De här frågorna tog RISE i projektet Sjyst data! sig an, i ett nära samarbete med framför allt projektpartners från museisektorn och akademin, för att skapa en mer etisk, begriplig och rättssäker hantering av personuppgifter i digitala sammanhang. Genom praktiska case, juridisk vägledning och kartläggning av datamängder gav Sjyst data! museerna en ökad kunskap och verktyg för hur man skulle hantera insamling och publicering av digitalt material.

Höga trösklar och juridiska gråzoner

Utgångspunkten var en välkänd utmaning i museisektorn. Museer och arkiv samlar ofta in berättelser, bilder och uppgifter direkt från allmänheten, numera i allt högre grad som digitaliserade material, och för att dessa ska kunna användas behöver man också bevara kontexten kring ett föremål eller ett minne vilket görs genom att också addera vissa personuppgifter.

Karolina Hedström, fotoantikvarie och arkivarie på Stockholms läns museum, som var en av Sjyst data!-projektets parter, beskriver hur tröskeln för de som vill bidra med material kan bli hög:

–Vi vill få in så mycket personuppgifter som möjligt för att kunna bevara kontexten – men många tycker det är känsligt. Vi behövde veta hur vi kan samla in utan att skapa onödiga hinder.

Utmaningen omfattade både själva insamlingen och den efterföljande publiceringen, särskilt gråzoner där juridiken inte gav tydliga svar.

Det var här projektet Sjyst data! kom in i bilden, ett samverkans- och innovationsprojekt kring dataskydd och integritet där RISE var koordinator. Genom att kartlägga datamängder och genomföra djupgående juridiska analyser har projektet gett museerna ökad kunskap om vad som krävs för att hantera digitalt material på ett modernt och korrekt sätt.

Användarfokus och begriplighet

Inom Sjyst data! genomförde museerna digitala insamlingar följt av intervjuer med deltagarna. Fokus låg på hur användarna upplevde att lämna ut personlig information, om de kände förtroende för museet och vad som kändes oklart eller oroande. Resultaten ledde till konkreta förbättringar, varav en av de mest värdefulla handlade om något till synes enkelt: språket.

Det visade sig att förändringar av språkbruk kunde ge stora effekter. Genom att omformulera texter och skriva mer begripligt om varför data samlas in, ökade deltagarnas trygghet markant.

–Bara att omformulera texterna på insamlingssidorna gjorde stor skillnad. Vi insåg hur mycket man kan göra genom att skriva mer begripligt om varför vi samlar in och vad som händer med informationen, förklarar Karolina Hedström.

En central del i framgången med projektarbetet har också varit samarbetet med juridikforskare från Lunds universitet. Genom att analysera gränsdragningar mellan olika lagstiftningar har museerna fått en tydligare bild av när insamling och publicering är tillåten och hur personuppgiftsbiträdesavtal bör utformas för att skydda individen.

En annan central del var juridiken kring publicering av personuppgifter. En jämförelse mellan GDPR och museilagen och konstaterade bland annat att viss publicering kan vara tillåten – men att gränsen är otydlig, särskilt vid bilder från demonstrationer eller material där barns integritet berörs.

Behovet av gemensamma riktlinjer

Sjyst data!-projektet har gett museerna ett påtagligt kunskapslyft. Representanter från de tre deltagande museerna vittnar om förbättrade rutiner för digital insamling, ökad förståelse för användarnas perspektiv och tryggare processer för dataöverföring och avtal. Samtidigt är det tydligt att arbetet inte är färdigt. Osäkerhet råder fortfarande kring publicering av känsliga uppgifter, som bilder från demonstrationer eller fotografier på barn. Det är ett område där hela sektorn saknar gemensamma riktlinjer, och där behovet av tydligare vägledning är stort.

–Vi har kommit en bra bit på vägen, men nöten är inte knäckt. Det behövs mer utredning, och hela museisektorn efterfrågar detta, sammanfattar Karolina Hedström.

Vägen framåt stakas ut genom fortsatta samarbeten och initiativ där aktörer som Riksantikvarieämbetet kan spela en nyckelroll i att samordna och sprida kunskap till hela Sveriges kulturarvsinstitutioner.

Om Sjyst data!-labbet

Efter att projektet avslutades har RISE nu etablerat det s k ”Sjyst data!-labbet” som med tvärvetenskaplig expertis och olika tjänster syftar till att stödja organisationer och företag med olika dataskyddsutmaningar, alltifrån tekniska, designrelaterade, juridiska eller etiska. Arbetet i det tidigare Sjyst data!-projektet visar att många utmaningar går att lösa, med bibehållen affärsmässighet – med rätt kombination av användartester, juridisk expertis, designkunnande och en prototypande approach. På det viset hjälper RISE och dess samarbetspartners till att driva innovativ teknikutveckling på ett ansvarsfullt sätt.

Läs mer om Sjyst data!-labbet

Läs mer om projektet Sjyst data!

För företag som hanterar stora mängder data är frågan inte längre om man följer regleringar, utan hur man kan bevisa det. Med framväxten av AI Act, GDPR och NIS2 ställs allt högre krav på att verksamheter har full koll på sina dataflöden, var informationen finns, vem som ansvarar för den och hur den skyddas. För Pinteg handlade utmaningen om att göra det osynliga synligt och begripligt, både för företaget och för slutkonsumenten.

– Vi behövde förståelse i alla led. Hur ser flödet ut, var finns svagheterna och vilket lagrum gäller egentligen?, säger Patrik Persson, Grundare Pinteg.

Att bygga broar mellan akademi och industri

Som en liten startup i en snabbrörlig bransch kan steget till djupgående forskning och akademiska processer ibland kännas långt. Pinteg identifierade tidigt behovet av en stark partner som kunde erbjuda både "stöd och muskler" i arbetet med att validera deras lösningar. Man behövde en partner med tvärvetenskaplig kompetens som kunde samla juridik, teknik och användarinsikter på en och samma plats.

– RISE och Sjyst data! gav oss det tvärvetenskapliga stöd vi behövde – juridik, teknik och användarinsikter under samma tak. Vi fick inte bara svar på vad som gäller, utan också konkret hjälp att visa att vi faktiskt hanterar det i vår egen produktutveckling. Det är ovärderligt när man ska leverera och bygga förtroende, säger Patrik Persson.

Inom ramen för Sjyst data! fick Pinteg tillgång till juridisk vägledning kring vilket lagrum som gäller, förtydliganden kring GDPR och rättssäker kommunikation med användare – men också till innovationsstöd i form av användartester, mockups och testmiljö. Det gav Pinteg verktyg både för den interna produktutvecklingen och för dialogen med kunder och partners.

Best practice, standarder och marknadsöversikt

En konkret vinst av samarbetet var översikten över marknaden och de standarder som faktiskt finns. Sjyst data! hjälpte också till att testa nya format för privacy notices, bland annat video som ett alternativt sätt att kommunicera integritetsinformation till konsumenter.

Resultaten öppnade också upp för nya möjligheter. Pinteg ser potential i att framtida samarbeten utvidgas, där RISE och Sjyst data!-labbet kan ingå som underleverantör och parterna tillsammans erbjuder gemensamma tjänster på marknaden. Så skapas den livskraft efter projektets slut som båda parter söker: en koppling mellan akademi och industri som håller över tid.

Om Pinteg

Pinteg är ett svenskt Legal-Tech-bolag, grundat 2020 i Lund, som hjälper organisationer med GDPR-efterlevnad och dataskydd genom sin plattform Fairity. De erbjuder lösningar för personuppgiftshantering som syftar till att ta hand om kundernas data och säkerställa efterlevnad av GDPR för att stärka säkerhet och förtroende.

Om Sjyst data!-labbet

Efter att projektet avslutades har RISE nu etablerat det så kallade ”Sjyst data!-labbet” som med tvärvetenskaplig expertis och olika tjänster syftar till att stödja organisationer och företag med olika dataskyddsutmaningar, alltifrån tekniska, designrelaterade, juridiska eller etiska. Arbetet i det tidigare Sjyst data!-projektet visar att många utmaningar går att lösa, med bibehållen affärsmässighet – med rätt kombination av användartester, juridisk expertis, designkunnande och en prototypande approach. På det viset hjälper RISE och dess samarbetspartners till att driva innovativ teknikutveckling på ett ansvarsfullt sätt.

Läs mer om Sjyst data!-labbet

Läs mer om projektet Sjyst data!

Digitaliseringen har gjort offentlig sektor snabbare och mer effektiv, men också mer sårbar. Nya lagkrav i form av NIS2 tydliggör ledningsansvaret, men många organisationer saknar fortfarande metoder för att identifiera och hantera sina mest kritiska digitala beroenden. Där befann sig Helsingborgs stad 2023.  

– Vi fick ett skarpt uppdrag från politiken med öronmärkta pengar för att ta frågan om digital resiliens på riktigt stort allvar. Då gick vi också in i en ambitionsdiskussion, där vi kom fram till att det här inte bara är viktigt för oss, utan också är en fråga som berör många andra. Vi vill bidra till metodisk utveckling, inte bara i Helsingborg utan hela kommunsverige, säger Carina Leffler, stadsdirektör och koncern-vd i Helsingborgs stad.  

Att frågan om digitala beroenden blivit högaktuell och brännande beror till stor del på den geopolitiska situationen, där cyberattacker används som verktyg för krigföring. Det finns flera exempel på när svenska kommuner varit måltavlor för attacker som har lamslagit verksamheter och äventyrat integriteten. 

– Alla svenskar bor i en kommun, våra barn går i kommunala skolor och kanske har vi äldre släktingar som bor på kommunens äldreboenden. Därför kommer kommunens digitala sårbarheter väldigt nära oss personligen. Brist på digital motståndskraft och kontinuitetshantering blir kännbar i hela samhället, säger Melinda From, transformationsledare på RISE.  

NIS2 ställer krav på kommunledning – tre av fyra kommuner får underkänt 

Rapporter från MCF, Myndigheten för civilt försvar, ger en bild av hur det ser ut i kommunerna med regelefterlevnaden av NIS2, EU:s cybersäkerhetslagstiftning som förflyttar ägandeskapet för IT-frågor till ledningsgrupper. Från och med januari 2026 är det ledningsgruppens yttersta ansvar att en IT-miljö är robust och säker. Rapporten visar att tre av fyra kommuner inte når upp till grundnivån av cybersäkerhet som ställs inom NIS2. På myndighetssidan och hos regionerna ser det inte mycket bättre ut, berättar Melinda From.  

– Vi har med andra ord en resa framför oss för att bygga digital motståndskraft i Sverige. Det som krävs nu, och som vi har gjort tillsammans med Helsingborgs stad, är att titta på digitala beroenden som lika mycket en organisatorisk och kulturell fråga som en teknisk fråga, säger Melinda From.  

Digital kontinuitet underlättar innovation 

Redan innan Helsingborgs stad krokade arm med RISE för att stärka sin digitala resiliens och det så kallade kontinuitetsarbetet (se faktaruta), hade det gjorts en revision i staden som visade på flera sårbarheter kopplat till styrningen av digitaliserings- och it-miljön.   

– Helsingborg är inte ensamma om att ha sprungit så fort i digitaliseringen att det har blivit ett sammelsurium av allting. Ska vi behålla innovationskraften som finns i vår stad står inte detta i motsats till att ha ordning och reda i den digitala miljön. Tvärtom. Kan vi lita på den digitala miljön kan vi också ta nästa kliv, bland annat inom AI där vi hittills har gjort enstaka bra saker, säger digitaliseringsdirektör Maria Stellinger Ernblad.  

Kartläggning av beroenden gav konkret ”att göra”-lista 

Helsingborgs stad hade redan ett etablerat samarbete med RISE genom kommunpartnerskapet LOFT, Leda och organisera förnyelse och transformation. Nu påbörjades ett gemensamt arbete för att ta fram modeller och arbetssätt för kontinuitetshantering och kartläggning av digitala beroenden. Målet? Att skapa något som kan användas brett i Sveriges offentliga sektor.   

– Att jobba med RISE är inte som att jobba med vilket forskningsinstitut som helst, utan de kavlar verkligen upp ärmarna. Carl Heath (senior forskare inom digital resiliens på RISE, reds.anm) och flera andra från RISE har kommit till oss en heldag varje månad för att jobba tillsammans med vår digitaliseringsavdelning och trygghets- och säkerhetsavdelning. Vi har kunnat teama ihop oss och iterera längs vägen på ett väldigt konkret sätt, berättar Maria Stellinger Ernblad.  

Det första steget var att identifiera vilka verksamheter som är mest kritiska för kommunen och vilka digitala system dessa är beroende av. Därefter analyserades vilka leverantörer, nätverk och molntjänster som systemen vilar på, samt vilka konsekvenser ett avbrott skulle få. RISE har gjort djupintervjuer med förvaltningsdirektörer, IT-personal ute i verksamheterna och andra medarbetare för att teckna nulägesbilden. 

– Tillsammans med RISE har vi tagit fram en handlingsplan med 48 prioriterade punkter som Helsingborgs stad kommer att jobba aktivt med framåt, berättar Carina Leffler.  

Så kan den digitala beredskapen testas 

Det har även genomförts workshops, där medarbetare från stadens förvaltningar och kommunala bolag har fått öva på olika scenarion. Till exempel: vad händer i kommunen om amerikanska molntjänster skulle slås ut? Workshopformen, som RISE valt att kalla Skuggspel, och det tillhörande övningsmaterialet kommer göras tillgängligt för nedladdning. 

– Både vi och Helsingborgs stad tycker att det här är så pass viktigt att vi behöver dela det här materialet med hela Sverige. Tanken är att man ska kunna genomföra sitt eget Skuggspel, men RISE finns förstås alltid om man behöver hjälp med att komma i gång eller facilitera. Vi vill verkligen att kommunerna ska ta på sig ledartröjan kring sin digitala infrastruktur igen, och det här är ett sätt, säger Melinda From och fortsätter:  

– De senaste decennierna har många kommuner outsourcat sin IT, och det har lett till en snabb och stor digitaliseringsutveckling. Men det har också satt kommunerna i baksätet och gjort dem till sämre beställare av digitala tjänster. Att ta på sig ledartröjan igen handlar bland annat om att förstå vilka krav man som kommun behöver ställa på sina systemleverantörer och vilka möjligheter som finns för att ersätta ett system om det befintliga skulle slås ut.  

Kräver mod – men belöningen är stor 

På frågan om vad som har krävts av Helsingborgs stad under det här arbetet använder både Maria Stellinger Ernblad och Carina Leffler ordet mod. Det har varit obekvämt att syna sina svagheter under lupp. Men nu har man tagit kliv i sin kontinuitetshantering som inte bara kommer gynna staden utan förhoppningsvis också resten av Sveriges offentliga sektor.  

Melinda From trycker på att det kostar mycket för en kommun att få sina digitala system utslagna. Inte bara ekonomiskt, utan också i form av mänskligt lidande. Att jobba förebyggande och ständigt utvärdera sitt arbete är en väl värd investering, menar hon.  

– En backup-plan som inte testats är nästan lika värdelös som ett obefintligt kontinuitetsarbete, för den ger en falsk trygghet om kontroll. Modellen som vi har tagit fram tillsammans med Helsingborg bygger på att testa sin digitala resiliens i ett kontrollerat workshopformat, och det tror vi är viktigt. Kunskap sitter inte bara i en plan, utan också i huvudet på människorna som ska använda den. Utan att ha testat planen går det inte att veta om den fungerar när den verkligen behövs, säger Melinda From.  

Trots ökad medvetenhet om cyberhot saknar många organisationer fortfarande ett systematiskt cybersäkerhetsarbete. Förbättringstakten har dessutom stagnerat på flera områden, enligt Cybersäkerhetskollen, som är Myndigheten för civilt försvars verktyg för att mäta cybersäkerhetsmognad i svenska organisationer.  

Kraven på systematisk riskhantering ökar 

Samtidigt innebär cybersäkerhetslagen, Sveriges genomförande av EU:s NIS2-direktiv, att kraven ökar på både offentliga och privata verksamheter. Organisationer som omfattas måste bland annat arbeta systematiskt med riskhantering, rapportera allvarliga incidenter och hantera cybersäkerhetsrisker i leverantörskedjan. 

Men lagstiftning bygger inte förmåga. 

– Många upplever att området är så stort och överväldigande att det är svårt att veta var man ens ska börja, säger Johanna Parikka Altenstedt, tillförordnad enhetschef, Digital säkerhet på RISE. 

Hon jämför situationen med var hållbarhetsarbetet befann sig för 15–20 år sedan. 
– Sedan dess har hållbarhet  gått från total omognad till att alla idag har ledningssystem och full koll. 
Samma resa ska nu cybersäkerheten göra. 
– Men vi har inte så lång tid på oss att skydda våra mest värdefulla tillgångar mot cyberattacker, säger Johanna Parikka Altenstedt. 

Det finns också lärdomar att ta med sig från hållbarhetsomställningen. 

– Där lärde man sig ju så småningom att man måste börja med någonting. Man måste prioritera och bestämma sig, säger Johanna Parikka Altenstedt. 

“Cybersäkerhet måste in i verksamhetsstrukturen” 

Att Sverige var relativt sent med att genomföra NIS2-direktivet kan vara en orsak till att förbättringstakten stagnerat. Många organisationer valde att inte påbörja arbetet förrän lagen var på plats. 

– Vi har också varit dåliga på att se hur andra länder har gjort. Vi behöver inte uppfinna hjulet. Danmark har till exempel tagit fram en checklista till kommuner om vad de behöver göra och tänka på. Här ska varje kommun själv lära sig lagen. Det tar tid, säger Johanna Parikka Altenstedt. 

Cybersäkerhetsarbete har i många fall varit något som görs vid sidan av den ordinarie verksamheten och behandlas inte som den affärskritiska fråga det är. 

– Det är inte strukturellt, helt enkelt. Cybersäkerhet måste in i verksamhetsstrukturen, det måste in i ledningsgrupper och styrelser, säger Johanna Parikka Altenstedt. 

– Man behöver arbeta med andra frågor än bara IT. Det kan handla om fysisk säkerhet, personalfrågor, behörigheter, nyckelhantering och skydd mot insiderhot. Cybersäkerhet handlar om hela verksamheten. 

Det handlar i grunden om att vara proaktiv snarare än reaktiv. 

– Punktinsatser behövs förstås om man upptäcker en allvarlig brist som man behöver täppa igen. Men man kan inte göra ett lapptäcke, det behövs kontinuitet och systematiskt arbete. Det lönar sig i längden, säger Johanna Parikka Altenstedt. 

Utmaning att omsätta lagens krav i praktiskt och långsiktigt cybersäkerhetsarbete 

För många organisationer är utmaningen inte att förstå kraven, utan att omsätta dem i praktiskt och långsiktigt cybersäkerhetsarbete. 

RISE kan som oberoende aktör hjälpa både offentliga och privata verksamheter med cybersäkerhet utifrån de behov som finns. 

– Cybersäkerhet är fortfarande ett odefinierat verksamhetsområde i många organisationer. Därför sitter vi tillsammans med kunden och analyserar och gör en sårbarhetsanalys. Därifrån kan vi hjälpa med de saker som kommit upp, och där kan RISE vara med hela vägen, säger Johanna Parikka Altenstedt. 

Som forskningsinstitut har RISE kompetens inom teknik, AI, juridik, management och omvärldsanalys. Just AI innebär både risker och möjligheter – tekniken öppnar nya attackytor, men kan också användas för att upptäcka hot, analysera stora datamängder och stärka det digitala försvaret. 

– Vi har också certifieringskompetens och kan utbilda. Sedan har vi teknikinfrastrukturen Cyber Range, där vi kan göra avancerade övningar. Vi kan jobba tillsammans med våra kunders IT-avdelningar, bygga en klon av deras system och visa vad som händer när de attackeras – så får de lista ut vad de ska göra, säger Johanna Parikka Altenstedt. 

Enligt henne är det lätt att fastna i teknik, lagkrav och säkerhetsåtgärder. Men cybersäkerhet handlar ytterst om att skapa verksamheter som både är motståndskraftiga och utvecklingsbara. 

– Om man drar det till sin spets hade det säkraste varit att inte driva någon verksamhet alls. Men det är så klart inte syftet. Syftet är att vi ska kunna driva verksamheter, producera saker och få samhället att fungera – samtidigt som vi är tillräckligt skyddade.