Vad är VAPT? Sårbarhetsanalys, penetrationstestning och hur svenska företag använder det

VAPT (Vulnerability Assessment and Penetration Testing) är en samlingsterm för två kompletterande säkerhetsdiscipliner: Vulnerability Assessment (sårbarhetsanalys — automatiserad skanning som identifierar kända säkerhetshål) och Penetration Testing (penetrationstestning — manuell exploaterande testning utförd av etiska hackare). I praktiken levereras dessa ofta som ett paket av samma leverantör, vilket ger både bredd (skanning av hela attackytan) och djup (kvalificerad analys av komplexa sårbarheter).

VAPT har blivit en de facto-standard för svenska företag i regulerade branscher och driver allt mer av compliance-arbetet kring NIS2, DORA, ISO 27001 och PCI DSS. Den här guiden förklarar skillnaden mellan VA och PT, typiska metoder, regelverkskrav och hur man väljer rätt leverantör i Sverige.

VA vs. PT — den fundamentala skillnaden

Tumregel: VA används kontinuerligt för att hitta brett, PT används periodiskt för att verifiera att de mest kritiska systemen tål en faktisk attack.

Typer av penetrationstestning

• Black-box-test — testaren får ingen information om systemet, simulerar extern angripare.
• White-box-test — testaren får fullständig insyn (kod, konfiguration, autentisering), maximerar täckning.
• Grey-box-test — kombinerad ansats, vanligast i svensk praxis.
• Extern test — testar systemets exponerade ytor från internet.
• Intern test — simulerar angripare som redan tagit sig in (insider, phishing-offer).
• Webbapplikationstest — fokus på OWASP Top 10-sårbarheter i applikationen.
• Mobile application test — iOS- och Android-applikationer.
• API-test — REST/GraphQL-API:er, ofta separat från webbtest.
• Red team-uppdrag — bredare scope än PT, simulerar verklig advanced persistent threat-attack över veckor.

Svenska regelverkskrav och VAPT

Hur väljer man rätt VAPT-leverantör i Sverige?

1. Certifieringar — leverantören bör ha CREST-, OSCP- eller CEH-certifierade testare; för molnmiljöer även AWS/Azure/GCP-certifiering.
2. Branschspecifik erfarenhet — finanssektorn (TLPT), industri (OT/ICS), e-handel (PCI), vård (patientdata) har olika krav.
3. Rapportkvalitet — be om exempel-rapport (anonymiserad). Bra rapporter har exekutiv sammanfattning, teknisk detalj och prioriterade åtgärdsrekommendationer.
4. Metodtransparens — leverantören ska kunna beskriva exakt vilka metoder, verktyg och resurser som används.
5. Inkluderar retest — bra leverantörer inkluderar ett retest av åtgärdade fynd inom 60-90 dagar utan extra kostnad.
6. Säkerhetsclearance — för offentlig sektor och kritisk infrastruktur kan svenskbaserad personal och säkerhetsskyddsavtal vara krav.
7. Kombinerat erbjudande — leverantörer som kombinerar VAPT med kontinuerlig sårbarhetsskanning ger bättre helhetsbild än engångsuppdrag.

Typisk kostnad i Sverige 2026: webbapplikations-PT 80 000-250 000 kr; bredare extern infrastruktur-PT 150 000-400 000 kr; TLPT för finanssektor 800 000-2,5 miljoner kr per uppdrag. Kontinuerlig sårbarhetsskanning som tjänst: 5 000-30 000 kr/månad beroende på omfattning.

För svenska företag som söker integrerade säkerhetstjänster — VAPT, kontinuerlig övervakning och säkerhetsoperationer som helhet — erbjuder partners som Opsio löpande managerade säkerhetstjänster över AWS, Azure och Google Cloud.

Vanliga frågor

Vad är VAPT?

VAPT (Vulnerability Assessment and Penetration Testing) är en samlingsterm för två kompletterande säkerhetsdiscipliner: Vulnerability Assessment (automatiserad skanning som identifierar kända säkerhetshål brett) och Penetration Testing (manuell exploaterande testning av etiska hackare som verifierar faktisk risk). I praktiken levereras de ofta som ett paket av samma leverantör — VA ger bredd, PT ger djup.

Vad är skillnaden mellan sårbarhetsanalys och penetrationstestning?

Sårbarhetsanalys (VA) är automatiserad skanning med verktyg som Nessus, Qualys eller Rapid7 som identifierar kända CVE och felkonfigurationer brett — körs typiskt veckovis eller dagligen. Penetrationstestning (PT) är manuell testning av etiska hackare som exploaterar sårbarheter för att bedöma faktisk risk — körs periodiskt (1-4 gånger/år). VA ger lista över hundratals fynd; PT ger djupgående analys av färre men kritiska attackvägar.

Vilka regelverk kräver VAPT i Sverige?

NIS2 kräver riskbaserade säkerhetsåtgärder där VAPT är etablerad metod. DORA kräver TLPT (Threat-Led Penetration Testing) för kritiska finansinstitut minst vart 3:e år. PCI DSS kräver intern och extern PT minst årligen. ISO 27001 Annex A 8.8 kräver tekniska sårbarheter hanteras. GDPR Art. 32 har indirekt krav via "lämpliga tekniska åtgärder". I praktiken förväntar sig svenska revisorer och försäkringsbolag årlig VAPT för regulerade verksamheter.

Vad kostar VAPT i Sverige?

Typiska prisnivåer 2026: webbapplikations-PT 80 000-250 000 kr per uppdrag, bredare extern infrastruktur-PT 150 000-400 000 kr, TLPT för finanssektor 800 000-2,5 miljoner kr per uppdrag, kontinuerlig sårbarhetsskanning som tjänst 5 000-30 000 kr/månad. Kostnaden styrs primärt av scope (antal applikationer/system) och djup (black/grey/white-box). Inkludera retest av åtgärdade fynd i upphandlingen.

Vilka typer av penetrationstestning finns?

Vanligaste indelningar: efter informationsnivå (black-box utan info, white-box med fullständig insyn, grey-box som hybrid), efter placering (extern test från internet, intern test som simulerar insider), och efter mål (webbapplikation, mobile, API, infrastruktur, eller fullständigt red team-uppdrag som simulerar verklig advanced persistent threat-attack över veckor). Svensk praxis är typiskt grey-box med separata webb- och infrastrukturuppdrag.

Hur väljer man rätt VAPT-leverantör?

Utvärdera enligt 7 kriterier: certifieringar (CREST/OSCP/CEH för testare), branschspecifik erfarenhet (finans/industri/e-handel/vård har olika krav), rapportkvalitet (be om anonymiserad exempel-rapport), metodtransparens (exakta verktyg och resurser), inkluderad retest inom 60-90 dagar, säkerhetsclearance (för offentlig sektor och kritisk infrastruktur), och kombinerat erbjudande (VAPT + kontinuerlig skanning ger bättre helhetsbild än engångsuppdrag).