Dags att ta tag i ledningens blinda fläck

Att se en svår, klurig och genuint utmanande uppgift som något att bita i snarare än något att undvika och stoppa huvudet i sanden är en av de mest värdefulla förmågorna ett team kan ha. Och det finns en sådan uppgift som många ledningsgrupper hellre suckar och stönar över än tar sig an på riktigt: det digitala kontinuitetsarbetet. Vad händer egentligen med er verksamhet om de digitala systemen slutar fungera? Inte i teorin eller en välformulerad riskanalys, utan i praktiken, klockan tre på natten, när det väl händer?

MCF, myndigheten för civilt försvar, mäter regelbundet hur offentlig sektor arbetar med just de här frågorna, och deras bild är tydlig. Tre av fyra kommuner klarar inte grundnivån i det systematiska informationssäkerhetsarbetet. Bland regionerna är det två av tre. Det gemensamma för de som halkar efter är inte brist på pengar eller teknisk kompetens. Det är brist på ledningsengagemang där vi befunnit oss i en tid där frågan konsekvent har hamnat hos IT-avdelningen, formulerats som ett teknikproblem och hanterats därefter. Problemet är att det aldrig riktigt löst sig där, och det är en av förklaringarna till att vi står där vi står idag. 

Så hur tar man sig an det som ledningsgrupp? Ge er ut i verksamheten och fråga på riktigt. Vilka system och verksamheter måste prioriteras? Kartlägg vilka system ni faktiskt beror på, vilka leverantörer som håller er verksamhet i luften och vad som händer om de brister. Finns det tydligt informations- och systemägarskap samt ansvarsfördelning? Testa er incidentprocess som en övning innan den blir en kris. Låt olika personer äga olika delar och rapportera tillbaka till gruppen. Ni kommer att lära er saker om er organisation som ni inte visste att ni inte visste. Låt det sen inte stanna i ledningsgruppen. Det är ert ansvar att äga frågan och sätta riktningen, men förmågan att faktiskt hålla ihop när det oväntade inträffar byggs i hela organisationen. De som arbetar närmast verksamheten, i hemtjänsten, i skolan, i räddningstjänsten, vet saker om beroenden och sårbarheter som aldrig syns i ett ledningsperspektiv, gör dem istället till en del av arbetet och inte mottagare av en färdig plan.

Nu finns det dessutom stöd i lagstiftningen. NIS2, EU:s direktiv för cybersäkerhet som gäller i Sverige sedan januari 2026 som cybersäkerhetslag och slår fast att ansvaret för informationssäkerhet och kontinuitetshantering inte kan delegeras bort från ledningsnivå. Det är inte längre en fråga om prioritering eller kultur. Det är ett krav. Men se det gärna som något mer än ett regelverk: NIS2 är i grunden ett erkännande av precis det MCF sett i sina mätningar, och ett konkret verktyg för att flytta frågan dit den hör hemma.

Vi vet att många kommuner och myndigheter kämpar med det här, och att det finns organisationer som alltid varit på hugget. En av dem är Helsingborgs stad, som under det senaste året arbetat systematiskt med digital resiliens tillsammans med RISE. Inte löst allt, men börjat ställa frågorna på rätt nivå. Kartlagt verkliga beroenden, övat mot verkliga scenarier och tagit de organisatoriska och kulturella konsekvenserna av vad de hittat, inte bara de tekniska.

Det är repeterbart, det är görbart och det är, om man väljer att se det så, ett riktigt smaskigt problem.

Den 24 juni pratar jag om just det här i Almedalen, tillsammans med min kollega Carl Heath, senior forskare på RISE, och Maria Stellinger Ernblad, digitaliseringsdirektör, i Helsingborgs stad. Helsinborg har påbörjat den här resan. Kom och lyssna och ät frukost med oss. 

Länk till evenemanget här!