Författare
AE
Adrian Edgren är VD på ProjAlpha och ansvarar för bolagets strategi, regelefterlevnad och affärsutveckling. Han arbetar dagligen med svenska SMB-företag som ska möta NIS2, DORA och förändrade krav på leverantörsansvar — och översätter regulatoriska krav till konkreta drift- och säkerhetsbeslut. Adrian skriver om hur företag ska tänka kring inhouse vs extern IT-leverantör, hur IT-budget byggs upp för medelstora bolag, och hur compliance-arbetet kan göras till en strategisk fördel snarare än en kostnadspost.
Skriver om
- NIS2
- DORA
- Compliance för SMB
- Leverantörsansvar
- IT-strategi
- Riskhantering
- IT-budget och TCO
- Outsourcing av IT-drift
Roll och uppdrag
- VD, ProjAlpha
Artiklar av Adrian Edgren
- Vad innebär opererad IT?Opererad IT innebär att en extern leverantör tar helhetsansvar för drift, säkerhet och förvaltning av företagets IT-miljö. Det skiljer sig från traditionell IT-support genom ett kontinuerligt och proaktivt arbetssätt.
- Vad kostar en IT-leverantör?Vad en IT-leverantör kostar beror på vilken nivå av ansvar leverantören tar — från ren timdebitering till komplett opererad IT-drift med säkerhet och SOC ingående. Här går vi igenom de vanligaste prismodellerna, vad som driver kostnaden, vad som faktiskt ingår på olika nivåer och hur du jämför offerter rättvist.
- Vad kostar IT drift?Kostnaden för IT drift beror på företagets storlek, komplexitet och vilka tjänster som ingår. Här går vi igenom vad som påverkar priset och hur företag kan planera sin IT-budget.
- Opererad IT för medelstora företagOpererad IT är leveransmodellen där en extern partner tar fullt ansvar för drift, säkerhet och förvaltning av företagets IT-miljö – inte bara löser problem när de uppstår. För svenska medelstora företag (20–500 anställda) är detta ofta det enda ekonomiskt rimliga sättet att få samma säkerhetsnivå som stora bolag. Här går vi igenom vad opererad IT innebär konkret, hur den skiljer sig från traditionell IT-support och hur en SMB kommer igång.
- Inhouse IT eller extern leverantör?Beslutet att bygga IT internt eller köpa det som tjänst är en av de viktigaste strategiska valen för en SMB. Båda modellerna har sina styrkor – och fel val kostar både pengar och säkerhet. Här jämför vi modellerna baserat på kostnad, kompetens, säkerhet, skalbarhet och nyckelpersonberoende.
- IT-budget för medelstora företagEn realistisk IT-budget är avgörande för att kunna planera drift, säkerhet och investeringar. För SMB-företag är det enkelt att underskatta kostnader – särskilt för säkerhet, licensförändringar och hårdvarulivscykler. Här går vi igenom hur en IT-budget för 50–500 användare typiskt fördelas och vilka poster som ofta glöms.
- NIS2 för medelstora företagNIS2-direktivet trädde i kraft i Sverige under 2025 och utökar kraven på cybersäkerhet för fler verksamheter – inklusive många medelstora företag som tidigare inte omfattades. Här går vi igenom vilka som berörs, vad direktivet kräver praktiskt, och hur en opererad IT-leverantör hjälper till med efterlevnad.
- Vad är NIS2?NIS2 är EU:s uppdaterade direktiv om nät- och informationssäkerhet. Det ersätter NIS1 från 2016 och utökar betydligt vilka som omfattas, vilka krav som ställs och vilka sanktioner som kan dömas ut. I Sverige trädde reglerna i kraft under 2025 genom cybersäkerhetslagen.
- Vilka företag omfattas av NIS2?Frågan om vem som omfattas av NIS2 är inte alltid självklar. Direktivet utgår från sektorer och storlek, men leverantörskedjeansvaret gör att även mindre bolag berörs i praktiken. Här går vi igenom vem som är 'väsentlig', vem som är 'viktig', och varför många underleverantörer också måste leva upp till kraven.
- Tekniska krav i NIS2Artikel 21 är hjärtat i NIS2. Den listar de tekniska och organisatoriska åtgärder som omfattade verksamheter måste vidta för att hantera cybersäkerhetsrisker. Här går vi igenom varje punkt och vad den praktiskt innebär.
- NIS2-checklista för medelstora företagDen här checklistan sammanfattar de konkreta steg medelstora företag bör gå igenom för att uppnå och dokumentera NIS2-efterlevnad. Använd den som diskussionsunderlag i ledningen eller som första gap-analys mot direktivet.
- Vad är DORA?DORA — Digital Operational Resilience Act — är EU:s förordning om digital operativ motståndskraft för finanssektorn. Den började tillämpas 17 januari 2025 och ställer hårda krav på IT-säkerhet, incidenthantering, tredjepartsrisker och testning hos banker, försäkringsbolag, värdepappersföretag, fondbolag och deras kritiska IT-leverantörer.
- DORA för finansiella företagFör finansiella entiteter handlar DORA inte längre om förberedelse — förordningen gäller sedan januari 2025. Här går vi igenom vad finansiella företag faktiskt måste ha på plats tekniskt och processmässigt för att uppfylla DORA, och vilket ansvar som ligger hos IT-driftleverantören.
- NIS2 vs DORA — skillnader och överlappNIS2 och DORA är EU:s två stora cybersäkerhetsregelverk för 2025 och framåt. De överlappar tekniskt men har olika tillämpningsområden, olika rapporteringskrav och olika sanktionsregimer. För verksamheter som omfattas av båda — och för IT-leverantörer som driftar deras miljöer — är det avgörande att förstå var gränserna går.
- NIS2 eller DORA? Vilket regelverk gäller för er IT-miljöMånga svenska företagsledare står just nu med samma fråga: omfattas vi av NIS2, DORA — eller båda? Och om vi gör det, vad innebär det rent praktiskt för IT-miljön? Den här guiden ger en konkret beslutsväg, beskriver vad respektive regelverk kräver i driftmiljön, och visar hur vi på ProjAlpha löser kraven utan att compliance-arbetet blir ett separat projekt vid sidan av IT-driften.
- Ledningens personliga ansvar enligt NIS2NIS2 är ett av få regelverk som uttryckligen pekar ut styrelse och vd som personligt ansvariga för cybersäkerheten. Här går vi igenom vad ansvaret faktiskt innebär, vilka beslut som måste dokumenteras och hur en ledning praktiskt kan utöva sin tillsynsroll utan att själv vara IT-expert.
- Så upprättar du godkänd incidentrapportering enligt NIS2NIS2 ställer hårda tidskrav på rapportering av betydande incidenter. Tidig varning inom 24 timmar, incidentrapport inom 72 timmar och slutrapport inom en månad. Att klara dessa fönster kräver att process, teknik och beslutsväg är på plats långt innan en incident inträffar.
- Skillnaden på NIS2 och GDPR ur ett IT-perspektivGDPR och NIS2 ställer båda krav på säkerhet, dokumentation och incidentrapportering. Men de skyddar olika saker, riktar sig till olika roller i bolaget och kräver olika typer av tekniska åtgärder. Att förstå skillnaden är avgörande för att inte dubblera arbete eller lämna luckor.
- Vad innebär US Cloud Act för svenska bolag med känslig data?US Cloud Act från 2018 gav amerikanska myndigheter rätt att begära ut data från amerikanska molnleverantörer även om data fysiskt ligger i Europa. För svenska företag innebär det en ny risk som inte fanns när Microsoft 365, Google Workspace och AWS först rullades ut.
- NIS2-direktivet: sammanfattning för svenska företagNIS2-direktivet är EU:s reviderade cybersäkerhetslagstiftning som börjar gälla brett under 2025 och 2026. För svenska företag innebär det krav på riskhantering, incidentrapportering, ledningsansvar och dokumenterad säkerhet. Här är en koncis sammanfattning av vad NIS2 kräver, vilka som omfattas, och vad ni bör göra först.
- Cybersäkerhetslagen — vad svensk lag säger om NIS2Cybersäkerhetslagen är det svenska genomförandet av EU:s NIS2-direktiv. Lagen ställer skarpa krav på riskhantering, incidentrapportering till NCSC och ledningens personliga ansvar. Här går vi igenom vad cybersäkerhetslagen innehåller, hur den skiljer sig från NIS2, och vad svenska företag måste göra för att vara förberedda.