Vad är ISO 27001?

Vår bedömning i korthet

• ISO 27001 är ett arbetssätt, inte en teknisk produkt. Det går inte att köpa sig till efterlevnad. Det man kan få hjälp med är delarna i arbetet.
• Kärnan är riskbedömningen. Åtgärderna i Annex A är en lista att välja ur, inte en lista man måste bocka av i sin helhet.
• För många företag är standarden mest värd som struktur, även utan certifikat. Certifieringen blir viktig när kunder eller upphandlingar kräver den.

Vad är ISO 27001?

Standarden heter i sin helhet ISO/IEC 27001:2022 "Information security, cybersecurity and privacy protection – Information security management systems – Requirements". Den ges ut gemensamt av ISO och IEC. Den svenska utgåvan heter SS-EN ISO/IEC 27001:2023 och ges ut av SIS. Den nuvarande utgåvan publicerades i oktober 2022 och har sedan fått ett tillägg, Amd 1:2024.

ISO 27001 är en kravstandard. Det betyder att den anger vad som ska finnas på plats, och det är den man certifieras mot. Hur åtgärderna kan genomföras beskrivs i en egen standard, ISO 27002.

Vad standarden kräver: kapitel 4–10

Kraven står i kapitel 4–10. De följer samma struktur som andra ISO-standarder för ledningssystem.

• 4 Organisationens förutsättningar: vilka som har krav på er informationssäkerhet och vad ledningssystemet ska omfatta.
• 5 Ledarskap: ledningens ansvar, informationssäkerhetspolicyn och roller.
• 6 Planering: riskbedömning, riskbehandling och mål för informationssäkerheten.
• 7 Stöd: resurser, kompetens, medvetenhet, kommunikation och dokumenterad information.
• 8 Verksamhet: att genomföra riskbedömningar och riskbehandlingen i praktiken.
• 9 Utvärdering: mätning, internrevision och ledningens genomgång.
• 10 Förbättring: avvikelser, korrigerande åtgärder och ständig förbättring.

Den som vill se hur kraven blir ett fungerande arbetssätt kan läsa om ledningssystem för informationssäkerhet.

Annex A: 93 åtgärder i fyra teman

Bilaga A (Annex A) innehåller 93 åtgärder (controls), grupperade i fyra teman:

• Organisatoriska (37 åtgärder): till exempel policyer, leverantörsrelationer, incidenthantering och kontinuitet.
• Personrelaterade (8 åtgärder): till exempel säkerhetsmedvetenhet, utbildning och distansarbete.
• Fysiska (14 åtgärder): till exempel skalskydd, tillträde och utrustning.
• Tekniska (34 åtgärder): till exempel åtkomstkontroll, loggning, kryptering och säkerhetskopiering.

Ni väljer åtgärder utifrån er riskbedömning. Ni ska dokumentera vilka åtgärder ni har valt, vilka ni har valt bort och varför, i ett uttalande om tillämplighet (Statement of Applicability, SoA). Det är ofta det första dokumentet en revisor ber om.

Vad ändrades i 2022-versionen?

• Annex A gick från 114 åtgärder i 14 avsnitt till 93 åtgärder i fyra teman. Många åtgärder slogs ihop, och elva nya tillkom, till exempel hotunderrättelser och informationssäkerhet vid användning av molntjänster.
• Övergångsperioden från 2013-versionen löpte ut den 31 oktober 2025. Certifikat enligt den äldre versionen gäller inte längre.
• Tillägget Amd 1:2024 innebär att organisationen ska bedöma om klimatförändringar är en relevant fråga för ledningssystemet.

Vad ISO 27001 inte är

• Ingen lag. Ingen svensk lag kräver ISO 27001-certifiering. Läs mer i NIS2 och ISO 27001.
• Inget tekniskt paket. Ingen leverantör kan göra er "ISO-certifierade". Certifikat utfärdas av ackrediterade certifieringsorgan, och det är er organisation som certifieras.
• Ingen garanti. Ett certifikat visar att ledningssystemet uppfyller standarden vid revisionen. Det säger inte att inga incidenter kan inträffa.

Vad bör ni göra nu, och vad kan vänta?

Gör nu

• Bestäm vad ledningssystemet ska omfatta: hela företaget eller en verksamhet, en tjänst eller en plats.
• Gör en första riskbedömning av den information och de system som är viktigast för verksamheten.
• Jämför det ni redan har (policyer, behörighetsrutiner, backup, incidentrutiner) med Annex A.

Kan vänta

Att välja certifieringsorgan. Det beslutet fattas när ledningssystemet har använts en tid. Se så går ISO 27001-certifieringen till.

Verktyg för dokumentation. Börja med det ni har.

Så har vi resonerat

Vi utgår från standardens egen struktur (kapitel 4–10 och Annex A), ISO:s beskrivning av 2022-utgåvan och tillägget från 2024, och från Swedacs information om certifiering. Det vi inte kan veta är hur mycket som redan finns på plats hos er. Därför anger vi ingen schablontid och inget schablonpris.

Kopplingen till NIS2

Många åtgärder i Annex A motsvarar de områden som 2 kap. 3 § cybersäkerhetslagen (2025:1506) räknar upp, till exempel riskanalys, incidenthantering, kontinuitet, leverantörssäkerhet och åtkomstkontroll. Lagen har dessutom egna krav som standarden inte täcker på samma sätt: anmälan, incidentrapportering inom 24 och 72 timmar och utbildning för ledningen. Läs mer i NIS2 och ISO 27001: vad som överlappar och vad som saknas och på NIS2 för företag.

Källor

• ISO: ISO/IEC 27001:2022 och ISO/IEC 27001:2022/Amd 1:2024, iso.org/standard/27001 (öppnas i ny flik). 2022-utgåvan ersätter ISO/IEC 27001:2013 (utgåva 2).
• Jämförelsen mellan 2013 och 2022 (114 → 93 åtgärder, 14 → 4 avsnitt, 11 nya): ISO/IEC 27001:2022, Annex A tabell A.1 och 27002:2022 förord. Sekundär bekräftelse: certifieringsorganets övergångsguide (öppnas i ny flik)
• SIS: SS-EN ISO/IEC 27001:2023, sis.se (öppnas i ny flik)
• IAF MD 26 (övergång från 2013-versionen), iaf.nu (öppnas i ny flik)
• Swedac: certifiering av ledningssystem, swedac.se (öppnas i ny flik)
• Cybersäkerhetslag (2025:1506), 2 kap. 3 §