Ledningssystem för informationssäkerhet: så bygger ni ett LIS

Vår bedömning i korthet

• Ett LIS är ett arbetssätt som ska användas, inte en pärm. Det som räknas är att besluten fattas och följs upp.
• Börja smalt. En tydligt avgränsad omfattning som verkligen fungerar är bättre än en bred som bara finns på papper.
• Riskbedömningen är kärnan. Policy, åtgärder och uppföljning bygger på den.

Vad är ett LIS?

LIS är den svenska förkortningen. På engelska heter det ISMS, "information security management system". Det omfattar människor, processer och teknik, inte bara IT. Kraven på ett LIS står i kapitel 4–10 i ISO/IEC 27001:2022, och åtgärderna att välja bland finns i bilaga A (se vad är ISO 27001?).

Så bygger ni ett LIS, steg för steg

• 1. Bestäm omfattningen (kapitel 4). Vilka delar av verksamheten, vilka platser och vilka system ingår? Vilka intressenter har krav på er informationssäkerhet, till exempel kunder, myndigheter eller lagar?
• 2. Få ledningens åtagande (kapitel 5). Ledningen ska fastställa policyn, utse roller och se till att det finns resurser.
• 3. Skriv informationssäkerhetspolicyn (5.2). Se avsnittet nedan.
• 4. Gör riskbedömningen (6.1.2). Identifiera risker mot informationens konfidentialitet, riktighet och tillgänglighet, och bedöm konsekvens och sannolikhet.
• 5. Behandla riskerna (6.1.3). Välj åtgärder, jämför med bilaga A och skriv uttalandet om tillämplighet. Ta fram en plan för riskbehandlingen och låt riskägarna godkänna den och de kvarvarande riskerna.
• 6. Sätt mål och inför åtgärderna (6.2, 7, 8). Se till att personalen har rätt kompetens och känner till policyn.
• 7. Följ upp (kapitel 9). Mät, gör internrevision och håll ledningens genomgång.
• 8. Förbättra (kapitel 10). Rätta avvikelser och förbättra löpande.

Informationssäkerhetspolicy: vad den ska innehålla

Enligt avsnitt 5.2 i ISO 27001 ska policyn

• passa organisationens syfte,
• innehålla informationssäkerhetsmål eller ge ramar för att sätta sådana,
• innehålla ett åtagande att uppfylla tillämpliga krav, och
• innehålla ett åtagande att ständigt förbättra ledningssystemet.

Policyn ska finnas dokumenterad, kommuniceras inom organisationen och vara tillgänglig för intressenter när det är lämpligt. Utöver den övergripande policyn behöver de flesta också ämnesspecifika riktlinjer, till exempel för behörigheter eller distansarbete (bilaga A 5.1).

Riskbedömning och ISO 27005

ISO/IEC 27005:2022 är en vägledning för hur ni hanterar informationssäkerhetsrisker inom ett LIS enligt ISO 27001. Den bygger på de allmänna principerna i ISO 31000. ISO 27005 är inte en kravstandard och ingen certifieras mot den. Den hjälper er att välja metod, till exempel om risker ska utgå från tillgångar eller från händelser, och att beskriva hur riskerna bedöms och jämförs över tid.

LIS och cybersäkerhetslagen

Cybersäkerhetslagen (2025:1506) kräver att verksamhetsutövare vidtar säkerhetsåtgärder inom tio områden, bland annat strategier för riskanalys och incidenthantering (2 kap. 3 §), och att ledningen genomgår utbildning (2 kap. 4 §). MCFFS 2026:11 kräver dessutom ett systematiskt och riskbaserat cybersäkerhetsarbete som integreras med hur organisationen leds och styrs. Föreskriften kräver också fastställda mål och inriktning, roller som samordnare, informationsägare och systemägare, och att ledningen informeras minst en gång per år (3 kap. 1–5 §§). Ett fungerande LIS ger en bra grund för det. Se NIS2 och ISO 27001 och NIS2 för företag.

Vad bör ni göra nu, och vad kan vänta?

Gör nu

• Skriv ner omfattningen på en halv sida och låt ledningen godkänna den.
• Gör en första riskbedömning av de viktigaste systemen och informationen.
• Utse en person som samordnar arbetet.

Kan vänta

Verktyg för att hantera dokumentationen. Börja med de verktyg ni redan har.

Certifiering. Se ISO 27001-certifiering: så går det till.

Så har vi resonerat

Stegen följer strukturen i ISO/IEC 27001:2022 kapitel 4–10. Kopplingen till lagen bygger på 2 kap. 3–4 §§ cybersäkerhetslagen och 3 kap. i MCFFS 2026:11. Vi anger ingen tid och ingen kostnad för att bygga ett LIS. Det beror helt på omfattningen och på vad som redan finns.

Källor

• ISO/IEC 27001:2022, kapitel 4–10 och bilaga A, iso.org/standard/27001 (öppnas i ny flik)
• ISO/IEC 27005:2022, utgåva 4 (2022-10), iso.org/standard/80585 (öppnas i ny flik)
• Cybersäkerhetslag (2025:1506), 2 kap. 3–4 §§, riksdagen.se (öppnas i ny flik)
• MCFFS 2026:11, 3 kap. 1–5 §§, ncsc.se (öppnas i ny flik)