Områden /Informationssäkerhet
Storkunden vill se er informationssäkerhetspolicy innan avtalet skrivs.
Den finns. Den är från 2023 och nämner inte molntjänsten ni bytte till.
-
Informationssäkerhetspolicy
Dataskyddsförordningen artikel 32
-
Rutin för åtkomst och behörighet
Dataskyddsförordningen artikel 32
-
Krav på leverantörer
Kundkrav samt dataskyddsförordningen artikel 28.3
-
Underlag för säkerhetsenkäter
Kundkrav
I klartext: det finns ingen svensk lag som säger att ni ska ha en informationssäkerhetspolicy. Kravet kommer ändå, från två håll.
Dataskyddsförordningen kräver lämpliga tekniska och organisatoriska åtgärder för en säkerhetsnivå som passar risken. Det är ett krav på resultat, inte på ett visst dokument, men i praktiken behöver ni skriva ned hur ni gör.
Det andra hållet är kunderna. Deras enkäter går längre än lagen. De blir hårdare varje år, eftersom kraven vandrar nedåt i leverantörskedjan.
Känner ni igen någon av dem här?
- Vad svarar ni när nästa kund skickar en säkerhetsenkät?
- Var står det vem som ska ha tillgång till vad?
- Vilka krav ställer ni på era egna leverantörer?
Exempel på dokumenten ni får
| DOKUMENT | LAGRUM |
|---|---|
| Informationssäkerhetspolicy | Dataskyddsförordningen artikel 32 |
| Rutin för åtkomst och behörighet | Dataskyddsförordningen artikel 32 |
| Krav på leverantörer | Kundkrav samt dataskyddsförordningen artikel 28.3 |
| Underlag för säkerhetsenkäter | Kundkrav |
Har vi någon eskaleringsrutin vid en allvarlig incident hos en kund?
Ofta finns den bara i huvudet på några få personer. Skriv den innan den behövs, för när incidenten väl är där finns det ingen tid att komma överens.
Johan Gerebro, vd och medgrundare, svarar på den fråga vi får oftast. Cybersäkerhetslagen gäller arton utpekade sektorer. Ligger ni utanför omfattas ni inte, oavsett storlek. ISO 27001 är en frivillig certifiering, inget lagkrav.
Kravet kan ändå nå er. En kund som själv omfattas för kraven vidare i avtal. Då spelar det ingen roll att lagen inte pekar på er.
Kontrollerad mot dataskyddsförordningen artikel 32 · Uppdaterad 2026‑10‑10
Med Ordning
Ni vet var dokumenten finns, att de är rätt version när de skapas samt att de täcker behovet.
Med Kontroll
Ni vet att det håller ihop varje dag. Ändras AI-policyn ser ni vad det betyder för IT-säkerhetspolicyn.