AI, NIS2 & nya risker

Från dokumentation till bevis

Den 1 oktober träder ytterligare svenska föreskrifter kopplade till cybersäkerhetslagen i kraft. De omfattar bland annat säkerhetsåtgärder, ledningens utbildning, säkerhetsrevisioner och sårbarhetsskanningar.

Men den stora förändringen handlar egentligen inte om ytterligare dokumentation. Den handlar om bevis.

Sveriges cybersäkerhetslag gäller sedan den 15 januari 2026 och föreskrifterna om incidentrapportering började gälla den 1 juli. Nu går svenska verksamheter in i en fas där de behöver kunna visa att säkerhetsarbetet fungerar i praktiken, inte bara beskriva hur det är tänkt att fungera, enligt NCSC:s tidsplan.

Under de senaste åren har stora delar av näringslivet fokuserat på att förstå regelverket. Omfattas vi? Vilka krav gäller? Hur ser rapporteringen ut?

Nu börjar nästa fas: Hur visar ni för kunder, styrelse, försäkringsbolag och tillsynsmyndigheter att risker identifieras, att beslut omsätts i kontroller och att kontrollerna fortsätter fungera över tid?

Även om de nya föreskrifterna inte omfattar alla verksamheter är utvecklingen tydlig. Att krav på styrning, riskhantering och säkerhetskontroller nu lagstadgas för samhällskritiska verksamheter visar vilken tyngd informationssäkerhet har i Sverige och EU.

Säkerhet toppar agendan, men komplexiteten växer

I Techbarometern 2026 uppger 74 procent att cybersäkerhet är ett av de viktigaste fokusområdena, samtidigt som 58 procent upplever att IT-budgeten inte räcker till och 82 procent har svårt att rekrytera rätt kompetens.

CIO Analytics 2026, med 1 478 IT-beslutsfattare från Norden och Baltikum, varav 459 i Sverige, pekar i samma riktning: säkerhet dominerar IT-ledarnas vardag samtidigt som resurser är en central utmaning.

Det märks också i dialogen med våra kunder. Frågorna handlar allt mindre om vilken säkerhetsprodukt man ska köpa och allt mer om hur man skapar kontroll över en sammanlänkad verksamhet.

Hur hanterar vi en incident som börjar hos en leverantör? Hur vet vi vilka externa tjänster som kan stoppa produktionen? Hur säkerställer vi att en AI-agent endast kommer åt rätt information?

Tre områden som kräver större kontroll

Incidentberedskap

Enligt CIO Analytics 2026 uppges endast 15 procent av svenska verksamheter regelbundet öva sina beredskapsplaner. Samtidigt omfattar cybersäkerhetslagen flera steg i rapporteringen av betydande incidenter.

En fungerande process behöver därför tydliggöra hur incidenter klassificeras, vem som leder arbetet, vem som fattar verksamhetsbeslut, vem som ansvarar för kommunikationen och hur relevanta underlag bevaras. Därefter behöver processen testas tillsammans med IT, ledning och verksamhet.

Leverantörskedjan

Den mest verksamhetskritiska delen av er IT-miljö kanske inte ägs av er. Den kan finnas hos en molnleverantör, en driftpartner eller en underleverantör som ni aldrig haft direktkontakt med.

ENISA:s analys lyfter hur digitala beroenden utökar attackytan och hur leveranskedjeangrepp fortsätter att orsaka omfattande incidenter.

Organisationer behöver därför riskklassa sina viktigaste leverantörer, ställa krav på incidentkommunikation och kontinuitet samt säkerställa revisionsrätt och en realistisk exitplan.

AI-agenter

AI går från att svara på frågor till att läsa data, använda verktyg, anropa API:er och genomföra uppgifter.

Enligt Microsofts Work Trend Index har antalet aktiva agenter i Microsoft 365-ekosystemet vuxit 15 gånger på ett år och 18 gånger i stora företag.

Samtidigt visar en studie från Cloud Security Alliance att färre än en fjärdedel av organisationerna har formella policyer för hur AI-identiteter skapas och avvecklas.

AI-styrning kan därför inte längre bara handla om godkända verktyg och känslig information. Organisationer behöver även inventera sina agenter, utse ansvariga ägare, begränsa behörigheter, logga handlingar och ta bort åtkomsten när agenten inte längre används.

Vad gör de mest mogna organisationerna just nu?

Vi ser ett tydligt mönster hos organisationer som ligger långt framme. De fokuserar mindre på avgränsade complianceprojekt och mer på förmågor som går att mäta, testa och förbättra.

Gemensamt för dem är att de:

• genomför säkerhetsgenomlysningar för att skapa en verifierbar nulägesbild
• inför mätbara säkerhetskontroller med tydligt ägarskap
• övar incidenthantering tillsammans med ledning, verksamhet och IT
• klassificerar vilka leverantörer som är kritiska och bygger in säkerhetskrav i avtalen
• testar återställning och kontinuitet, inte bara backupjobb
• inventerar och sätter upp processer kring AI-agenter och andra icke-mänskliga identiteter
• rapporterar cyberrisker och avvikelser regelbundet till ledningen.

Kort sagt bygger de en säkerhetsförmåga som fungerar i vardagen, vid granskning och när verksamheten utsätts för press.

Norteams perspektiv

NIS2, AI-agenter och leverantörsrisk är inte tre separata diskussioner. De är delar av samma förändring.

Verksamheter blir allt mer beroende av molntjänster, leverantörer och digitala ekosystem. Samtidigt får fler externa aktörer tillgång till data och system, medan kunder, styrelser och myndigheter förväntar sig tydligare kontroll.

Frågan är därför inte längre om ni har rätt dokumentation. Frågan är om ni vet vilka identiteter, leverantörer och tekniska beroenden ni har, vem som äger riskerna och om organisationen kan upptäcka, hantera och återhämta sig från en incident.

På Norteam hjälper vi verksamheter att bygga ett säkerhetsarbete som fungerar i vardagen och håller över tid. Det handlar om att identifiera och hantera risker, stärka verksamhetens motståndskraft och skapa förutsättningar för att möta både affärskrav och regulatoriska krav.

Vet ni inte om era kontroller håller i praktiken? Kontakta Norteam för en första genomgång av nuläge, prioriterade risker och nästa steg.