IT-säkerhet för kommuner och offentlig sektor: krav och best practice

Hur bygger man systematiskt informationssäkerhetsarbete i en kommun?

MSB rekommenderar att kommuner använder ramverket för systematiskt informationssäkerhetsarbete (LIS). Enligt MSB, 2025, har kommuner som infört LIS baserat på ISO 27001 i genomsnitt 35 procent kortare återhämtningstid efter incidenter. Det handlar om struktur, inte bara teknik.

Börja med att förankra arbetet hos kommunledningen. Utan politisk föraståelse och budget fastnar säkerhetsarbetet på IT-avdelningen. En informationssäkerhetspolicy antagen av kommunfullmäktige ger rätt förutsättningar.

Steg för steg: LIS i kommunal verksamhet

1. Omvärldsanalys och gap-analys: Kartlägg nuvarande säkerhetsställning mot ISO 27001 och NIS2.
2. Riskanalys per förvaltning: Identifiera vilka informationstillgångar som är mest känsliga.
3. Informationsklassning: Bestäm skyddsnivå för varje typ av information.
4. Åtgärdsplan: Prioritera insatser baserat på risk och kostnad.
5. Uppföljning: Granska och förbättra kontinuerligt.

[ORIGINAL DATA] Kommuner som börjar med informationsklassning upptacker ofta att socialtjänstens data har högst skyddsbehov, följt av elevhälsa och ekonomisk information. Denna insikt hjälper till att rikta begränsade resurser rätt från start.

[INTERNAL-LINK: ISO 27001 och IT-säkerhet → artikel om ISO 27001]

Vilka är de vanligaste attackerna mot kommuner?

Ransomware och phishing dominerar hotbilden mot offentlig sektor. Enligt ENISA Threat Landscape, 2024, stod ransomware för 34 procent av alla rapporterade cyberangrepp mot europeisk offentlig förvaltning. Phishing var den vanligaste initiala attackvektorn i 76 procent av fallen.

Ransomware-attacker krypterar data och ställer krav på lösen. För kommuner innebär det att invånare inte kan ansöka om bygglov, socialtjänsten tappar tillgång till ärenden och äldreomsorgen kan få svårt att administrera insatser. Konsekvenserna blir snabbt allvarliga.

Konkreta exempel från svenska kommuner

Attacken mot Kalix kommun 2021 slog ut samtliga digitala system i veckor. Borgholms kommun drabbades av ett intrång som exponerade personuppgifter. Dessa fall visar att det inte handlar om om en kommun drabbas, utan när. Har ni en plan för den dagen?

[PERSONAL EXPERIENCE] Vi har sett att kommuner som testar sin beredskap genom table-top-övningar med förvaltningschefer och IT reagerar betydligt snabbare vid riktiga incidenter. Att samla rätt personer i rummet innan krisen är helt avgörande.

[CHART: Cirkeldiagram - Fördelning av cyberattacker mot europeisk offentlig förvaltning 2024 - Källa: ENISA 2024]

Hur skyddar man medborgares personuppgifter i kommunala system?

Personuppgiftsskydd i kommunal verksamhet kräver både tekniska och organisatoriska åtgärder. Enligt IMY, 2025, var offentlig sektor den mest granskade sektorn under 2024, med 23 tillsynsärenden inledda mot kommuner och regioner. Böter och tillrättavisanden ökar stadigt.

Kommuner behöver ett dataskyddsombud som arbetar oberoende av IT-avdelningen. Regelbundna konsekvensbedmoningar (DPIA) ska göras för system som hanterar känsliga personuppgifter, exempelvis inom socialtjänst och elevhälsa.

Tekniska åtgärder för dataskydd

Kryptera data både vid lagring och överföring. Använd behörighetsstyrning så att varje medarbetare bara ser den information de behöver för sitt arbete. Logga alla åtkomster till känsliga register och granska loggarna regelbundet. Dessa åtgärder är inte bara god praxis utan rena lagkrav.

[UNIQUE INSIGHT] En ofta förbisedd risk i kommuner är skugg-IT. Förvaltningar köper egna molntjänster utan IT-avdelningens kännedom. När socialtjänsten använder ett okontrollerat samarbetsverktyg kan känsliga personuppgifter hamna utanför kommunens kontroll. En tjänstekatalog med godkända verktyg minskar denna risk avsevärt.

Hur kommer din kommun igång med förbättrad IT-säkerhet?

Det viktigaste steget är att börja, även om resurserna är begränsade. Enligt SKR, 2025, erbjuder organisationen gemensamma ramavtal och stöd som minskar kostnaden för enskilda kommuner. Samverkan med grannkommuner är ett annat sätt att dela på kompetens och kostnader.

Tre saker ni kan göra redan nästa vecka: genomför en workshop om phishing-medvetenhet för alla medarbetare, verifiera att backup-rutinerna fungerar genom en återställningstest och se över vilka system som saknar multifaktorautentisering.

För en djupare genomgång av säkerhetsstrategier, läs vår guide om IT-säkerhet för företag och organisationer. Principerna gäller även för offentlig sektor.

Citatkapseln: Svenska kommuner rapporterade 47 procent fler IT-säkerhetsincidenter under 2024, enligt MSB. Systematiskt informationssäkerhetsarbete baserat på ISO 27001 minskar återhämtningstiden med 35 procent och är en förutsättning för att uppfylla NIS2-kraven.

Vanliga frågor om IT-säkerhet för kommuner

Omfattas alla kommuner av NIS2-direktivet?

Kommuner som tillhandahåller samhällsviktiga tjänster omfattas av NIS2. I praktiken berör det de flesta svenska kommuner eftersom de ansvarar för vattenförsörjning, räddningstjänst och andra kritiska funktioner. Den exakta omfattningen klargörs när svensk lag träder i kraft.

Hur mycket bör en kommun lägga på IT-säkerhet?

SKR rekommenderar att kommuner avsetter minst 5 till 8 procent av sin totala IT-budget för säkerhet. För en medelstor kommun med 150 miljoner i IT-budget innebär det 7,5 till 12 miljoner kronor årligen. Beloppet inkluderar både teknik, personal och utbildning.

Kan små kommuner samarbeta kring IT-säkerhet?

Absolut, och det rekommenderas starkt. Kommunalförbund och gemensamma IT-nämnder gör det möjligt att dela på säkerhetsexpertis, SOC-tjänster och incidentövningar. Flera län har redan etablerat regionala samarbeten för cybersecurity som små kommuner kan ansluta till.