Kort sagt:<\/strong><\/p>\n En bra policy b\u00f6rjar med att definiera informationss\u00e4kerhet utifr\u00e5n tre grundpelare: konfidentialitet, riktighet och tillg\u00e4nglighet. Den definitionen g\u00f6r klart vad organisationen faktiskt skyddar, och varf\u00f6r. D\u00e4refter f\u00f6ljer syfte och omfattning, som ska svara p\u00e5 vilken information, vilka system och vilka personer som omfattas, inklusive konsulter och leverant\u00f6rer med system\u00e5tkomst.<\/p>\n MSB:s metodst\u00f6d<\/a> rekommenderar att policyn inneh\u00e5ller definition av informationss\u00e4kerhet, strategiska m\u00e5l, principer f\u00f6r arbetet, roller och ansvarsf\u00f6rdelning samt hantering av avvikelser. Strategiska m\u00e5l b\u00f6r formuleras konkret snarare \u00e4n som allm\u00e4nna ambitioner, till exempel: \u201cverksamhetskritiska system ska ha en tillg\u00e4nglighet som m\u00f6jligg\u00f6r kontinuerlig drift\u201d eller \u201cpersonuppgifter ska hanteras s\u00e5 att risken f\u00f6r obeh\u00f6rig \u00e5tkomst minimeras\u201d.<\/p>\n Principerna i policyn styr hur organisationen faktiskt agerar i vardagen. N\u00e5gra principer som fungerar v\u00e4l att skriva in:<\/p>\n Dessa fyra principer t\u00e4cker det mesta av det en revisor f\u00f6rv\u00e4ntar sig att hitta i ett fastst\u00e4llt styrdokument, och de \u00e4r l\u00e4tta att f\u00f6rklara f\u00f6r medarbetare som inte arbetar med s\u00e4kerhet dagligen.<\/p>\n Policyn ska peka ut vem som b\u00e4r vilket ansvar, annars blir den sv\u00e5r att till\u00e4mpa n\u00e4r n\u00e5got faktiskt h\u00e4nder. En tydlig ansvarsf\u00f6rdelning brukar se ut ungef\u00e4r s\u00e5 h\u00e4r:<\/p>\n MSB:s v\u00e4gledning om organisation beskriver att CISO-rollen beh\u00f6ver ett tydligt mandat, och att verksamhetsansvariga m\u00e5ste involveras som risk\u00e4gare snarare \u00e4n enbart som mottagare av beslut.<\/p>\n Policyn beh\u00f6ver inte inneh\u00e5lla hela klassningsmodellen, men den ska ange att en s\u00e5dan modell finns och vad den styr. Modellen klassificerar information efter krav p\u00e5 konfidentialitet, riktighet och tillg\u00e4nglighet, och resultatet avg\u00f6r vilken skyddsniv\u00e5 som g\u00e4ller.<\/p>\n Proffstips:<\/strong> Skriv aldrig in specifika tekniska krav, som l\u00f6senordsl\u00e4ngd eller krypteringsalgoritmer, direkt i policyn. L\u00e4gg dem i en riktlinje som g\u00e5r snabbare att uppdatera n\u00e4r tekniken f\u00f6r\u00e4ndras.<\/em><\/p>\n Enligt ISO\/IEC 27001-ramverket<\/a> ska ledningssystemet vara riskbaserat, och Annex A fungerar som en referenslista \u00f6ver m\u00f6jliga kontroller snarare \u00e4n ett facit som ska implementeras rakt av. V\u00e5r erfarenhet som r\u00e5dgivare \u00e4r att en strukturerad riskanalys<\/a> g\u00f6r klassningsarbetet betydligt enklare att h\u00e5lla konsekvent \u00f6ver tid.<\/p>\n Policyn ska tydligt kr\u00e4va att misst\u00e4nkta incidenter uppt\u00e4cks, dokumenteras och bed\u00f6ms s\u00e5 snart som m\u00f6jligt, oavsett om de r\u00f6r personuppgifter, driftst\u00f6rningar eller intr\u00e5ng.<\/p>\n En personuppgiftsincident som inneb\u00e4r risk f\u00f6r registrerades fri- och r\u00e4ttigheter ska anm\u00e4las till Integritetsskyddsmyndigheten inom 72 timmar<\/a><\/strong>, vilket g\u00f6r tidsfristen till en av de mest konkreta deadlines en policy beh\u00f6ver spegla.<\/p>\n F\u00f6r organisationer som omfattas av cybers\u00e4kerhetslagen tillkommer ytterligare krav. NIS2-direktivet<\/a> och dess svenska genomf\u00f6rande st\u00e4ller krav p\u00e5 systematisk riskhantering, s\u00e4kerhet i leveranskedjan och rapportering av betydande incidenter till Nationellt cybers\u00e4kerhetscenter. Vi g\u00e5r igenom tidsfrister och krav mer i detalj i v\u00e5r genomg\u00e5ng av NIS2-incidentrapportering<\/a>.<\/p>\n En policy som blandar strategi och teknisk detalj blir snabbt inaktuell och sv\u00e5r att f\u00f6rvalta. BITS och MSB:s st\u00f6d<\/a> rekommenderar att policyn h\u00e5lls kort, ofta en till fem sidor, och fungerar som grund f\u00f6r underliggande riktlinjer och instruktioner.<\/p>\n Publicera g\u00e4rna policyn p\u00e5 intran\u00e4tet med versionsnummer och datum f\u00f6r senaste beslut, s\u00e5 att alla ser vilken version som g\u00e4ller.<\/p>\n En policy som aldrig uppdateras tappar snabbt trov\u00e4rdighet. En rimlig \u00f6versynscykel \u00e4r en g\u00e5ng per \u00e5r, eller direkt vid st\u00f6rre organisationsf\u00f6r\u00e4ndringar, nya lagkrav eller efter en allvarlig incident.<\/p>\n L\u00f6pande ledningens genomg\u00e5ngar (management review) \u00e4r det som g\u00f6r skillnaden mellan en policy som lever och en som bara ligger i en p\u00e4rm.<\/p>\n Det vanligaste misstaget \u00e4r att g\u00f6ra policyn f\u00f6r teknisk. S\u00e5 fort en policy n\u00e4mner specifika system eller konfigurationer blir den sv\u00e5r att h\u00e5lla aktuell, och den tappar sin roll som strategiskt styrdokument. Flytta allt s\u00e5dant till riktlinjer.<\/p>\n Det andra misstaget \u00e4r att skriva policyn isolerat fr\u00e5n verksamheten. N\u00e4r riskacceptans och ansvarsf\u00f6rdelning best\u00e4ms utan att verksamhetsansvariga \u00e4r med i processen hamnar besluten ofta fel, och policyn m\u00f6ter motst\u00e5nd vid implementering. Involvera dem tidigt, inte efter att texten \u00e4r klar.<\/p>\n \u2014 Jesper<\/em><\/p>\n<\/blockquote>\n Vi hj\u00e4lper organisationer att ta fram, granska och f\u00f6rankra informationss\u00e4kerhetspolicyer som faktiskt f\u00f6ljs, inte bara undertecknas. V\u00e5rt arbete bygger p\u00e5 samma principer som MSB och ISO\/IEC 27001 lyfter fram: tydliga roller, riskbaserade beslut och en ledning som \u00e4ger processen.<\/p>\n Beh\u00f6ver ni hj\u00e4lp att f\u00e5 policyn p\u00e5 plats eller granskad inf\u00f6r en revision? Boka en f\u00f6rsta kontakt med oss<\/a> och vi ser tillsammans vad som beh\u00f6ver g\u00f6ras.<\/p>\n This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.<\/p>\n En informationss\u00e4kerhetssamordnare leder det l\u00f6pande s\u00e4kerhetsarbetet, samordnar riskbed\u00f6mningar och rapporterar status och incidenter till ledningen. Enligt MSB:s v\u00e4gledning beh\u00f6ver rollen ett tydligt mandat fr\u00e5n ledningen f\u00f6r att kunna fatta operativa beslut inom sitt omr\u00e5de.<\/p>\n Det finns ingen enda fastst\u00e4lld standard, men de flesta modeller anv\u00e4nder tv\u00e5 till fyra niv\u00e5er utifr\u00e5n krav p\u00e5 konfidentialitet, riktighet och tillg\u00e4nglighet, fr\u00e5n \u00f6ppen information till starkt skyddsv\u00e4rd information. Policyn b\u00f6r ange att en s\u00e5dan modell finns utan att beskriva varje teknisk detalj.<\/p>\n Informationss\u00e4kerhet handlar om att skydda information utifr\u00e5n tre grundpelare: konfidentialitet, riktighet och tillg\u00e4nglighet, oavsett om informationen lagras digitalt eller p\u00e5 papper. En policy ska definiera detta tydligt s\u00e5 att hela organisationen f\u00f6rst\u00e5r vad som faktiskt ska skyddas.<\/p>\n De tre grundpelarna \u00e4r konfidentialitet, riktighet och tillg\u00e4nglighet, som tillsammans brukar kallas CIA-modellen. Ut\u00f6ver dessa anv\u00e4nds ofta kompletterande principer som riskbaserat arbetss\u00e4tt och minsta privilegium f\u00f6r att styra hur skyddet faktiskt till\u00e4mpas i praktiken.<\/p>\n Se vad en informationss\u00e4kerhetspolicy ska inneh\u00e5lla: m\u00e5l, ansvar, riskhantering och incidentrutiner. Anv\u00e4nd checklistan f\u00f6r ett tydligt styrdokument.<\/p>","protected":false},"author":2,"featured_media":8548,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"content-type":"","site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[107],"tags":[9],"class_list":["post-8547","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sverige","tag-gdpr-specialist"],"acf":[],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8547","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/comments?post=8547"}],"version-history":[{"count":1,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8547\/revisions"}],"predecessor-version":[{"id":8550,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8547\/revisions\/8550"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media\/8548"}],"wp:attachment":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media?parent=8547"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/categories?post=8547"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/tags?post=8547"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
\nInneh\u00e5llsf\u00f6rteckning<\/h2>\n
\n
Vad varje huvuddel konkret b\u00f6r inneh\u00e5lla<\/h2>\n
![\"Policyomfattningen](\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/10\/1791702654284_Policyomfattning-kopplar-information-system-och-anvandare.jpeg\")
<\/p>\n\n
Roller och ansvar: konkreta mandat och vem g\u00f6r vad<\/h2>\n
\n
Riskhantering och informationsklassning: hur policyn reglerar klassning och skyddsniv\u00e5er<\/h2>\n
\n
Incidenthantering och rapportering: vad policyn m\u00e5ste kr\u00e4va<\/h2>\n
\n
Dokumenthierarki: h\u00e5ll policyn strategisk, inte teknisk<\/h2>\n
\n
Granskning, uppf\u00f6ljning och ledningens genomg\u00e5ng<\/h2>\n
\n
Praktiskt r\u00e5dgivarperspektiv: vanliga misstag och hur man undviker dem<\/h2>\n
\n
Evertrust: st\u00f6d vid policyframtagning, granskning och implementation<\/h2>\n
![\"Evertrust\"](\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/08\/1786093780170_evertrust.jpg\")
<\/p>\n\n
Vanliga fr\u00e5gor<\/h2>\n
Vad g\u00f6r en informationss\u00e4kerhetssamordnare?<\/h3>\n
Vilka niv\u00e5er finns det i informationsklassning?<\/h3>\n
Vad inneb\u00e4r begreppet informationss\u00e4kerhet?<\/h3>\n
Vilka \u00e4r de tre viktigaste principerna f\u00f6r informationss\u00e4kerhet?<\/h3>\n
K\u00e4llor<\/h2>\n
\n
Rekommendationer<\/h2>\n
\n