ISO 27001 för företag: vad standarden kräver och var ni börjar

Vår bedömning i korthet

• ISO 27001 är frivilligt – men ofta ett affärskrav. Ingen lag kräver certifiering, men kunder och upphandlingar gör det allt oftare. Fråga först: vem efterfrågar certifikatet, och till när?
• Det är ett ledningssystem, inte ett tekniskt projekt. Standarden kräver att ledningen styr arbetet, att risker bedöms och att arbetet följs upp och förbättras. Tekniken är en del av svaret, inte hela.
• Börja med omfattningen. Ett vanligt misstag är ett för brett eller för vagt scope. En tydlig avgränsning – vilka verksamheter, system och platser som ingår – gör resten hanterbart. (Vår bedömning.)
• NIS2 och ISO 27001 överlappar, men ersätter inte varandra. Ett certifikat betyder inte automatiskt att ni uppfyller cybersäkerhetslagen, och lagen kräver inte certifiering. Ett ledningssystem enligt ISO 27001 kan däremot vara en bra struktur för båda.

Vad bör ni göra nu – och vad kan vänta?

Gör nu

1. Klargör varför. Kundkrav, upphandling, NIS2-struktur eller intern styrning? Svaret avgör ambitionsnivå och tidsplan.
2. Bestäm omfattning (scope). Vilka delar av verksamheten, vilka system och vilken information ska ledningssystemet omfatta?
3. Säkra ledningens åtagande. Standarden kräver att högsta ledningen visar ledarskap och tilldelar ansvar och resurser.
4. Gör en första riskbedömning. Den styr vilka åtgärder (kontroller) som behövs – och vilka ni kan motivera bort.
5. Gör en nulägesanalys (gap-analys) mot standardens krav i kapitel 4–10 och mot Annex A.

Kan planeras in efter de första stegen

• Val av certifieringsorgan – när ni vet scope och tidsplan.
• Verktyg för ledningssystemet – ett enkelt, väl använt arbetssätt slår ett avancerat verktyg som ingen öppnar.
• Fullständig policydokumentation – skriv det ni faktiskt behöver för de risker ni har, inte en mall för allt.

”Kan vänta” betyder inte ”behövs inte”, utan att det kan komma senare i planen. Vår bedömning – den kan behöva justeras för er verksamhet.

Vad är ISO 27001?

ISO/IEC 27001:2022 är den internationella standarden för ledningssystem för informationssäkerhet. Kraven står i kapitel 4–10, och bilagan Annex A listar 93 säkerhetsåtgärder som ni väljer bland utifrån er riskbedömning. Övergångsperioden från 2013-versionen löpte ut den 31 oktober 2025. Läs mer: Vad är ISO 27001? Standarden förklarad.

Hur går certifieringen till?

Ett ackrediterat certifieringsorgan granskar ert ledningssystem i två steg: först dokumentationen, sedan hur det fungerar i praktiken. Därefter följer uppföljning minst en gång per år och omcertifiering inom tre år. Läs hela genomgången i ISO 27001-certifiering: så går det till.

ISO 27001 och NIS2

Inte automatiskt. ISO 27001 täcker en stor del av säkerhetsåtgärderna i 2 kap. 3 § cybersäkerhetslagen, men inte anmälan, incidentrapportering till FRA eller kravet på att ledningen utbildas.

Läs mer: NIS2 och ISO 27001: vad som överlappar och vad som saknas och NIS2-krav för företag.

Så har vi resonerat

Källor. ISO:s beskrivning av ISO/IEC 27001:2022 och Amd 1:2024, Swedacs information om certifiering av ledningssystem för informationssäkerhet, samt cybersäkerhetslagen (2025:1506) för jämförelsen med NIS2. Källorna listas nederst.

Så prioriterar vi. Först det som avgör om arbetet blir rätt avgränsat och förankrat (syfte, scope, ledningens åtagande), sedan riskbedömningen som styr allt annat, sist sådant som går att välja när förutsättningarna är kända (certifieringsorgan, verktyg).

Vad vi vet – och vad som är osäkert.

• Vi vet: vad standarden kräver och hur certifieringsprocessen är uppbyggd.
• Osäkert: hur lång tid och vad det kostar för just er. Det beror på scope, hur mycket som redan finns på plats och hur snabbt ni kan fatta beslut. Därför anger vi ingen schablon – vi gör en bedömning efter en genomgång.

Så kan vi hjälpa till

Ni äger ledningssystemet, riskbedömningen och valet av certifieringsorgan. Vi levererar det tekniska och driftsmässiga underlaget:

• Tekniska säkerhetsåtgärder – MFA, åtkomsthantering, kryptering, segmentering, härdning och patchning – med dokumentation som går att visa för revisorn. Enheterna hanteras centralt med enhetshantering (MDM).
• Logghantering och övervakning – automatisk övervakning och larm dygnet runt. Bemannad larmhantering och support vardagar 08–17. Se logghantering och SOC-tjänst.
• Backup och kontinuitet med dokumenterade återställningstester. Se backup för företag.
• Incidenthantering – en definierad process för att upptäcka, hantera och dokumentera säkerhetsincidenter.
• Tester som visar att åtgärderna fungerar – se penetrationstest och sårbarhetsanalys.
• Driftdokumentation och tekniska bevis till revisionen.