Cyberattacker mot svenska verksamheter har ökat kraftigt de senaste åren, en ny cybersäkerhetslag lägger numera det yttersta ansvaret på företagsledningen, och myndigheterna beskriver ett hotläge som gått från tillfällig topp till permanent normalläge. Tillsammans gör det att incidenthantering – hur en organisation faktiskt agerar när något går fel – har flyttat från att vara en fråga för säkerhetsavdelningen till att bli en fråga för styrelserummet.
Vad är incidenthantering?
Incidenthantering är det strukturerade arbetssätt en organisation använder för att hantera oönskade händelser som påverkar, eller riskerar att påverka, människor, verksamhet eller säkerhet. Det handlar inte om en enskild åtgärd utan om en sammanhängande kedja: från att en händelse upptäcks, via aktivering av rätt roller och genomförande av åtgärder, till eskalering vid behov och uppföljning när det akuta läget är över.
En incident kan i praktiken vara nästan vad som helst: en olycka på en produktionsanläggning, ett hot mot personal, en akut sjukdomshändelse, ett dataintrång eller en driftstörning i ett verksamhetskritiskt system. Det som förenar dessa situationer är att de är tidskritiska, ofta involverar flera funktioner samtidigt, kräver tydliga beslut under osäkerhet, och behöver följas upp i efterhand för att organisationen ska kunna lära sig och stärka sin förmåga.
Skillnaden mellan organisationer som hanterar incidenter väl och de som inte gör det ligger sällan i ambitionsnivå. Nästan alla företag har någon form av krisplan i en pärm eller på ett intranät. Skillnaden ligger istället i struktur: om roller och ansvar är definierade i förväg, om larm når rätt personer utan fördröjning, och om det går att bekräfta att budskapet faktiskt tagits emot och att åtgärder vidtas – även när flera saker händer samtidigt och under stark tidspress.
Ett hotläge som beskrivs som det nya normala
Bakgrunden till att incidenthantering fått förnyad aktualitet handlar till stor del om en förändrad hotbild. Säkerhetspolisen har beskrivit utvecklingen som att hoten blivit en permanent del av närmiljön – inte en tillfällig topp, utan ett nytt normalläge, drivet av ett hårdnat geopolitiskt landskap, en våg av ny EU-lagstiftning och en digitaliseringstakt som ständigt skapar nya angreppsytor.
Statistiken ger stöd för den bilden. Under 2025 registrerades 60 cyberincidenter som påverkade svenska organisationer, vilket gjorde Sverige till det mest drabbade landet i Norden – att jämföra med 44 i Finland, 41 i Danmark och 21 i Norge. Under första kvartalet 2025 ökade cyberattackerna mot Sverige med 70 procent jämfört med samma period året innan. Drygt var tredje svensk verksamhet, 37 procent, uppger att de utsatts för minst ett cyberangrepp, och bland större företag var siffran nära hälften, 48 procent, under 2025. Samtidigt pekar branschrapporter ut leveranskedjor som en särskild svaghet – många företag har god kontroll över sin egen säkerhet men betydligt sämre insyn i hur väl underleverantörer och partners hanterar sina risker.
Det är alltså inte längre en fråga om en incident kommer att inträffa, utan när, och hur väl förberedd organisationen är när det sker.
Ny lagstiftning gör incidenthantering till ett styrelseansvar
Parallellt med den förändrade hotbilden har regelverket skärpts påtagligt. Den 15 januari 2026 trädde Sveriges nya cybersäkerhetslag i kraft, som bygger på EU:s NIS2-direktiv och ersätter den tidigare lagen om informationssäkerhet för samhällsviktiga och digitala tjänster från 2018. Lagen omfattar uppskattningsvis 8 000 svenska organisationer inom 18 kritiska sektorer, från energi och transport till hälso- och sjukvård samt delar av tillverkningsindustrin.
Tre delar av lagen är särskilt relevanta för hur företag arbetar med incidenter. För det första ställs krav på systematisk riskhantering: företag måste identifiera, analysera och åtgärda risker kopplade till sina nätverks- och informationssystem. För det andra införs strikta tidsramar för incidentrapportering, ofta sammanfattat som 24/72/30 – en tidig varning inom 24 timmar, en mer fullständig rapport inom 72 timmar, och en slutrapport inom 30 dagar efter en allvarlig incident. För det tredje, och kanske viktigast för hur frågan diskuteras i ledningsgrupper, läggs det yttersta ansvaret numera uttryckligen på företagsledningen. Styrelse och vd ska säkerställa att det finns en cybersäkerhetsstrategi, att resurser avsätts, och att rutiner för incidenthantering faktiskt finns på plats. Den som inte lever upp till kraven riskerar sanktioner på upp till 10 miljoner euro eller 2 procent av företagets globala omsättning, beroende på vilket belopp som är högst.
Effekten av detta är att incidenthantering, som tidigare ofta betraktats som en operativ eller teknisk fråga för IT- och säkerhetsavdelningen, nu i praktiken blivit en fråga som styrelser förväntas kunna redogöra för.
Från pärm till förmåga att faktiskt agera
Kraven i den nya lagstiftningen, i kombination med det skärpta hotläget, har fått många organisationer att inse att en dokumenterad rutin inte är samma sak som en fungerande förmåga att agera. Det är här ett tydligt gap ofta uppstår: planer finns, men när en incident väl inträffar saknas ett sätt att snabbt larma rätt personer, bekräfta att budskapet nått fram, och eskalera kontrollerat om situationen förvärras.
Just den luckan är skälet till att fler företag investerar i strukturerade system för kritisk kommunikation och incidenthantering. RapidReach, ett larmsystem från Mölndalsbaserade Enera International AB, är ett exempel på hur den typen av lösningar ser ut i praktiken. Systemet är byggt kring incidenthantering som en naturliga kedja: identifiering och larm, aktivering av roller, genomförande av åtgärder, eskalering och uppföljning. I stället för telefonringkedjor eller manuella rutiner kan organisationen förbereda scenarier i förväg – till exempel en driftstörning, ett dataintrång, en olycka på en anläggning eller ett hot mot personal – med färdiga meddelanden, mottagargrupper och checklistor. När en incident inträffar skickas larmet ut på sekunder via flera kanaler parallellt, mottagare kvitterar i realtid, och om någon inte svarar eskalerar systemet automatiskt enligt förutbestämda regler. Allt loggas, vilket också underlättar den dokumentation och uppföljning som numera krävs enligt lag.
För industri, energibolag och annan samhällskritisk verksamhet, som pekas ut som särskilt berörda av de nya kraven, handlar det konkret om att kunna nå rätt teknisk funktion eller ledningsperson omedelbart när ett system fallerar eller en säkerhetshändelse upptäcks – snarare än att förlita sig på att någon manuellt ska hinna ringa runt.
Vad bör företag prioritera?
Oavsett vilket verktyg en organisation väljer återkommer några frågor i takt med att kraven skärps. Är roller och mandat tydliga innan något händer, så att ingen tid går förlorad till att reda ut vem som beslutar vad? Går det att bekräfta att ett larm faktiskt nått fram till rätt person, inte bara att det skickats? Klarar kommunikationen av att fungera även om ordinarie kanaler är överbelastade eller påverkade av själva incidenten? Och slutligen: dokumenteras händelseförloppet på ett sätt som håller för en styrelse, en tillsynsmyndighet, och de rapporteringskrav som cybersäkerhetslagen nu ställer.
Incidenthantering är sällan bara en it-fråga
Ett vanligt missförstånd är att incidenthantering och den nya lagstiftningen enbart handlar om cybersäkerhet. I praktiken definieras en incident betydligt bredare, och samma grundstruktur för larmning, aktivering och eskalering används oavsett om orsaken är ett dataintrång, en arbetsplatsolycka, ett hot mot personal eller en driftstörning i ett fysiskt system. För en industrikoncern kan en allvarlig incident lika gärna vara ett haveri i en produktionslinje eller en personskada på en anläggning som ett intrång i ett IT-system – och konsekvenserna av att sakna en fungerande kommunikationskedja är i grunden desamma: förseningar, otydligt ansvar och en sämre lägesbild när det spelar som mest roll.
Det är också därför frågan sprider sig utanför säkerhetsavdelningen. HR behöver veta hur personal informeras och stöttas efter en allvarlig händelse, kommunikationsfunktionen behöver kunna hantera extern information utan att motsäga det interna larmet, och ledningen behöver ett sätt att snabbt få en samlad lägesbild för att kunna fatta rätt beslut. Incidenthantering blir därmed, i takt med de skärpta kraven, lika mycket en fråga om organisation och samordning som om teknik.
Incidenthantering – ett ansvar
Bilden som växer fram är tydlig. Hotbilden mot svenska företag har skärpts, både vad gäller cyberattacker och andra typer av allvarliga händelser, och lagstiftningen har på kort tid gått från att vara en teknisk fråga till ett direkt styrelseansvar med kännbara sanktioner för den som brister. Resultatet är att incidenthantering håller på att omdefinieras: från en pärm som tas fram vid behov, till en förmåga som organisationer förväntas kunna visa upp, öva regelbundet och redovisa för både ledning och myndigheter. Företag som RapidReach är en del av den utveckling som gör det möjligt.
