Cybersäkerhetslagen kräver mer än kunskap på papper

Cybersäkerhetslagen ställer ökade krav på organisationers cybersäkerhetsarbete. Den 1 oktober 2026 trädde nya föreskrifter och allmänna råd i kraft inom ramen för lagen, som bland annat förtydligar kravet på säkerhetsutbildning för verksamhetsledningen. Och eftersom personal byts ut, system utvecklas och hoten förändras är det viktigt att utbildningen inte är en engångsföreteelse, utan upprepas regelbundet. 

– När vi pratar om cybersäkerhet är två delar aktuella, den teoretiska och den praktiska. Till den förstnämnda hör den skriftliga säkerhetspolicyn. Kanske har man satt upp den på väggen på kontoret. Men det räcker såklart inte, den måste tillämpas också. Det är där den praktiska delen kommer in, säger Shamoona Imtiaz, forsknings- och utvecklingsingenjör på RISE och en del av teamet på Cyber Range. 

Cyber Range är en kontrollerad testmiljö på RISE i Kista, där företag och offentliga organisationer kan testa sin cybersäkerhet i en miljö som speglar den egna digitala verkligheten, utan att de faktiska systemen tar skada. 

Simulerar en vanlig dag på jobbet som tar en ovanlig vändning

Shamoona Imtiaz trycker på att det inte bara är it-personal och tekniker som har nytta av den här typen av testmiljö. Särskilt nu, efter att kravet på obligatorisk säkerhetsutbildning för organisationens ledning har börjat gälla. På Cyber Range kan ledningspersoner bygga förståelse för sitt ansvar enligt cybersäkerhetslagen genom scenariobaserad utbildning.

– Vi ser hur viktigt det är att träna upp förmågan att förstå och kommunicera med sina kollegor. Ledningspersoner måste kunna prata om säkerhetsrisker med företagets mer tekniska roller, och kommunikationsavdelningen behöver också ha en förståelse för vad som händer under en cyberattack för att kunna kommunicera internt och externt, säger Shamoona Imtiaz.

En cyberövning handlar mycket om att simulera en vanlig dag på jobbet som tar en ovanlig vändning. Vanlig i bemärkelsen att var och en har sina ansvarsområden och arbetsuppgifter, ovanlig eftersom dessa uppgifter kommer att avbrytas av ett cyberangrepp. 

– Det tekniska teamet är där, ledningen är där och kommunikatörerna likaså. Tanken med scenariobaserad utbildning är att stärka organisationernas förmåga att arbeta tillsammans, att överbrygga gapen som uppstår när de olika avdelningarna inte pratar samma språk. Hur kommunicerar jag om mitt problem med ord som chefen kan förstå? Under ett övningstillfälle på Cyber Range får man möjlighet att träna på detta, säger Shamoona Imtiaz.

Cyberberedskap som begränsar skadorna

Många cybertestmiljöer har ett offensivt fokus, där deltagarna får öva på att själva angripa ett simulerat system för att förstå hur det behöver skyddas. Tanken är att förekomma angriparen genom att själv skaffa sig kunskap om hur sårbarheter i den digitala miljön kan utnyttjas.

– Men jag håller inte riktigt med om att den approachen är den rätta vägen för alla typer av organisationer. För försvaret och statliga aktörer, absolut, men pratar vi om mindre industriföretag eller kommuner med begränsade resurser är det snarare beredskap som är intressant, säger Shamoona Imtiaz.

Beredskapsperspektivet handlar om att öva på hur organisationen ska agera när ett angrepp upptäcks, med fokus på att begränsa skador och hålla i gång verksamheten. Det kan i praktiken handla om att lära sig känna igen varningssignaler, veta när it-ansvariga behöver larmas, skaffa kunskap om hur man isolerar en drabbad dator och träna på att få tillbaka system och information med hjälp av säkerhetskopior.

Men kan man inte få den kunskapen genom att läsa på?

– Vi människor tenderar att glömma en del av informationen vi läser, men har vi varit i situationen och fått uppleva ett angrepp i realtid fastnar saker i vårt undermedvetna på ett annat sätt. Upplevelsen ger mer varaktiga intryck än vad ett dokument någonsin kan ge, säger Shamoona Imtiaz och fortsätter: 

– Många som lämnar våra övningsrum efter en utbildningsdag fortsätter diskutera med varandra. Vad hände där? Hur agerade vi då? Vad skulle vi kunnat göra annorlunda? Övningen är slut, men deltagarna delar lärdomar och information eftersom de har börjat förstå, se möjligheter och börjat utvärdera sin förmåga. Det är väldigt talande tycker jag.