget skydd. Det kan snarare vara själva ingången.
Fem rutiner som gör störst skillnad
Utse någon som ansvarar. Teknikföretagens checklista för mindre bolag börjar med just det: en person som äger frågan. Utan ägare blir säkerhet allas ansvar och därmed ingens.
Lösenordshanterare och tvåstegsinloggning. MSB:s it-expert rekommenderar en lösenordshanterare på både mobil och dator. Slå dessutom på tvåstegsverifiering för e-post, bank och molntjänster.
Backup som ni har testat. Säkerhet handlar inte bara om brott, utan också om vad som händer när någon spiller kaffe på datorn. Kopiera viktig information till en plats som inte hänger ihop med den vanliga datorn, och prova att återställa den.
Utbilda personalen i nätfiske. Den mänskliga faktorn är kanske den viktigaste punkten, och en attack kan börja med ett enda mejl. Gör en kort genomgång några gånger om året: hur ser en falsk faktura ut, vad gör man med en misstänkt länk och vem ringer man.
Skriv en incidentrutin på en sida. Vem larmar, vem fattar beslut, vem pratar med kunderna och vem anmäler? Det tar en timme att skriva och är det första ni saknar när något hänt.
De första 72 timmarna när något hänt
Berörs personuppgifter gäller GDPR. En personuppgiftsincident ska anmälas till Integritetsskyddsmyndigheten (IMY) utan onödigt dröjsmål och senast inom 72 timmar från att ni fick kännedom om den, om den sannolikt medför en risk för de registrerades rättigheter och friheter. Klockan börjar gå när ni får kännedom, inte när incidenten inträffade. Har ni inte all information får ni anmäla i etapper, och är ni sena ska ni ändå anmäla med en förklaring till förseningen.
Stoppa skadan. Koppla bort drabbade datorer eller konton och byt lösenord.
Samla den som ansvarar och skriv ner exakt när ni fick kännedom.
Bedöm om personuppgifter har påverkats och hur stor risken är för dem som berörs.
Anmäl till IMY via deras e-tjänst om det finns risk. Har en leverantör drabbats ska den underrätta er, men det är ni som anmäler.
Informera de berörda om risken är hög.
Dokumentera allt, även incidenter ni väljer att inte anmäla.
Cybersäkerhetslagen och småföretag
Cybersäkerhetslagen, Sveriges genomförande av EU:s NIS2-direktiv, har gällt sedan januari 2026. Som tumregel omfattas verksamheter inom vissa sektorer som har minst 50 anställda eller en omsättning eller balansomslutning över tio miljoner euro, och Transportstyrelsen påpekar att ett företag kan omfattas även om det inte själv når tröskelvärdena.
Mindre företag kan dessutom påverkas indirekt. Företagarna beskriver hur småföretag i en leverantörskedja kan få krav på sig när deras större kunder måste säkra sin egen leverantörskedja. Räkna därför med att kunder allt oftare frågar hur ni arbetar med säkerhet. Om ni är osäkra på om ni omfattas direkt, hittar ni vägledning hos MSB.
Så börjar ni
Börja i liten skala: skriv ner vem som ansvarar och vad ni gör den första timmen vid en incident. Vill ni ha hjälp att gå igenom säkerhetsläget, kan ni boka ett gratis strategimöte eller läsa om vår Säkerhetssupport. Anställer ni just nu är det också värt att läsa om hur bakgrundskontroller kan skydda verksamheten.
Artikeln är allmän information och ersätter inte juridisk rådgivning. Aktuella krav hittar ni hos IMY och MSB.
