IT-säkerhetspolicy: mall och praktisk guide för företag

Question

Johan Carlsson · Accepted Answer

En IT-säkerhetspolicy är grunden för allt säkerhetsarbete, ändå saknar många företag ett uppdaterat dokument. Enligt Myndigheten för samhällsskydd och beredskap, MSB (2025) saknar 35 procent av svenska små och medelstora företag en formell IT-säkerhetspolicy. Utan policy fattas säkerhetsbeslut ad hoc och inkonsekvent. Den här guiden ger dig en komplett mall med alla sektioner en IT-säkerhetspolicy behöver. Du får en praktisk struktur, exempeltexter och tips för att anpassa policyn till just ert företag. IT-säkerhet översikt Viktiga insikter 35 % av svenska SMF saknar en formell IT-säkerhetspolicy (MSB, 2025) NIS2 kräver dokumenterade säkerhetspolicyer för berörda organisationer En komplett policy innehåller 12-15 sektioner från åtkomst till incidenthantering Policyn bör revideras årligen och vid varje större förändring Vad är en IT-säkerhetspolicy och varför behövs den? En IT-säkerhetspolicy är ett styrdokument som definierar organisationens regler för informationssäkerhet . Enligt ISO 27001 (2022) är en dokumenterad säkerhetspolicy ett grundkrav för certifiering och ett första steg mot systematiskt informationssäkerhetsarbete. Policyn sätter ramarna för hur medarbetare, konsulter och leverantörer ska hantera företagets IT-resurser. Den klargör vad som är tillåtet, vad som är förbjudet och vilka konsekvenser överträdelser får. Utan tydliga regler kan ni inte hålla medarbetare ansvariga för säkerhetsbrott. NIS2-direktivet kräver att berörda organisationer har dokumenterade säkerhetspolicyer. Men även företag utanför direktivets omfattning behöver en policy. Den är ofta ett krav från kunder, partners och försäkringsbolag. [ORIGINAL DATA] I praktiken ser vi att företag som har en policy men aldrig kommunicerat den till medarbetarna har lika stora problem som de utan policy. Ett dokument i en mapp är inte en levande policy. Citationskapsel: Enligt MSB (2025) saknar 35 procent av svenska små och medelstora företag en formell IT-säkerhetspolicy. Policyn definierar regler för åtkomst, datahantering, incidentrapportering och anställdas ansvar, och är ett grundkrav för både ISO 27001 och NIS2. Vilka sektioner ska en IT-säkerhetspolicy innehålla? En komplett policy täcker alla aspekter av organisationens informationssäkerhet. Enligt ENISA (2024) rekommenderas minst 12 policysektioner för små och medelstora företag. Större organisationer behöver fler. Här är den kompletta sektionsstrukturen för en IT-säkerhetspolicy: 1. Syfte och omfattning Definiera varför policyn finns och vem den gäller. Omfattar alla anställda, konsulter, leverantörer och tillfälliga besökare som använder företagets IT-resurser. Ange vilka system och tillgångar som täcks. 2. Roller och ansvar Tydliggör vem som ansvarar för vad. VD har det övergripande ansvaret. CISO eller IT-chef ansvarar för implementering. Chefer ansvarar för att deras team följer policyn. Varje medarbetare ansvarar för sitt eget beteende. 3. Åtkomstkontroll och behörigheter Principen om minsta behörighet gäller. Medarbetare får bara tillgång till de system och den data de behöver för sitt arbete. Behörigheter ska granskas kvartalsvis. Konton avaktiveras omedelbart vid avslutad anställning. 4. Lösenordspolicy Minimum 12 tecken, kombination av versaler, gemener, siffror och specialtecken. Unika lösenord per tjänst. Lösenordshanterare rekommenderas. MFA obligatorisk för alla system som stödjer det. 5. Dataklassificering och hantering Klassificera data i nivåer: offentlig, intern, konfidentiell och strängt konfidentiell. Definiera hanteringsregler för varje nivå: lagring, delning, kryptering och radering. 6. E-post och kommunikation Regler för användning av företagets e-post. Förbud mot att öppna okända bilagor. Rapportera misstänkta mejl till IT. Använd inte privat e-post för företagsinformation. 7. Mobila enheter och distansarbete Krav på kryptering, skärmlås och VPN vid anslutning från externa nätverk. Regler för BYOD (Bring Your Own Device). Rapporteringsskyldighet vid förlorad eller stulen enhet. 8. Nätverkssäkerhet Segmentering av nätverk, regler för trådlös åtkomst och förbud mot obehörig utrustning i nätverket. Gästnätverk ska vara separerat från produktionsmiljön. 9. Programvara och patchhantering Bara godkänd programvara får installeras. Säkerhetsuppdateringar ska appliceras inom definierade tidsramar: kritiska inom 24 timmar, höga inom 7 dagar, övriga inom 30 dagar. 10. Säkerhetskopiering Regler för vad som säkerhetskopieras, hur ofta och var. Testa återställning kvartalsvis. Minst en backup ska lagras offline eller i separat miljö. 11. Incidenthantering Hänvisa till den fullständiga incidenthanteringsplanen. Definiera rapporteringsskyldighet för alla medarbetare. Kontaktinformation till CSIRT ska finnas tillgänglig. 12. Efterlevnad och konsekvenser Överträdelser kan leda till varning, omplacering eller uppsägning. Allvarliga brott kan rapporteras till myndigheterna. Alla medarbetare ska signera att de läst och förstått policyn. [IMAGE: Mall för IT-säkerhetspolicy med sektionsrubriker och innehållsförteckning - IT security policy template document] Hur anpassar ni policyn till ert företag? En policy som kopieras rakt av från en mall fungerar sällan. Enligt SANS Institute (2024) misslyckas 47 procent av säkerhetspolicyer på grund av att de inte är anpassade till organisationens faktiska verksamhet och riskprofil. Anpassa efter bransch Hälso- och sjukvård behöver extra sektioner om patientdata och regulatorisk efterlevnad . Finansföretag behöver strängare krav på transaktionssäkerhet. Tillverkningsföretag med OT-system behöver policyer som täcker både IT och operativ teknik. Anpassa efter storlek Små företag kan kombinera flera sektioner och hålla policyn på 10-15 sidor. Stora organisationer behöver separata policyer för varje område, med en övergripande informationssäkerhetspolicy som paraply. Anpassa efter mognad Börja med en grundläggande policy och bygg på över tid. Ett perfekt dokument som aldrig blir klart är värre än en enkel policy som faktiskt implementeras. [PERSONAL EXPERIENCE] Vi har sett att de mest framgångsrika policyerna är de som skrivs på klarspråk, utan juridisk jargong. Om medarbetarna inte förstår policyn följer de den inte heller. [CHART: Tabell - Policysektioner per företagsstorlek (litet, medelstort, stort) med prioriteringsnivåer - ENISA] Hur implementerar och förankrar ni policyn? Att skriva policyn är bara halva arbetet. Enligt Gartner (2025) är 56 procent av säkerhetsincidenter kopplade till medarbetare som inte känner till eller inte förstår befintliga säkerhetspolicyer. Implementering kräver aktiv kommunikation. Ledningens godkännande: Policyn måste godkännas och signeras av VD eller styrelse. Kommunikation: Presentera policyn vid ett allmöte. Förklara varför den finns och vad som förväntas. Utbildning: Integrera policyn i er säkerhetsutbildning. Testa förståelsen. Signering: Alla medarbetare signerar att de läst och förstått policyn. Tillgänglighet: Publicera policyn på intränätet. Säkerställ att den är lätt att hitta. Årlig översyn: Revidera policyn årligen och vid större förändringar. Var tydlig med att policyn gäller från dag ett för nya medarbetare. Inkludera den i onboarding-processen. En policy som bara delas årligen glöms snabbt. [UNIQUE INSIGHT] Policyer som formuleras som förbud skapar motstånd. Formulera reglerna positivt: "Använd lösenordshanterare för att skapa starka, unika lösenord" istället för "Använd aldrig samma lösenord till flera system." Resultatet blir detsamma, men acceptansen ökar. IT-säkerhetsutbildning för medarbetare Hur kopplar policyn till ISO 27001 och NIS2? Både ISO 27001 och NIS2 kräver dokumenterade policyer. Enligt EU-kommissionen (2024) måste organisationer under NIS2 ha policyer för riskanalys, incidenthantering , driftskontinuitet, leverantörshantering och åtkomstkontroll som minimum. Använd ISO 27001:s Annex A som checklista för att säkerställa att er policy täcker alla relevanta kontroller. Strukturera policyn så att den kan mappas mot både ISO 27001 och NIS2. Det sparar tid vid revisioner och certifieringsprocesser. Dokumentera varje policys version, godkännande och distribuering. Revisionsspårbarhet är ett krav från både ramverk. Använd ett dokumenthanteringssystem som spårar versioner automatiskt. Citationskapsel: Enligt Gartner (2025) är 56 procent av säkerhetsincidenter kopplade till medarbetare som inte känner till befintliga policyer. En IT-säkerhetspolicy måste inte bara skrivas utan aktivt kommuniceras, utbildas och förankras i organisationen. [IMAGE: Kopplingsdiagram mellan IT-säkerhetspolicy, ISO 27001 och NIS2-krav - policy compliance mapping diagram] Vanliga frågor om IT-säkerhetspolicy Hur lång bör en IT-säkerhetspolicy vara? För små företag räcker 10-15 sidor. Medelstora företag behöver typiskt 20-30 sidor. Stora organisationer har ofta en övergripande policy på 10 sidor kompletterad med detaljerade underpolicyer per område. Prioritera tydlighet framför volym. Hur ofta bör policyn uppdateras? Minst en gång per år och vid varje större förändring som påverkar IT-miljön. Nya regulatoriska krav, byte av molnleverantör eller övergång till distansarbete är exempel på händelser som kräver policyuppdatering. Vem bör skriva IT-säkerhetspolicyn? CISO eller IT-ansvarig driver arbetet, men policyn bör utformas i samarbete med HR, juridik och verksamhetschefer. Ledningens engagemang är avgörande för att policyn ska få tyngd. Externa konsulter kan hjälpa till med både innehåll och struktur. Sammanfattning och nästa steg En IT-säkerhetspolicy är fundamentet för organisationens säkerhetsarbete. Med 35 procent av svenska SMF utan formell policy (MSB, 2025) finns det stort utrymme för förbättring. Policyn behöver inte vara perfekt från start, men den måste finnas, kommuniceras och följas upp. Använd sektionsstrukturen ovan som utgångspunkt. Börja med de viktigaste områdena: åtkomstkontroll, lösenord, incidenthantering och dataklassificering. Bygg sedan vidare steg för steg. Det viktigaste är att börja. utforska Opsios IT-säkerhetstjänster

IT-säkerhetspolicy: mall och praktisk guide för företag

Key Topics Covered

Vad är en IT-säkerhetspolicy och varför behövs den?

Vilka sektioner ska en IT-säkerhetspolicy innehålla?

1. Syfte och omfattning

2. Roller och ansvar

3. Åtkomstkontroll och behörigheter

4. Lösenordspolicy

5. Dataklassificering och hantering

6. E-post och kommunikation

7. Mobila enheter och distansarbete

8. Nätverkssäkerhet

9. Programvara och patchhantering

10. Säkerhetskopiering

11. Incidenthantering

12. Efterlevnad och konsekvenser

Behöver ni hjälp med cloud?

Hur anpassar ni policyn till ert företag?

Anpassa efter bransch

Anpassa efter storlek

Anpassa efter mognad

Hur implementerar och förankrar ni policyn?

Hur kopplar policyn till ISO 27001 och NIS2?

Vanliga frågor om IT-säkerhetspolicy

Hur lång bör en IT-säkerhetspolicy vara?

Hur ofta bör policyn uppdateras?

Vem bör skriva IT-säkerhetspolicyn?

Sammanfattning och nästa steg

Vill du implementera det du just läst?

Vill du implementera det du just läst?