Cybersäkerhet i styrelserummet
1 Hur stort är hotet från cyberattacker idag?
"Det är större än många tror. Under Q3 2024 utsattes företag i Sverige i genomsnitt för 1650 attacker per vecka – en ökning med 165 % jämfört med samma period föregående år. Cyberattacker påverkar både stora och små företag och kan slå ut verksamheten i veckor eller månader."
2 Vad är de vanligaste bristerna hos företag som drabbas?
"En majoritet av de drabbade saknar fungerande backup, vilket gör att de inte kan återställa sina system efter en attack. En annan stor brist är att många företag har ouppdaterade IT-miljöer, vilket gör dem extra sårbara. Slutligen saknas ofta tydliga roller och ansvar vid en incident, vilket förvärrar krisen."
3 Vad kan styrelser och ledningar göra för att förbättra cybersäkerheten?
"Kommunicera med IT-avdelningen. Säkerställ att ni får begriplig information från era IT-ansvariga och vice versa. Implementera tvåfaktorsautentisering, som minst, på alla affärskritiska system. Testa regelbundet att backupen fungerar och att data kan återställas. Skapa planer för hur organisationen ska hantera situationer då mejlsystem, intranät eller hemsidor ligger nere. Analysera också hur företaget snabbt kan få tag i nödvändiga datorer och system om allt slås ut."
4 Hur kan företag säkerställa affärskontinuitet vid en attack?
"Det handlar om att tänka efter före. Hur kommunicerar vi internt om e-post och intranät ligger nere? Hur hanterar vi betalningar om våra system är låsta? Vad är planen för våra kunder och leverantörer? Styrelse och ledning måste säkerställa att dessa scenarier är genomtänkta och testade i förväg."
5 Vilket juridiskt ansvar har styrelse och ledning vid en cyberincident?
"Ledning och styrelse har alltid ett ansvar för säkerheten, men med nya regler som NIS2-direktivet (implementerades i Sverige 2024, dock ännu inte genomfört i nationell lagstiftning) skärps ansvaret markant. Om företaget tillhör en av de 18 sektorer som omfattas av NIS2 gäller personligt ansvar för cybersäkerhet och riskhantering."
6 Vad innebär NIS2 för bolag som är leverantörer till reglerade verksamheter?
"Även om ett företag inte direkt omfattas av NIS2 kan det påverkas indirekt genom leverantörskedjan. Företag som levererar till reglerade sektorer kommer att behöva uppfylla höga säkerhetskrav. Det innebär tydliga krav på säkerhet i upphandlingar, revisioner och skarpare uppföljning."
7 Vilken roll spelar ledningen i cybersäkerhetsarbetet?
"Ledningen har en avgörande roll. Det räcker inte att ha policies – de måste omsättas i praktiken. Styrelse och ledning bör göra regelbundna GAP-analyser för att identifiera säkerhetsluckor, säkerställa att resurser finns för att åtgärda risker och se till att organisationen övar på incidenthantering innan krisen är ett faktum."
8 Hur kan företag gå från ord till handling i sitt säkerhetsarbete?
"Cybersäkerhet är inte en pappersprodukt – det kräver kontinuerligt arbete. Företag som vill ta säkerhet på allvar bör inventera sina mest kritiska system och data, tydliggöra roller och ansvar, planera och testa rutiner för incidenthantering och öva regelbundet – en IT-incident är inte rätt tillfälle att börja improvisera."
9 Varför är Sverige särskilt utsatt för cyberattacker?
"Sverige, liksom resten av Europa, har sett en kraftig ökning av cyberattacker. En bidragande orsak är vår digitala infrastruktur, som är mer avancerad än i många andra länder, samt Sveriges strategiska roll i Nato och EU."
10 Avslutningsvis – vad är det viktigaste rådet till styrelser?
"Det viktigaste är att ta säkerhetsfrågan på allvar redan idag. De företag som lyckas är de som går från ord till handling, övar regelbundet och har en robust strategi för cybersäkerhet. Styrelsen måste vara drivande i detta arbete – det är en fråga om verksamhetens överlevnad."