Så märks det att säkerhetsskyddet inte håller

En verksamhet med brister i säkerhetsskyddet märker sällan något alls. Inga larm går. Ingen hör av sig. Arbetet flyter på.

Det är just därför frågan sjunker på prioriteringslistan. Bristerna kostar ingenting förrän de kostar mycket, och de blir synliga vid tillfällen ni inte väljer själva.

Här är de fyra.

Vid en tillsyn

Tillsynsmyndigheten granskar hur ni uppfyller kraven. Det första de tittar på är säkerhetsskyddsanalysen, eftersom allt annat vilar på den.

Håller inte analysen faller resten med den. Rutiner som är väl skrivna spelar mindre roll om de skyddar fel saker.

Följden blir i första hand ett föreläggande. Ni får ett antal brister att åtgärda och en tid att göra det på. Arbetet ska då göras under tidspress och parallellt med den ordinarie verksamheten, vilket alltid blir dyrare än att ha gjort det i lugn och ro.

Sanktionsavgift kan också bli aktuellt. Nivåerna för enskilda verksamhetsutövare föreslås dessutom höjas. I propositionen till den nya lagen om motståndskraft hos kritiska verksamhetsutövare föreslås taket bli det högsta av 120 miljoner kronor eller två procent av den globala årsomsättningen, med ikraftträdande den 1 januari 2027. Det motsvarar nivåerna i cybersäkerhetslagen och är en medveten harmonisering.

Går förslaget igenom blir säkerhetsskyddet betydligt dyrare att slarva med än det är idag.

I en upphandling

Det här är det vanligaste tillfället, och det som drabbar affären direkt.

En kund ställer krav på säkerhetsskyddsavtal. Anbudstiden är några veckor. Kravet förutsätter att ni redan har en analys, en säkerhetsskyddschef och rutiner för säkerhetsprövning.

Har ni inte det finns två utfall. Antingen avstår ni från affären. Eller så lämnar ni anbud på något ni inte kan leverera, vilket är sämre.

Det som gör det här dyrt är att kostnaden aldrig syns i bokföringen. Ni förlorar affärer ni aldrig räknade som era.

Vid en ägarförändring

Ska bolaget säljas, eller ska en ny delägare in, kommer säkerhetsskyddsfrågan upp i granskningen.

Kommer den upp sent i processen är den svår att hantera. Köparen får en osäkerhet att prissätta, och osäkerheter prissätts alltid till säljarens nackdel. I vissa fall kan frågan behöva hanteras innan affären överhuvudtaget kan slutföras.

Det är också det tillfälle då bristerna får störst uppmärksamhet av personer med störst inflytande över er framtid.

Vid en incident

Något inträffar. Ett intrång, ett avbrott, en anställd som gjort något oväntat.

I efterhandsgranskningen ställs två frågor. Vad hade ni gjort för att förhindra det, och vad visste ni om er egen skyldighet.

Det är här den tystnad som fanns tidigare vänds emot er. Att ingen myndighet hade hört av sig var aldrig ett besked om att allt var i sin ordning. Skyldigheten gäller oavsett om någon har påmint om den.

Det som brister brukar vara samma saker

Fyra brister återkommer.

Analysen är för gammal. Verksamheten har förändrats sedan den skrevs, men analysen har inte följt med.

Avgränsningen är otydlig. Ingen kan säga exakt vilka delar av verksamheten som är säkerhetskänsliga, vilket gör att skyddet antingen blir för brett och dyrt eller för smalt och verkningslöst.

Rollen är obemannad i praktiken. Det finns en utsedd säkerhetsskyddschef, men personen har varken tid, mandat eller kunskap att fylla rollen.

Leverantörsledet är oreglerat. Externa parter har åtkomst utan att det finns avtal som motsvarar kraven.

Varför det sällan beror på ovilja

Nästan ingen verksamhet väljer bort säkerhetsskyddet medvetet.

Det som händer är att arbetet påbörjas, att det visar sig svårare än väntat, och att det får vika för sådant med tydligare deadline. Ingen enskild vecka är den vecka då beslutet fattas att låta bli.

Efter ett år finns ett halvfärdigt arbete som ingen äger. Efter tre år finns ett dokument ingen litar på.

Det är också därför bristerna sällan går att åtgärda genom en insats av egen kraft. Det som saknas är inte kunskap. Det är någon som håller i frågan över tid när ingenting akut driver på.

Gör den här mätningen den här veckan

Ta reda på tre datum.

När skrevs er säkerhetsskyddsanalys. När reviderades den senast. När ändrades verksamheten på ett sätt som skulle ha påverkat den.

Ligger det tredje datumet efter det andra har ni just hittat er största brist, och den har funnits där hela tiden utan att någon märkt det.

Varje månad som går innan den luckan stängs är en månad då ni skyddar en verksamhet ni inte längre har.