{"id":8587,"date":"2026-10-22T09:28:43","date_gmt":"2026-10-22T07:28:43","guid":{"rendered":"https:\/\/evertrust.se\/it-avtal-sakerhetskrav\/"},"modified":"2026-10-22T09:28:45","modified_gmt":"2026-10-22T07:28:45","slug":"it-avtal-sakerhetskrav","status":"publish","type":"post","link":"https:\/\/evertrust.se\/en\/it-avtal-sakerhetskrav\/","title":{"rendered":"S\u00e4kerhetskrav i IT-avtal: s\u00e5 f\u00e5r du dem r\u00e4tt 2026"},"content":{"rendered":"<\/p>\n<p>S\u00e4kerhetskraven i ett IT-avtal har en uppgift: att din information skyddas lika bra hos leverant\u00f6ren som hos dig, och att du kan visa det. 2026 r\u00e4cker det inte l\u00e4ngre med en allm\u00e4n skrivning om att leverant\u00f6ren ska till\u00e4mpa \u201cbranschm\u00e4ssig s\u00e4kerhet\u201d. GDPR kr\u00e4ver ett bitr\u00e4desavtal med best\u00e4mt inneh\u00e5ll. Cybers\u00e4kerhetslagen kr\u00e4ver att du styr riskerna i hela leverant\u00f6rskedjan. S\u00e4kerhetsskyddslagen kr\u00e4ver ett eget s\u00e4kerhetsskyddsavtal n\u00e4r verksamheten \u00e4r s\u00e4kerhetsk\u00e4nslig. H\u00e4r g\u00e5r vi igenom vilka krav som ska in i avtalet, i vilken ordning arbetet b\u00f6r g\u00f6ras och var de flesta organisationer brister.<\/p>\n<div data-blg-cta=\"after_tldr\" data-blg-cta-layout=\"split\" style=\"margin:28px 0;font-family:-apple-system, BlinkMacSystemFont, &apos;Segoe UI&apos;, Roboto, Helvetica, Arial, sans-serif\">\n<div style=\"border-radius:26px;padding:min(22px,3.2vw);background:radial-gradient(circle at 100% 0%,#d9ebd8 0 150px,rgba(255,255,255,0) 151px),radial-gradient(circle at 0% 100%,#d9ebd8 0 130px,rgba(255,255,255,0) 131px),linear-gradient(180deg,#e6f2e5 0%,#f2f8f2 100%)\">\n<div style=\"background:#ffffff;border-radius:18px;overflow:hidden\">\n<div style=\"display:flex;flex-wrap:wrap\">\n<div style=\"flex:1 0 36%;min-width:220px;padding:30px 76px 30px 26px;color:#ffffff;background:linear-gradient(104deg,#164613 0%,#0d2a0b 82%,rgba(0,0,0,0) 82.15%)\">\n<div style=\"margin:0 0 14px\"><span style=\"display:inline-block;max-width:100%;border-radius:999px;padding:6px 13px;font-size:12px;font-weight:800;letter-spacing:0.1em;text-transform:uppercase;line-height:1.3;background:#ffffff;color:#1b5718\">Evertrust<\/span><\/div>\n<div style=\"font-size:12px;opacity:0.75\">evertrust.se<\/div>\n<\/div>\n<div style=\"flex:999 1 300px;min-width:0;padding:30px 28px\">\n<div style=\"font-size:23px;font-weight:800;line-height:1.2;letter-spacing:-0.01em;color:#1f2937;margin:0\">F\u00e5 s\u00e4kerhetskraven r\u00e4tt i IT-avtal<\/div>\n<div style=\"width:56px;height:6px;border-radius:3px;background:#2D8F27;margin:12px 0 14px\"><\/div>\n<div style=\"font-size:15px;line-height:1.55;color:#64748b;margin:0 0 22px\">Evertrust ger juridiskt och praktiskt st\u00f6d med IT-avtal, dataskydd och informationss\u00e4kerhet, fr\u00e5n bed\u00f6mningar till avtal och implementering.<\/div>\n<p><a href=\"https:\/\/evertrust.se\/en\/\" style=\"display:inline-flex;align-items:center;gap:9px;border-radius:10px;font-weight:700;font-size:15px;text-decoration:none;padding:13px 22px 13px 26px;background:#2D8F27;color:#ffffff\">Bes\u00f6k Evertrust<\/a><\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<h2 id=\"kort-sagt\" tabindex=\"-1\">Kort sagt<\/h2>\n<ul>\n<li>Klassa informationen och g\u00f6r en riskbed\u00f6mning innan du skriver en enda klausul. Utan dem vet du inte vilken s\u00e4kerhetsniv\u00e5 du ska kr\u00e4va.<\/li>\n<li>Behandlar leverant\u00f6ren personuppgifter \u00e5t er kr\u00e4vs ett personuppgiftsbitr\u00e4desavtal enligt artikel 28.3 i GDPR, med bland annat s\u00e4kerhets\u00e5tg\u00e4rder, underbitr\u00e4den och r\u00e4tt till granskning.<\/li>\n<li>Omfattas ni av cybers\u00e4kerhetslagen g\u00e4ller sedan 1 oktober 2026 detaljerade f\u00f6reskrifter om s\u00e4kerhet vid utkontraktering, och \u00e4ven \u00e4ldre avtal kan beh\u00f6va kompletteras.<\/li>\n<li>F\u00e5r leverant\u00f6ren tillg\u00e5ng till s\u00e4kerhetsskyddsklassificerade uppgifter kr\u00e4vs ett s\u00e4kerhetsskyddsavtal, och det ska vara p\u00e5 plats innan leverant\u00f6ren f\u00e5r tillg\u00e5ng.<\/li>\n<li>S\u00e4kerhetskrav som ingen f\u00f6ljer upp \u00e4r bara text. Skriv in revision, rapportering och konsekvenser som tydliga skyldigheter.<\/li>\n<\/ul>\n<h2 id=\"innehallsforteckning\" tabindex=\"-1\">Inneh\u00e5llsf\u00f6rteckning<\/h2>\n<ul>\n<li><a href=\"#tre-regelverk-som-staller-olika-krav-pa-avtalet\">Tre regelverk som st\u00e4ller olika krav p\u00e5 avtalet<\/a><\/li>\n<li><a href=\"#borja-fore-avtalet-klassning-och-riskbedomning\">B\u00f6rja f\u00f6re avtalet: klassning och riskbed\u00f6mning<\/a><\/li>\n<li><a href=\"#klausulerna-som-bar-sakerheten\">Klausulerna som b\u00e4r s\u00e4kerheten<\/a><\/li>\n<li><a href=\"#bitradesavtalet-nar-personuppgifter-ingar\">Bitr\u00e4desavtalet n\u00e4r personuppgifter ing\u00e5r<\/a><\/li>\n<li><a href=\"#cybersakerhetslagen-gor-leverantorskedjan-till-ert-ansvar\">Cybers\u00e4kerhetslagen g\u00f6r leverant\u00f6rskedjan till ert ansvar<\/a><\/li>\n<li><a href=\"#nar-standardavtalet-inte-racker-sakerhetsskyddsavtal\">N\u00e4r standardavtalet inte r\u00e4cker: s\u00e4kerhetsskyddsavtal<\/a><\/li>\n<li><a href=\"#misstagen-vi-ser-oftast\">Misstagen vi ser oftast<\/a><\/li>\n<li><a href=\"#sa-ser-vi-pa-det\">S\u00e5 ser vi p\u00e5 det<\/a><\/li>\n<li><a href=\"#hjalp-med-sakerhetskraven-i-era-it-avtal\">Hj\u00e4lp med s\u00e4kerhetskraven i era IT-avtal<\/a><\/li>\n<li><a href=\"#vanliga-fragor\">Vanliga fr\u00e5gor<\/a><\/li>\n<li><a href=\"#kallor\">K\u00e4llor<\/a><\/li>\n<\/ul>\n<h2 id=\"tre-regelverk-som-staller-olika-krav-pa-avtalet\" tabindex=\"-1\">Tre regelverk som st\u00e4ller olika krav p\u00e5 avtalet<\/h2>\n<p>Det vanligaste felet vi ser \u00e4r att alla s\u00e4kerhetskrav hamnar i samma bilaga, oavsett vilket regelverk de kommer fr\u00e5n. D\u00e5 blir avtalet sv\u00e5rt att f\u00f6lja upp och luckor \u00e4r l\u00e4tta att missa. B\u00f6rja i st\u00e4llet med att reda ut vilka regelverk som faktiskt tr\u00e4ffar just den h\u00e4r leveransen.<\/p>\n<table>\n<thead>\n<tr>\n<th>Regelverk<\/th>\n<th>N\u00e4r det tr\u00e4ffar IT-avtalet<\/th>\n<th>Vad avtalet m\u00e5ste inneh\u00e5lla<\/th>\n<th>Typiskt dokument<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>GDPR, artikel 28 och 32<\/td>\n<td>Leverant\u00f6ren behandlar personuppgifter f\u00f6r er r\u00e4kning<\/td>\n<td>Instruktioner, sekretess, s\u00e4kerhets\u00e5tg\u00e4rder, villkor f\u00f6r underbitr\u00e4den, hj\u00e4lp vid incidenter, radering, granskningsr\u00e4tt<\/td>\n<td>Personuppgiftsbitr\u00e4desavtal (PuB-avtal)<\/td>\n<\/tr>\n<tr>\n<td>Cybers\u00e4kerhetslagen (NIS2)<\/td>\n<td>Ni \u00e4r v\u00e4sentlig eller viktig verksamhetsut\u00f6vare och k\u00f6per eller utkontrakterar IT, drift eller molntj\u00e4nster<\/td>\n<td>Krav p\u00e5 leverant\u00f6rens cybers\u00e4kerhet, hantering av risker i leverant\u00f6rskedjan, uppf\u00f6ljning under avtalstiden<\/td>\n<td>S\u00e4kerhetsbilaga eller s\u00e4kerhetsavtal<\/td>\n<\/tr>\n<tr>\n<td>S\u00e4kerhetsskyddslagen<\/td>\n<td>Leverant\u00f6ren f\u00e5r tillg\u00e5ng till s\u00e4kerhetsskyddsklassificerade uppgifter eller s\u00e4kerhetsk\u00e4nslig verksamhet<\/td>\n<td>S\u00e4kerhetsskydd p\u00e5 samma niv\u00e5 som hos er, s\u00e4kerhetspr\u00f6vning, kontroll<\/td>\n<td>S\u00e4kerhetsskyddsavtal<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Ett och samma avtal kan tr\u00e4ffas av alla tre. S\u00e4g att en kommun upphandlar drift och moln f\u00f6r sitt verksamhetssystem. Den kan d\u00e5 beh\u00f6va ett PuB-avtal f\u00f6r medborgarnas personuppgifter, krav enligt cybers\u00e4kerhetslagen om kommunen omfattas och ett s\u00e4kerhetsskyddsavtal om delar av systemet r\u00f6r s\u00e4kerhetsk\u00e4nslig verksamhet. Det \u00e4r tre separata fr\u00e5gor med tre olika bed\u00f6mningar.<\/p>\n<h2 id=\"borja-fore-avtalet-klassning-och-riskbedomning\" tabindex=\"-1\">B\u00f6rja f\u00f6re avtalet: klassning och riskbed\u00f6mning<\/h2>\n<p>S\u00e4kerhetskrav g\u00e5r inte att formulera i ett vakuum. <a href=\"https:\/\/www.upphandlingsmyndigheten.se\/regler-och-lagstiftning\/andra-regler-som-kan-bli-aktuella\/informationssakerhet-vid-upphandling\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Upphandlingsmyndighetens v\u00e4gledning om informationss\u00e4kerhet vid upphandling<\/a> beskriver informationsklassning och riskanalys som grunden f\u00f6r kraven, inte som ett f\u00f6rberedande steg som kan hoppas \u00f6ver. Vet du inte vilket v\u00e4rde informationen har, och vad som h\u00e4nder om den l\u00e4cker, \u00e4ndras eller blir otillg\u00e4nglig, kan du inte heller avg\u00f6ra vilka avtalskrav som \u00e4r rimliga.<\/p>\n<p>MSB:s v\u00e4gledning <a href=\"https:\/\/rib.msb.se\/filer\/pdf\/28742.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Upphandla informationss\u00e4kert<\/a> pekar p\u00e5 samma sak: informationss\u00e4kerhet vid upphandling handlar om att identifiera de krav som beh\u00f6vs f\u00f6r att informationen ska hanteras s\u00e4kert hos den externa leverant\u00f6ren. En felaktig klassning sl\u00e5r \u00e5t b\u00e5da h\u00e5llen. \u00d6verskattar du skyddsbehovet betalar du f\u00f6r s\u00e4kerhet du inte beh\u00f6ver och skr\u00e4mmer bort bra leverant\u00f6rer. Underskattar du det skriver du under ett avtal med h\u00e5l som \u00e4r dyra att t\u00e4ppa till i efterhand.<\/p>\n<p>S\u00e5 h\u00e4r brukar ett fungerande f\u00f6rarbete se ut:<\/p>\n<ol>\n<li><strong>Kartl\u00e4gg informationen.<\/strong> Vilken information ska leverant\u00f6ren hantera, lagra eller kunna komma \u00e5t? Ing\u00e5r personuppgifter, och i s\u00e5 fall vilka kategorier?<\/li>\n<li><strong>Klassa konfidentialitet, riktighet och tillg\u00e4nglighet.<\/strong> Ett l\u00f6nesystem och en publik webbplats har helt olika profiler.<\/li>\n<li><strong>G\u00f6r en riskbed\u00f6mning av leveransen.<\/strong> Var finns datan, vem har \u00e5tkomst, vilka underleverant\u00f6rer ing\u00e5r och vad h\u00e4nder vid ett avbrott?<\/li>\n<li><strong>G\u00f6r en DPIA om behandlingen kr\u00e4ver det.<\/strong> Vid behandling av personuppgifter med h\u00f6g risk b\u00f6r konsekvensbed\u00f6mningen vara klar innan avtalet l\u00e5ses. V\u00e5r guide om <a href=\"https:\/\/evertrust.se\/en\/dpia-genomforande\/\" target=\"_blank\" rel=\"noopener\">hur du genomf\u00f6r en DPIA steg f\u00f6r steg<\/a> visar hur.<\/li>\n<li><strong>\u00d6vers\u00e4tt resultatet till krav.<\/strong> Varje identifierad risk b\u00f6r kunna kopplas till en klausul, en kontroll eller ett medvetet beslut att acceptera risken.<\/li>\n<\/ol>\n<h2 id=\"klausulerna-som-bar-sakerheten\" tabindex=\"-1\">Klausulerna som b\u00e4r s\u00e4kerheten<\/h2>\n<p>N\u00e4r f\u00f6rarbetet \u00e4r gjort \u00e4r det dags att skriva. H\u00e4r \u00e4r de omr\u00e5den som n\u00e4stan alltid beh\u00f6ver regleras uttryckligen. IMY understryker att <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/informationssakerhet\/sakerhetsatgarder\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">s\u00e4kerhets\u00e5tg\u00e4rder enligt GDPR<\/a> best\u00e5r av b\u00e5de tekniska och organisatoriska \u00e5tg\u00e4rder, och det \u00e4r kopplingen mellan dem som avtalet m\u00e5ste f\u00e5nga. Kryptering hj\u00e4lper f\u00f6ga om ingen har ansvar f\u00f6r nycklarna.<\/p>\n<h3 id=\"sakerhetsniva-och-referensramverk\" tabindex=\"-1\">S\u00e4kerhetsniv\u00e5 och referensramverk<\/h3>\n<p>Ange vilken niv\u00e5 som g\u00e4ller och hur den m\u00e4ts. H\u00e4nvisa g\u00e4rna till ett etablerat ramverk, till exempel <a href=\"https:\/\/evertrust.se\/en\/expertis\/informationssakerhet-iso-2700x\/\" target=\"_blank\" rel=\"noopener\">ISO\/IEC 27001 och 27002<\/a>, men skriv ocks\u00e5 ut de kontroller som \u00e4r kritiska f\u00f6r just er leverans. En certifiering visar att leverant\u00f6ren har ett ledningssystem, inte att er tj\u00e4nst ing\u00e5r i certifikatets omfattning. Be att f\u00e5 se omfattningen.<\/p>\n<h3 id=\"incidenter-och-rapportering\" tabindex=\"-1\">Incidenter och rapportering<\/h3>\n<p>Avtalet b\u00f6r ange vad som r\u00e4knas som en incident, hur snabbt leverant\u00f6ren ska underr\u00e4tta er, till vem och vilken information rapporten ska inneh\u00e5lla. Era egna tidsfrister gentemot IMY, eller gentemot tillsynsmyndigheten enligt cybers\u00e4kerhetslagen, b\u00f6rjar ofta l\u00f6pa n\u00e4r ni f\u00e5r k\u00e4nnedom om incidenten. Leverant\u00f6rens frist m\u00e5ste d\u00e4rf\u00f6r vara kortare \u00e4n er egen. Skriv ocks\u00e5 in en skyldighet att medverka i utredningen och att bevara loggar.<\/p>\n<h3 id=\"underleverantorer\" tabindex=\"-1\">Underleverant\u00f6rer<\/h3>\n<p>Kr\u00e4v f\u00f6rhandsgodk\u00e4nnande, eller \u00e5tminstone f\u00f6rhandsinformation om nya underleverant\u00f6rer med r\u00e4tt att inv\u00e4nda. S\u00e4kerhetskraven ska f\u00f6ras vidare ned\u00e5t i kedjan p\u00e5 motsvarande niv\u00e5. H\u00e4r brister m\u00e5nga avtal, och det var en del av problemet i det IMY-\u00e4rende vi beskriver l\u00e4ngre ned.<\/p>\n<h3 id=\"ratt-till-revision-och-insyn\" tabindex=\"-1\">R\u00e4tt till revision och insyn<\/h3>\n<p>En granskningsr\u00e4tt som bara omfattar en \u00e5rlig rapport fr\u00e5n leverant\u00f6ren r\u00e4cker s\u00e4llan. Skriv in r\u00e4tt att genomf\u00f6ra egna granskningar, eller l\u00e5ta en oberoende part g\u00f6ra det, \u00e4ven p\u00e5 plats hos leverant\u00f6ren n\u00e4r risken motiverar det. Reglera vem som betalar och hur ofta granskningar f\u00e5r g\u00f6ras.<\/p>\n<h3 id=\"kryptering-atkomst-och-nyckelhantering\" tabindex=\"-1\">Kryptering, \u00e5tkomst och nyckelhantering<\/h3>\n<p>Specificera kryptering vid \u00f6verf\u00f6ring och lagring, vem som f\u00f6rvaltar nycklarna, hur beh\u00f6righeter tilldelas och \u00e5terkallas och hur \u00e5tkomst loggas. V\u00e5ra <a href=\"https:\/\/evertrust.se\/en\/behorighetsstyrning-principer\/\" target=\"_blank\" rel=\"noopener\">principer f\u00f6r beh\u00f6righetsstyrning<\/a> fungerar som checklista f\u00f6r den delen.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/10\/1792491579075_Fyra-centrala-delar-av-kryptering-och-atkomst.jpeg\" alt=\"Fyra centrala delar av kryptering och \u00e5tkomst\"><\/p>\n<h3 id=\"kontinuitet-exit-och-radering\" tabindex=\"-1\">Kontinuitet, exit och radering<\/h3>\n<p>Ange \u00e5terst\u00e4llningstider, krav p\u00e5 s\u00e4kerhetskopiering och vad som h\u00e4nder n\u00e4r avtalet upph\u00f6r: i vilket format datan l\u00e4mnas tillbaka, inom vilken tid och hur radering ska bekr\u00e4ftas. En exitklausul som skrivs f\u00f6rst n\u00e4r relationen redan har spruckit blir s\u00e4llan bra.<\/p>\n<h3 id=\"andringar-och-uppfoljning\" tabindex=\"-1\">\u00c4ndringar och uppf\u00f6ljning<\/h3>\n<p>Hot och regler \u00e4ndras under avtalstiden. Bygg in en skyldighet att anpassa s\u00e4kerhets\u00e5tg\u00e4rderna n\u00e4r lagkraven \u00e4ndras, \u00e5terkommande s\u00e4kerhetsm\u00f6ten och konkreta p\u00e5f\u00f6ljder, som vite eller h\u00e4vningsr\u00e4tt, vid v\u00e4sentliga brister.<\/p>\n<h2 id=\"bitradesavtalet-nar-personuppgifter-ingar\" tabindex=\"-1\">Bitr\u00e4desavtalet n\u00e4r personuppgifter ing\u00e5r<\/h2>\n<p>S\u00e5 fort leverant\u00f6ren behandlar personuppgifter f\u00f6r er r\u00e4kning kr\u00e4vs ett personuppgiftsbitr\u00e4desavtal. <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/personuppgiftsansvariga-och-personuppgiftsbitraden\/personuppgiftsbitradesavtal\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY:s sida om personuppgiftsbitr\u00e4desavtal<\/a> g\u00e5r igenom minimikraven i artikel 28.3. Avtalet ska bland annat reglera att:<\/p>\n<ul>\n<li>behandling bara sker enligt era dokumenterade instruktioner,<\/li>\n<li>personer med \u00e5tkomst omfattas av tystnadsplikt,<\/li>\n<li>bitr\u00e4det vidtar s\u00e4kerhets\u00e5tg\u00e4rder enligt artikel 32,<\/li>\n<li>underbitr\u00e4den bara anlitas p\u00e5 de villkor som avtalet anger,<\/li>\n<li>bitr\u00e4det hj\u00e4lper er att uppfylla de registrerades r\u00e4ttigheter och era skyldigheter kring s\u00e4kerhet, incidenter och konsekvensbed\u00f6mningar,<\/li>\n<li>uppgifterna raderas eller \u00e5terl\u00e4mnas n\u00e4r tj\u00e4nsten upph\u00f6r,<\/li>\n<li>ni f\u00e5r den information som beh\u00f6vs f\u00f6r att visa efterlevnad och kan genomf\u00f6ra granskningar.<\/li>\n<\/ul>\n<p>Vi g\u00e5r igenom varje punkt mer i detalj i artikeln om <a href=\"https:\/\/evertrust.se\/en\/bitradesavtal-klausuler\/\" target=\"_blank\" rel=\"noopener\">vad artikel 28.3 kr\u00e4ver av bitr\u00e4desavtalets klausuler<\/a>. Fr\u00e5gan ser likadan ut i alla branscher och alla EU-l\u00e4nder. Vill du se hur samma logik till\u00e4mpas i en helt annan verksamhet finns <a href=\"https:\/\/eurocheckin.at\/datenschutz-auftragsverarbeitung-hotel\" target=\"_blank\" rel=\"noopener\">ett exempel p\u00e5 n\u00e4r ett hotell beh\u00f6ver ett bitr\u00e4desavtal<\/a>. Den som k\u00f6per HR- och rekryteringssystem som tj\u00e4nst kan ocks\u00e5 l\u00e4sa <a href=\"https:\/\/filmijob.com\/blog\/reglamento-general-de-proteccion-de-datos-guia-de-cumplimiento-rgpd\" target=\"_blank\" rel=\"noopener\">en spanskspr\u00e5kig guide till GDPR-efterlevnad vid rekrytering<\/a>.<\/p>\n<p>Hur dyrt det kan bli n\u00e4r kedjan inte fungerar visar <a href=\"https:\/\/www.imy.se\/link\/dcfbccd1750e48399b88b94d3248e91b.aspx\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY:s beslut mot Statens servicecenter<\/a> fr\u00e5n 2020. Myndigheten var personuppgiftsbitr\u00e4de \u00e5t andra myndigheter. Den fick en sanktionsavgift p\u00e5 150 000 kronor f\u00f6r att inte i tid ha underr\u00e4ttat de personuppgiftsansvariga om en personuppgiftsincident, och 50 000 kronor f\u00f6r sen anm\u00e4lan till tillsynsmyndigheten. Beslutet tar ocks\u00e5 upp kravet p\u00e5 tillr\u00e4ckliga garantier fr\u00e5n underbitr\u00e4det om l\u00e4mpliga tekniska och organisatoriska \u00e5tg\u00e4rder. L\u00e4rdomen f\u00f6r den som skriver avtalet: incidentfl\u00f6det mellan bitr\u00e4de, underbitr\u00e4de och personuppgiftsansvarig ska beskrivas i detalj, med tidsfrister och kontaktv\u00e4gar, inte i allm\u00e4nna ordalag.<\/p>\n<p>G\u00e4ller avtalet molntj\u00e4nster tillkommer fr\u00e5gor om tredjelands\u00f6verf\u00f6ring och delat ansvar, som vi reder ut i <a href=\"https:\/\/evertrust.se\/en\/molntjanster-gdpr\/\" target=\"_blank\" rel=\"noopener\">Molntj\u00e4nster och GDPR: vem ansvarar och vad kr\u00e4ver lagen?<\/a>.<\/p>\n<h2 id=\"cybersakerhetslagen-gor-leverantorskedjan-till-ert-ansvar\" tabindex=\"-1\">Cybers\u00e4kerhetslagen g\u00f6r leverant\u00f6rskedjan till ert ansvar<\/h2>\n<p><a href=\"https:\/\/www.mcf.se\/sv\/aktuellt\/nyheter\/2026\/juni\/krav-pa-sakerhetsatgarder-som-starker-cybersakerheten\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Cybers\u00e4kerhetslagen (2025:1506)<\/a> genomf\u00f6r NIS2 i svensk r\u00e4tt och tr\u00e4dde i kraft i januari 2026. Den 1 oktober 2026 kompletterades lagen med Myndigheten f\u00f6r civilt f\u00f6rsvars f\u00f6reskrifter om s\u00e4kerhets\u00e5tg\u00e4rder. S\u00e4kerhet vid utveckling och utkontraktering \u00e4r ett av de uttryckliga omr\u00e5dena d\u00e4r, tillsammans med bland annat incident- och kontinuitetshantering och ledningens utbildning.<\/p>\n<p>F\u00f6r IT-avtal \u00e4r tv\u00e5 saker s\u00e4rskilt viktiga:<\/p>\n<ul>\n<li><strong>Leverant\u00f6ren bed\u00f6ms f\u00f6re avtalet.<\/strong> Ni f\u00f6rv\u00e4ntas bed\u00f6ma en t\u00e4nkt leverant\u00f6rs f\u00f6rm\u00e5ga p\u00e5 cybers\u00e4kerhetsomr\u00e5det innan avtalet ing\u00e5s, och sedan hantera riskerna i leverant\u00f6rskedjan under hela avtalstiden. Det kr\u00e4ver att avtalet ger er r\u00e4tt till information och insyn.<\/li>\n<li><strong>Gamla avtal g\u00e5r inte fria.<\/strong> F\u00f6reskrifterna i <a href=\"https:\/\/www.fra.se\/download\/18.1c31366219e925a606973\/1782394568329\/MCFFS-2026-11.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">MCFFS 2026:11<\/a> tar upp att avtal och \u00f6verenskommelser som ing\u00e5tts f\u00f6re den 1 oktober 2026 s\u00e5 l\u00e5ngt som m\u00f6jligt b\u00f6r kompletteras med krav p\u00e5 cybers\u00e4kerhet, och att riskerna med avtal som inneh\u00e5ller otillr\u00e4ckliga krav ska hanteras. En genomg\u00e5ng av befintliga drift-, moln- och supportavtal h\u00f6r d\u00e4rf\u00f6r till h\u00f6stens viktigaste uppgifter.<\/li>\n<\/ul>\n<p>Lagen tr\u00e4ffar \u00e4ven leverant\u00f6rer som inte sj\u00e4lva omfattas. <a href=\"https:\/\/www.upphandlingsmyndigheten.se\/nyheter\/2026\/cybersakerhetslagens-nis2-paverkan-pa-offentlig-upphandling\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Upphandlingsmyndigheten konstaterar<\/a> att leverant\u00f6rer i en upphandling, som normalt inte omfattas av regelverket, \u00e4nd\u00e5 kan beh\u00f6va f\u00f6rh\u00e5lla sig till kraven. Levererar ni till en kommun, en region eller ett energibolag kommer kraven allts\u00e5 till er via avtalet.<\/p>\n<p>MCF lyfter dessutom ledningens ansvar. S\u00e4kerhetsniv\u00e5n ska inte delegeras bort till IT eller juristerna utan att ledningen tar st\u00e4llning. I praktiken betyder det att s\u00e4kerhetskraven i st\u00f6rre IT-avtal b\u00f6r f\u00f6rankras i ledningen, och att det ska g\u00e5 att visa att s\u00e5 har skett. Hur ledningen kan bygga upp den dokumentationen beskriver vi i <a href=\"https:\/\/evertrust.se\/en\/nis2-krav\/\" target=\"_blank\" rel=\"noopener\">90 dagar f\u00f6r ledningen att skapa bevis enligt NIS2<\/a>.<\/p>\n<h2 id=\"nar-standardavtalet-inte-racker-sakerhetsskyddsavtal\" tabindex=\"-1\">N\u00e4r standardavtalet inte r\u00e4cker: s\u00e4kerhetsskyddsavtal<\/h2>\n<p>S\u00e4kerhetsskydd \u00e4r n\u00e5got annat \u00e4n vanlig informationss\u00e4kerhet. Det handlar om att skydda verksamhet som har betydelse f\u00f6r Sveriges s\u00e4kerhet. N\u00e4r en leverant\u00f6r f\u00e5r tillg\u00e5ng till s\u00e4kerhetsskyddsklassificerade uppgifter eller deltar i s\u00e4kerhetsk\u00e4nslig verksamhet ska parterna ing\u00e5 ett s\u00e4kerhetsskyddsavtal.<\/p>\n<p><a href=\"https:\/\/www.upphandlingsmyndigheten.se\/regler-och-lagstiftning\/andra-regler-som-kan-bli-aktuella\/sakerhetsskyddad-upphandling\/sakerhetsskyddsavtal\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Upphandlingsmyndigheten f\u00f6rklarar<\/a> att avtalet ska s\u00e4kerst\u00e4lla att leverant\u00f6ren uppn\u00e5r samma skydd som den upphandlande organisationen. Tidpunkten \u00e4r avg\u00f6rande. Avtalet ska finnas innan leverant\u00f6ren f\u00e5r tillg\u00e5ng, och i en <a href=\"https:\/\/www.upphandlingsmyndigheten.se\/regler-och-lagstiftning\/andra-regler-som-kan-bli-aktuella\/sakerhetsskyddad-upphandling\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">s\u00e4kerhetsskyddad upphandling<\/a> kan det beh\u00f6vas redan under anbudstiden om klassificerade uppgifter l\u00e4mnas ut till anbudsgivarna. Kravet g\u00e4ller inte bara upphandlingar. <a href=\"https:\/\/pts.se\/sakerhet-och-integritet\/sakerhetsskydd\/sakerhetsskyddsavtal\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">PTS p\u00e5pekar<\/a> att det ocks\u00e5 blir aktuellt n\u00e4r ni ing\u00e5r ett avtal eller inleder ett samarbete med en annan akt\u00f6r.<\/p>\n<p>S\u00e4kerhetsskyddsavtalet ers\u00e4tter inte PuB-avtalet eller s\u00e4kerhetsbilagan, det kompletterar dem. L\u00e4s mer om hur vi arbetar med <a href=\"https:\/\/evertrust.se\/en\/expertis\/sakerhetsskyddslagen\/\" target=\"_blank\" rel=\"noopener\">s\u00e4kerhetsskyddslagen<\/a> i praktiken.<\/p>\n<h2 id=\"misstagen-vi-ser-oftast\" tabindex=\"-1\">Misstagen vi ser oftast<\/h2>\n<ul>\n<li><strong>Kraven skrivs f\u00f6r sent.<\/strong> Leverant\u00f6rens standardavtal \u00e4r redan f\u00e4rdigf\u00f6rhandlat n\u00e4r s\u00e4kerhetsfr\u00e5gan dyker upp. D\u00e5 \u00e4r f\u00f6rhandlingsl\u00e4get som s\u00e4mst.<\/li>\n<li><strong>Certifikatet f\u00e5r ers\u00e4tta kraven.<\/strong> I avtalet st\u00e5r att leverant\u00f6ren \u00e4r ISO 27001-certifierad, men ingenting om vad som g\u00e4ller f\u00f6r just er tj\u00e4nst.<\/li>\n<li><strong>Incidentfristerna g\u00e5r inte ihop.<\/strong> Leverant\u00f6ren har 72 timmar p\u00e5 sig att underr\u00e4tta er, samtidigt som er egen rapportering ska ske inom samma tid.<\/li>\n<li><strong>Underleverant\u00f6rerna saknas.<\/strong> Avtalet reglerar huvudleverant\u00f6ren men s\u00e4ger inget om de molnplattformar och supportpartner som faktiskt hanterar datan.<\/li>\n<li><strong>Ingen f\u00f6ljer upp.<\/strong> Granskningsr\u00e4tten finns, men ingen har ansvar f\u00f6r att anv\u00e4nda den.<\/li>\n<li><strong>Exit saknas.<\/strong> Ingen har t\u00e4nkt p\u00e5 hur datan ska \u00e5terl\u00e4mnas och raderas n\u00e4r avtalet l\u00f6per ut.<\/li>\n<\/ul>\n<h2 id=\"sa-ser-vi-pa-det\" tabindex=\"-1\">S\u00e5 ser vi p\u00e5 det<\/h2>\n<p>Vi m\u00f6ter s\u00e4kerhetskrav i IT-avtal fr\u00e5n flera h\u00e5ll: som externa dataskyddsombud som granskar bitr\u00e4desavtal, som informationss\u00e4kerhetsexperter som g\u00f6r s\u00e4kerhetsgranskningar av leverant\u00f6rer och som interimsjurister som f\u00f6rhandlar avtalen. V\u00e5r erfarenhet \u00e4r att problemet s\u00e4llan \u00e4r att organisationer inte vet att de ska st\u00e4lla krav. Problemet \u00e4r att kraven inte h\u00e4nger ihop med verksamhetens faktiska risker, och att ingen \u00e4ger uppf\u00f6ljningen efter undertecknandet.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/10\/1792491622613_Sa-ser-vi-pa-det-overview-diagram.jpeg\" alt=\"S\u00e5 ser vi p\u00e5 det \u2014 overview diagram\"><\/p>\n<p>D\u00e4rf\u00f6r b\u00f6rjar vi alltid i klassningen och riskbed\u00f6mningen. Vi skriver hellre f\u00e4rre krav som g\u00e5r att kontrollera \u00e4n en l\u00e5ng bilaga som ingen l\u00e4ser. Ett bra s\u00e4kerhetsavtal ska g\u00e5 att anv\u00e4nda den dag en incident intr\u00e4ffar: vem ringer vem, inom vilken tid och med vilken information. Kan avtalet inte svara p\u00e5 det har det inte gjort sitt jobb.<\/p>\n<p>Vi ser ocks\u00e5 att 2026 \u00e4r \u00e5ret d\u00e5 juridik och informationss\u00e4kerhet inte l\u00e4ngre g\u00e5r att h\u00e5lla is\u00e4r. Cybers\u00e4kerhetslagen, GDPR och s\u00e4kerhetsskyddslagen st\u00e4ller olika krav, men leverant\u00f6ren m\u00f6ter dem i samma avtal. Den som samordnar kraven fr\u00e5n b\u00f6rjan sparar b\u00e5de f\u00f6rhandlingstid och justeringar i efterhand.<\/p>\n<blockquote>\n<p><em>\u2014 Jesper<\/em><\/p>\n<\/blockquote>\n<h2 id=\"hjalp-med-sakerhetskraven-i-era-it-avtal\" tabindex=\"-1\">Hj\u00e4lp med s\u00e4kerhetskraven i era IT-avtal<\/h2>\n<p>Beh\u00f6ver ni g\u00e5 igenom befintliga leverant\u00f6rsavtal mot de nya f\u00f6reskrifterna, eller f\u00e5 st\u00f6d inf\u00f6r en st\u00f6rre upphandling? Vi hj\u00e4lper till med <a href=\"https:\/\/evertrust.se\/en\/tjanster-gap-analyser\/\" target=\"_blank\" rel=\"noopener\">s\u00e4kerhetsgranskningar, GDPR-granskningar och DPIA<\/a> och med avtalsr\u00e5dgivning via v\u00e5ra <a href=\"https:\/\/evertrust.se\/en\/radgivning-och-konsulttjanster\/\" target=\"_blank\" rel=\"noopener\">r\u00e5dgivnings- och konsulttj\u00e4nster<\/a>, ocks\u00e5 i form av ett r\u00e5dgivningspaket p\u00e5 100 timmar. Vill ni h\u00e5lla ordning p\u00e5 leverant\u00f6rer, avtal och kontroller \u00f6ver tid kan det g\u00f6ras i v\u00e5r GRC-plattform <a href=\"https:\/\/evertrust.se\/en\/plattform\/\" target=\"_blank\" rel=\"noopener\">Trustview<\/a>, som st\u00f6djer arbete enligt GDPR, ISO 27000, NIS2 och DORA.<\/p>\n<h2 id=\"vanliga-fragor\" tabindex=\"-1\">Vanliga fr\u00e5gor<\/h2>\n<h3 id=\"maste-alla-it-avtal-innehalla-ett-bitradesavtal\" tabindex=\"-1\">M\u00e5ste alla IT-avtal inneh\u00e5lla ett bitr\u00e4desavtal?<\/h3>\n<p>Nej, bara n\u00e4r leverant\u00f6ren behandlar personuppgifter f\u00f6r er r\u00e4kning. Det g\u00e4ller dock de flesta drift-, moln-, support- och SaaS-avtal, eftersom leverant\u00f6ren n\u00e4stan alltid kommer \u00e5t n\u00e5gon form av personuppgifter. \u00c4r leverant\u00f6ren i st\u00e4llet sj\u00e4lvst\u00e4ndigt personuppgiftsansvarig beh\u00f6vs inget bitr\u00e4desavtal, men ansvarsf\u00f6rdelningen b\u00f6r \u00e4nd\u00e5 regleras.<\/p>\n<h3 id=\"racker-det-att-leverantoren-ar-iso-27001-certifierad\" tabindex=\"-1\">R\u00e4cker det att leverant\u00f6ren \u00e4r ISO 27001-certifierad?<\/h3>\n<p>Certifieringen \u00e4r en bra grund men ers\u00e4tter inte avtalskraven. Kontrollera att certifikatets omfattning t\u00e4cker den tj\u00e4nst ni k\u00f6per. Skriv sedan in de kontroller, rapporteringsfrister och granskningsr\u00e4ttigheter som er riskbed\u00f6mning kr\u00e4ver.<\/p>\n<h3 id=\"paverkar-cybersakerhetslagen-avtal-vi-redan-har\" tabindex=\"-1\">P\u00e5verkar cybers\u00e4kerhetslagen avtal vi redan har?<\/h3>\n<p>Ja. Enligt MCF:s f\u00f6reskrifter, som g\u00e4ller fr\u00e5n 1 oktober 2026, b\u00f6r avtal som ing\u00e5tts f\u00f6re det datumet s\u00e5 l\u00e5ngt som m\u00f6jligt kompletteras med cybers\u00e4kerhetskrav, och riskerna med otillr\u00e4ckliga avtal ska hanteras. B\u00f6rja med de leverant\u00f6rer som har st\u00f6rst betydelse f\u00f6r era samh\u00e4llsviktiga tj\u00e4nster.<\/p>\n<h3 id=\"nar-behovs-ett-sakerhetsskyddsavtal-i-stallet-for-en-vanlig-sakerhetsbilaga\" tabindex=\"-1\">N\u00e4r beh\u00f6vs ett s\u00e4kerhetsskyddsavtal i st\u00e4llet f\u00f6r en vanlig s\u00e4kerhetsbilaga?<\/h3>\n<p>N\u00e4r leverant\u00f6ren f\u00e5r tillg\u00e5ng till s\u00e4kerhetsskyddsklassificerade uppgifter eller deltar i s\u00e4kerhetsk\u00e4nslig verksamhet. S\u00e4kerhetsskyddsavtalet kommer d\u00e5 ut\u00f6ver \u00f6vriga s\u00e4kerhetskrav, inte i st\u00e4llet f\u00f6r dem, och det ska vara undertecknat innan leverant\u00f6ren f\u00e5r tillg\u00e5ng.<\/p>\n<h3 id=\"vem-i-organisationen-ska-aga-sakerhetskraven-i-it-avtalen\" tabindex=\"-1\">Vem i organisationen ska \u00e4ga s\u00e4kerhetskraven i IT-avtalen?<\/h3>\n<p>Ledningen ansvarar f\u00f6r s\u00e4kerhetsniv\u00e5n, men det praktiska \u00e4garskapet b\u00f6r ligga hos en utpekad funktion, ofta CISO eller informationss\u00e4kerhetsansvarig i samarbete med jurist och dataskyddsombud. Det viktiga \u00e4r att n\u00e5gon har ett uttryckligt ansvar f\u00f6r uppf\u00f6ljningen under hela avtalstiden.<\/p>\n<h2 id=\"kallor\" tabindex=\"-1\">K\u00e4llor<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.upphandlingsmyndigheten.se\/regler-och-lagstiftning\/andra-regler-som-kan-bli-aktuella\/informationssakerhet-vid-upphandling\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Upphandlingsmyndigheten: Informationss\u00e4kerhet vid offentlig upphandling<\/a><\/li>\n<li><a href=\"https:\/\/rib.msb.se\/filer\/pdf\/28742.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">MSB: Upphandla informationss\u00e4kert, en v\u00e4gledning<\/a><\/li>\n<li><a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/informationssakerhet\/sakerhetsatgarder\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: S\u00e4kerhets\u00e5tg\u00e4rder<\/a><\/li>\n<li><a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/personuppgiftsansvariga-och-personuppgiftsbitraden\/personuppgiftsbitradesavtal\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: Personuppgiftsbitr\u00e4desavtal<\/a><\/li>\n<li><a href=\"https:\/\/www.imy.se\/link\/dcfbccd1750e48399b88b94d3248e91b.aspx\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: Beslut mot Statens servicecenter<\/a><\/li>\n<li><a href=\"https:\/\/www.mcf.se\/sv\/aktuellt\/nyheter\/2026\/juni\/krav-pa-sakerhetsatgarder-som-starker-cybersakerheten\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">MCF: Krav p\u00e5 s\u00e4kerhets\u00e5tg\u00e4rder som st\u00e4rker cybers\u00e4kerheten<\/a><\/li>\n<li><a href=\"https:\/\/www.fra.se\/download\/18.1c31366219e925a606973\/1782394568329\/MCFFS-2026-11.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">MCFFS 2026:11 om s\u00e4kerhets\u00e5tg\u00e4rder och ledningens utbildning<\/a><\/li>\n<li><a href=\"https:\/\/www.upphandlingsmyndigheten.se\/nyheter\/2026\/cybersakerhetslagens-nis2-paverkan-pa-offentlig-upphandling\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Upphandlingsmyndigheten: Cybers\u00e4kerhetslagens (NIS2) p\u00e5verkan p\u00e5 offentlig upphandling<\/a><\/li>\n<li><a href=\"https:\/\/www.upphandlingsmyndigheten.se\/regler-och-lagstiftning\/andra-regler-som-kan-bli-aktuella\/sakerhetsskyddad-upphandling\/sakerhetsskyddsavtal\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Upphandlingsmyndigheten: S\u00e4kerhetsskyddsavtal<\/a><\/li>\n<li><a href=\"https:\/\/www.upphandlingsmyndigheten.se\/regler-och-lagstiftning\/andra-regler-som-kan-bli-aktuella\/sakerhetsskyddad-upphandling\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Upphandlingsmyndigheten: S\u00e4kerhetsskyddad upphandling<\/a><\/li>\n<li><a href=\"https:\/\/pts.se\/sakerhet-och-integritet\/sakerhetsskydd\/sakerhetsskyddsavtal\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">PTS: S\u00e4kerhetsskyddsavtal<\/a><\/li>\n<\/ul>\n<h2 id=\"rekommendationer\" tabindex=\"-1\">Rekommendationer<\/h2>\n<ul>\n<li><a href=\"https:\/\/evertrust.se\/en\/informationssakerhet-i-offentlig-sektor\/\" target=\"_blank\" rel=\"noopener\">Informationss\u00e4kerhet i offentlig sektor: nya krav 2026<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/standardavtalsklausuler-gdpr\/\" target=\"_blank\" rel=\"noopener\">Standardavtalsklausuler GDPR: vad SCC kr\u00e4ver av dig 2026<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/expertis\/sakerhetsskyddslagen\/\" target=\"_blank\" rel=\"noopener\">S\u00e4kerhetsskyddslagen<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/article\/svenska-foretag-maste-folja-nis2-trots-forsenad-lag\/\" target=\"_blank\" rel=\"noopener\">Svenska f\u00f6retag m\u00e5ste f\u00f6lja NIS2 \u2013 trots f\u00f6rsenad lag<\/a><\/li>\n<\/ul>","protected":false},"excerpt":{"rendered":"<p>Vilka s\u00e4kerhetskrav ska in i era IT-avtal 2026? Bitr\u00e4desavtal, cybers\u00e4kerhetslagens krav p\u00e5 leverant\u00f6rer och s\u00e4kerhetsskyddsavtal, med konkreta klausuler.<\/p>","protected":false},"author":2,"featured_media":8588,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"content-type":"","site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[107],"tags":[9],"class_list":["post-8587","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sverige","tag-gdpr-specialist"],"acf":[],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8587","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/comments?post=8587"}],"version-history":[{"count":1,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8587\/revisions"}],"predecessor-version":[{"id":8591,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8587\/revisions\/8591"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media\/8588"}],"wp:attachment":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media?parent=8587"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/categories?post=8587"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/tags?post=8587"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}