Frågor och svar om Cybersäkerhetskollen

Grundläggande om Cybersäkerhetskollen

Här finns grundläggande frågor och svar om cybersäkerhetskollen.

Varför har Cybersäkerhetskollen lanserats?

Sverige behöver bli bättre på att följa upp sin cybersäkerhet. Mot bakgrund av detta fick dåvarande MSB 2019 ett regeringsuppdrag om att ta fram en struktur för uppföljning av det systematiska informationssäkerhetsarbetet.

Genom Cybersäkerhetskollen får enskilda organisationer direkt återkoppling på vad de befinner sig i sitt systematiska cybersäkerhetsarbete samt vad de bör förbättra. Samtidigt möjliggör verktyget också överblick och utveckling på nationell nivå.

2023 mottog dåvarande MSB ett tilläggsuppdrag av regeringen att bredda Infosäkkollen till NIS-leverantörer (idag benämnt som verksamhetsutövare), samt att ta fram en uppföljningsstruktur för it-säkerhetsåtgärder, It-säkkollen.

I samband med lansering 2024 fick Infosäkkollen och It-säkkollen ett nytt samlingsnamn, Cybersäkerhetskollen.

Inför 2025 har Cybersäkerhetskollen vidareutvecklats. It-säkkollen har vidareutvecklats och två nya mätningar i form av Ot-säkkollen och Leveranskedjekollen har tillkommit.

Den 27 februari 2025 mottog vi ytterligare ett regeringsuppdrag om att genomföra en kartläggning av digitala leveranskedjor och att ta fram en modell för uppföljning av digitala leveranskedjor. Utifrån detta uppdrag har Leveranskedjekollen tagits fram.

Varför ska min organisation använda Cybersäkerhetskollen?

Med Cybersäkerhetskollen får din organisation en bättre bild av ert cybersäkerhetsarbete och förslag på utvecklingsområden, samt underlag för planering och prioritering.

När ni rapporterar in ert resultat kan ni också jämföra nivån på ert arbete med andra liknande organisationer. Dessutom bidrar ni till förmågebedömningen av cybersäkerheten hos det civila försvaret.
Cybersäkerhetskollen är både ett verktyg för att stötta den egna organisationen i uppföljningen av cybersäkerhetsarbetet och ett bidrag för att skapa en lägesbild över Sveriges förmåga inom cybersäkerhet. Ett inrapporterat resultat bidrar till lägesbilden för sektorn.

Cybersäkerhetskollen grundar sig i ett flertal regeringsuppdrag som kommit sedan 2019, därav ger Cybersäkerhetskollen även oss och regeringen information om vilket stöd som behövs för svenska organisationer.

Vilka organsiationer riktar sig Cybersäkerhetskollen till?

Samtliga organisationer, både offentliga och privata, som omfattas av cybersäkerhetslagen (så kallade verksamhetsutövare).

Även organisationer som inte omfattas av cybersäkerhetslagen, men som bedriver ett systematiskt cybersäkerhetsarbete som de vill följa upp kan ha nytta av Cybersäkerhetskollen.

När genomförs nästa mätning av Cybersäkerhetskollen?

Den senaste mätningen av Cybersäkerhetskollen skedde under 2025. Nästa mätning är planerad till 2027. Vi kommer att komma med mer information i god tid innan nästa mätning.

Vad händer med Cybersäkerhetskollen när delar av Myndigheten för civilt försvar överförs till FRA?

Under 2025 beslutade regeringen att Myndigheten för civilt försvars centrala verksamheter inom cybersäkerhet ska föras över till Nationellt cybersäkerhetscenter, vilket utgör en del av Försvarets radioanstalt (FRA). Verksamhetsövergången ska genomföras den 1 juli 2026 och innefattar även de regeringsuppdrag som Cybersäkerhetskollen vilar på. Det innebär att Nationellt cybersäkerhetscenter (NCSC) kommer överta ansvaret för Cybersäkerhetskollen från och med sommaren 2026.

Regeringens ambition är att NCSC ska utgöra navet i det nationella cybersäkerhetsarbetet.

Är det obligatoriskt att rapportera in resultatet?

De organisationer som rapporter in sina svar får återkoppling i form av jämförelser med andra organisationer. De bidrar också till den nationella lägesbilden av nivån på cybersäkerhetsarbetet hos samhällsviktiga verksamheter i Sverige. Utifrån det säkerhetspolitiska läget är det särskilt viktigt att Myndigheten för civilt försvar kan bedöma motståndskraften hos det civila försvaret.

Vi hoppas också att de organisationer som använder verktyget vill bidra till den samlade utvecklingen, men det finns inget obligatorium kring inrapporteringen.

Är Cybersäkerhetskollen anpassad till cybersäkerhetslagen?

Nej, inte ännu. Till nästa mätning kommer dock innehållet i Cybersäkerhetskollen ses över utifrån de krav som följer av cybersäkerhetslagen och tillhörande föreskrifter.

Vad är Infosäkkollen och varför ska vi fylla i den?

Infosäkkollen är en del av Cybersäkerhetskollen och fokuserar på systematiskt informationssäkerhetsarbete.

Genom Infosäkkollen kan organisationen följa upp det systematiska informationssäkerhetsarbetet och se hur det bör vidareutvecklas. Att medverka i Infosäkkollen stöttar inte enbart den egna organisationen, utan även Sveriges cybersäkerhet.

Infosäkkollen var den första mätningen inom Cybersäkerhetskollen. Verktyget togs fram mot bakgrund av ett regeringsuppdrag som dåvarande MSB fick 2019. Den första mätningen av Infosäkkollen skedde 2021.

Vad är It-säkkollen och varför ska vi fylla i den?

It-säkkollen mäter organisationers systematiska it-säkerhetsarbete och är en del av Cybersäkerhetskollen.

Genom att besvara It-säkkollen får ni insikt i vad som krävs för att er organisation ska utveckla ert systematiska it-säkerhetsarbete. Er medverkan förbättrar Sveriges cybersäkerhet.

It-säkkollen genomfördes för första gången i full skala under 2025. Tidigare var It-säkkollen en enklare självskattningsenkät. Verktyget har tagits fram mot bakgrund av ett regeringsuppdrag som dåvarande MSB mottog år 2023.

Vad är Ot-säkkollen och varför ska vi fylla i den?

Ot-säkkollen mäter organisationers systematiska ot-säkerhetsarbete och är en del av Cybersäkerhetskollen.

Genom att besvara Ot-säkkollen får ni översikt över ot-säkerhetsarbetet och vad som bör följas upp och vidareutvecklas. En medverkan i Ot-säkkollen förbättrar Sveriges cybersäkerhet.

Ot-säkkollen riktar sig i huvudsak till de organisationer som innehar eller vars verksamhet är beroende av industriella informations- och styrsystem (ICS). Dessa organisationer finns ofta, men inte enbart, inom de samhällsviktiga sektorerna energiförsörjning, dricksvattenförsörjning samt transporter och kan vara såväl offentliga som privata verksamheter.

Ot-säkkollen genomfördes för första gången under 2025.

Vad är Leveranskedjekollen och varför ska vi fylla i den?

Leveranskedjekollen följer upp organisationers arbete med säkra leveranskedjor samt kartlägger digitala leveranskedjor. Mätningen är en del av Cybersäkerhetskollen.

Frågorna i Leveranskedjekollen utgår från myndighetens analyser som visar att allt fler incidenter påverkar digitala leveranskedjor och att just dessa incidenter riskerar att få betydande samhällskonsekvenser. Att medverka i Leveranskedjekollen stöttar inte enbart den egna organisationen, utan även Sveriges cybersäkerhet.

Leveranskedjekollen genomfördes för första gången under 2025.

Kommer detta användas för tillsyn?

Regeringsuppdraget som ligger till grund för Cybersäkerhetskollen säger att det är för en organisations eget uppföljnings- och förbättringsarbete. Vi bedriver inte tillsyn på sakområdet, utan svaren redovisas endast på aggregerad nivå för att presentera en nationell lägesbild på cybersäkerhetsområdet.

Ska en kommun och ett kommunalt bolag rapportera in ett gemensamt svar?

Nej. Varje organisation kan rapportera in sitt svar. En kommun och ett kommunalt bolag ska därför svara separat då de är två olika organisationer.

 

Så funkar Cybersäkerhetskollen

Här finns information om hur Cybersäkerhetskollen funkar.

Hur använder jag Cybersäkerhetskollen?

Du genomför uppföljningen genom att steg för steg gå igenom och besvara ett antal frågor i det Excel-baserade verktyget. Det finns olika typer av frågor i verktyget som ska undersöka olika aspekter på ert cybersäkerhetsarbete.

Exempel på frågor som ni kan hitta i verktyget är:

Har organisationen haft en informationssäkerhetspolicy de senaste två åren?

Om svaret är ja, ange vad policyn har innehållit (till exempel ledningens inriktning för informationssäkerhetsarbetet).

I vilken utsträckning har organisationen, de senaste två åren, klassat sin information enligt sitt arbetssätt för informationsklassning?

När ni svarat på alla frågor får ni ett resultat som visas på en särskild flik i verktyget (återkoppling). Där kan ni bland annat se utvecklingsområden samt tips och hänvisningar till stöd för ert utvecklingsarbete.
Vidare anvisningar om hur ni använder Cybersäkerhetskollen finns i verktyget och i Fördjupningsinformationen (se under Vidare läsning).

Vem i en organisation riktar sig Cybersäkerhetskollen till?

Verktyget är till för hela organisationens nytta, då cybersäkerhetsarbetet berör hela organisationen. Det är rekommenderat att den som driver genomförandet av Cybersäkerhetskollen i organisationen är CISO eller motsvarande. Om en sådan roll inte finns kan det vara någon i en stabsfunktion. CISO eller motsvarande bör i sin tur samarbeta med relevanta roller inom informationssäkerhet, it-säkerhet, ot-säkerhet samt inköp och upphandling under genomförandet av Cybersäkerhetskollen. Detta för att cybersäkerhetskollens resultat ska spegla organisationen så väl som möjligt och för att frågorna ska kunna besvaras fullt ut.

Cybersäkerhetskollen är också till för att ge ledningsgrupper ett bättre underlag för uppföljning av det systematiska cybersäkerhetsarbetet.
Ledningens engagemang underlättar för att uppföljningen ska kunna genomföras och resultaten omhändertas.

Hur mycket tid behöver vår organisation lägga på Cybersäkerhetskollen?

Hur lång tid det tar att svara på frågorna beror på många faktorer och är därför svårt att uppskatta. Effektiv tid bedöms vara ett par dagar, men ledtiden för att samla in informationen kan vara betydligt längre. Beroende på organisation och arbetssätt kan det i vissa fall röra sig om några veckor eller en ännu längre period.

Angående tvåårsperioden, måste en rutin, teknisk skyddsåtgärd eller liknande varit införd i hela tvåårsperioden för att räknas som införd?

Ja, något ska ha funnits på plats, eller utförts, med en viss regelbundenhet under den senaste tvåårsperioden (om inget annat uttrycks i den specifika frågan).

Anledningen till att mätperioden är över två år är att modellen undersöker etablerade arbetssätt och inte en ögonblicksbild av cybersäkerhetsarbetet. För modellen är det avgörande att alla organisationer mäts utifrån samma kriterier, det ger en samlad bild som är rättvisande och representativ för cybersäkerhetsarbetet.

Vi har upphandlat en extern aktör som bidrar till vårt informations-och cybersäkerhetsarbete, ska de inkluderas?

Ja, alla delar av säkerhetsarbetet som bidrar till verksamhetens cybersäkerhet skall inkluderas i Cybersäkerhetskollen.
Tänk på att inkludera alla arbetssätt, krav och rutiner i avtalet för att kunna ställa krav på er upphandlade aktör att leva upp till gott systematiskt cybersäkerhetsarbete.

Information om säker upphandling LÄNK SAKNAS

Vi är inte en offentlig förvaltning och omfattas inte av NIS-lagstiftningen, kan vi använda Cybersäkerhetskollen ändå?

Alla organisationer kan använda verktyget som finns tillgängligt på hemsidan. Alla organisationer är också välkomna att skicka in sina resultat.

Varför är Cybersäkerhetskollen en Excel-fil?

Det finns flera skäl till detta. De huvudsakliga är att det ska vara enkelt, säkert och samtidigt resurseffektivt. Ett verktyg för alla svenska samhällsviktiga verksamheter behöver vara något som alla kan öppna och arbeta i.

Samtidigt handlar det om information som kan vara mycket känslig, så det måste gå att hantera på ett säkert sätt. Många av er kommer att jobba med det i särskilda it-miljöer, som har olika begränsningar. Ni ska inte behöva introducera ny programvara eller oroa er för skadlig kod när ni gör Cybersäkerhetskollen.

 

Säker hantering

Här finns information om säker hantering.

Hur skickar jag in min organisations resultat från Cybersäkerhetskollen?

Alla svar rapporteras in via ett formulär på vår e-tjänsteportal. 

E-tjänster

Formuläret inleds med att ni får göra en informationsklassning av ert svar, och beroende på den får ni en inrapporteringsrutin. Flödet är dynamiskt. Det finns fyra sätt ni kan inrapportera på:

1. För svar som inte omfattas av sekretess bifogas svarsfilen i formuläret.
2. För svar som omfattas av sekretess bifogas svarsfilen i formuläret.
   
   Om ni anser att ert svar omfattas av säkerhetsskydd ska ni rapportera in med ett ändamålsenligt signalskydd eller använda PostNord:s tjänst för värdeförsändelse.
   
   
3. Om ni avser använda signalskydd ska PGBI-nyckel beställas genom cybersakerhetskollen@mcf.se senast 15/5 2024.
4. Om ni avser använda värdeförsändelse ska ni lägga svarsfilen okrypterad på ett USB-minne i ett kuvert, märkt "Cybersäkerhetskollen". Lägg sedan kuvertet i en säkerhetspåse. Sedan skickar ni säkerhetspåsen som värdeförsändelse med PostNord. Ni måste spara säkerhetspåsens och värdeförsändelsens nummer så att det kan skrivas in i formuläret på e-tjänsteportalen, detta för att vi ska kunna verifiera vid mottagandet. Adressen ni ska skicka till är:
   
   Myndigheten för civilt försvar
   651 81 Karlstad

Kan svar i Cybersäkerhetskollen vara skyddsvärda?

Ja, i och med att innehållet utgör en genomgång av hur en organisations cybersäkerhetsarbete ser ut och vilka eventuella brister som finns i detta, kan enskilda svar vara skyddsvärda.

Se mer om detta under frågan: Hur skyddar ni våra inrapporterade svar?

Vi saknar en it-säker miljö, hur gör vi för att svara säkert?

Din organisation ansvarar för sekretessbedömning och eventuell säkerhetsskyddsklassificering av era svar, samt för att ge uppgifterna det skydd som krävs vid hantering, lagring och överföring. Ett tips är att först gå igenom frågorna och resonera kring skyddsvärdet i de svar ni avser att ange.

Om ni bedömer att svaren inte innehåller säkerhetsskyddsklassificerade uppgifter kan ni hantera dem i era vanliga it-system. Om ni bedömer att svaren eller delar av svaren är säkerhetsskyddsklassificerade och ni inte har it-system godkända för detta kan ni använda penna och papper.
I Cybersäkerhetskollen redovisar ni svar som är öppna (ej sekretessbelagda) och de svar som är sekretessbelagda redovisas på papper. Pappret kan sedan läggas i samma säkerhetspåse som USB-minnet.

Hur skyddar ni våra inrapporterade svar?

Vår preliminära bedömning är att en del av uppgifterna som lämnas in kan komma att omfattas av sekretess enligt följande paragrafer:

• 18:8 gällande säkerhets- och bevakningsåtgärder
• 18:13 gällande möjlighet att förebygga och hantera fredstida kriser
• 15:2 försvarssekretess.

Det går inte att svara generellt på vilka uppgifter som omfattas av vilken paragraf. Sekretessbedömning görs på specifika upplysningar för varje enskild begäran om utlämning.

Myndigheten kommer, utöver att pröva sekretess vid utlämningsbegäran, att vidta ett antal olika tekniska och administrativa säkerhetsåtgärder för att skydda både de enskilda svaren och den samlade massan av svar som bildas över tid hos myndigheten. Ett viktigt steg i att skyddet kring uppgifterna som hanteras i verktyget ska kunna upprätthållas ”hela vägen” är de rutiner vi har på plats kring säker hantering för inrapportering.

Mer om de sekretessregler som kan tillämpas:

Uppgifter om säkerhets- eller bevakningsåtgärd – 18 kap. 8 § OSL

Enligt 18 kap. 8 § 3 OSL gäller sekretess för uppgift som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs och åtgärden avser bland annat telekommunikation eller system för automatiserad behandling av information.

Enligt fjärde punkten i samma bestämmelse gäller detta även uppgifter som avser behörighet att få tillgång till upptagning för automatiserad behandling eller annan handling. Med uppgifter som lämnar upplysning om säkerhets- eller bevakningsåtgärd avses enligt denna punkt till exempel uppgifter om konfigurering av brandväggar. Uppgifter som kan bidra till upplysning om säkerhetsåtgärder kan också vara uppgifter om vilken typ och version av operativsystem eller annan programvara som används.

Risk- och sårbarhetsanalyser – 18 kap. 13 § OSL

Enligt 18 kap. 13 § OSL gäller sekretess för uppgifter som hänför sig till en myndighets verksamhet som består i risk- och sårbarhetsanalyser avseende fredstida krissituationer, planering och förberedelser inför sådana situationer eller hantering av sådana krissituationer om det kan antas att det allmännas möjligheter att förebygga och hantera fredstida kriser motverkas om uppgiften röjs.

Med begreppet fredstida krissituationer avses mycket allvarliga kriser, alltså inte olyckor och andra händelser av mer vardaglig karaktär.

Verksamhet i form av risk- och sårbarhetsanalyser syftar till att minska samhällets sårbarhet, bland annat genom att öka myndigheternas förmåga att förutse och hantera fredstida krissituationer. För att uppgifter i denna verksamhet inte ska kunna utnyttjas till angrepp mot myndigheter, enskilda eller samhället i stort är det i viss utsträckning nödvändigt att begränsa insynen i denna verksamhet.

Försvarssekretess – 15 kap. 2 § OSL

Enligt 15 kap. 2 § OSL gäller sekretess för uppgift som rör verksamhet för att försvara landet eller planläggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör totalförsvaret om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för Sveriges säkerhet om uppgiften röjs.