Mappa kontroller mot GDPR, NIS2 och ISO 27001: praktisk guide

Att mappa kontroller innebär att koppla varje krav i ett regelverk eller en standard till de skyddsåtgärder er organisation faktiskt har. Varje krav knyts också till risken det hanterar, den som ansvarar för det och de bevis som visar att det fungerar. Görs mappningen rätt får ni en karta där ett och samma säkerhetsarbete kan visa efterlevnad mot GDPR, cybersäkerhetslagen (NIS2) och ISO 27001 samtidigt, utan att samma krav dokumenteras tre gånger. Här går vi igenom vad en kontrollkarta ska innehålla, hur ni bygger den steg för steg och var de flesta organisationer går fel.

TL;DR

• En kontroll är mappad först när den är kopplad till krav, risk, ansvarig, konkret åtgärd, bevis och datum för omprövning. Att det finns en policy räcker inte.
• Börja i era faktiska behandlingar, informationsflöden och tillgångar, inte i en abstrakt kravlista.
• Cybersäkerhetslagen gäller sedan 15 januari 2026, och sedan 1 oktober 2026 gäller NCSC:s föreskrifter om säkerhetsåtgärder och ledningens utbildning (MCFFS 2026:11).
• Korsreferenser mellan ramverk minskar dubbelarbetet, men varje koppling måste granskas manuellt: samma rubrik betyder inte samma krav eller samma bevisnivå.
• Kontrollkartan är ledningens beslutsunderlag för risk, prioritering och resurser, inte ett tekniskt register som bara CISO:n använder.

Innehållsförteckning

• Vad det innebär att mappa kontroller
• Därför är kontrollmappning aktuell för svenska organisationer 2026
• Vad en kontrollkarta ska innehålla
• Så mappar ni kontroller steg för steg
• Exempel: en leverantörskontroll mappad mot tre ramverk
• Vanliga fallgropar i kontrollmappningen
• Vem gör vad i kontrollmappningen?
• Vårt perspektiv: kontrollmappning är juridik och verksamhet, inte bara teknik
• Samla kontroller, risker och bevis på ett ställe
• Vanliga frågor om kontrollmappning
• Källor

Vad det innebär att mappa kontroller

I svenska verksamheter används uttrycket på flera sätt, men inom compliance och informationssäkerhet betyder det normalt en sak: att göra efterlevnaden spårbar. Ni ska kunna gå från ett lagkrav till den åtgärd som uppfyller det, och från en åtgärd tillbaka till alla krav den stödjer.

En fungerande kontrollmappning besvarar fem frågor för varje krav:

1. Vad kräver regelverket? Kravet formulerat så att det går att bedöma, inte bara en paragrafhänvisning.
2. Vilken risk hanterar kontrollen? Kopplingen till riskanalysen, informationsklassningen eller konsekvensbedömningen.
3. Vem äger kontrollen? En namngiven roll med mandat, inte en avdelning.
4. Hur genomförs den? Den konkreta åtgärden: rutin, teknisk inställning, avtal, utbildning.
5. Hur visar ni att den fungerar? Bevis som en tillsynsmyndighet, revisor eller styrelse kan granska.

Det sista ledet är det som oftast saknas. IMY beskriver konsekvensbedömningen som en pågående, dokumenterad process där risker identifieras, åtgärder planeras och effekten följs upp. Samma logik gäller hela kontrollkartan: en kontroll utan bevis och uppföljning är en avsikt, inte en kontroll.

Därför är kontrollmappning aktuell för svenska organisationer 2026

Trycket kommer från flera håll samtidigt.

Cybersäkerhetslagen. NIS2-direktivet genomförs i Sverige genom cybersäkerhetslagen, som gäller från 15 januari 2026. Verksamhetsutövarna finns i 18 sektorer, och betydligt fler organisationer omfattas än under den tidigare NIS-regleringen. Den 1 oktober 2026 började NCSC:s föreskrifter om säkerhetsåtgärder och ledningens utbildning (MCFFS 2026:11) att gälla. De förtydligar vad lagens krav innebär i praktiken. För den som har mappat sina kontroller mot lagtexten är det dags att stämma av kartan mot föreskrifterna.

Riskbaserade krav utan färdig lista. Enligt NCSC:s vägledning om säkerhetsåtgärder ska åtgärderna vara lämpliga och proportionella, täcka organisatoriska, tekniska och fysiska risker, bygga på en egen riskanalys och följas upp. Områden som lyfts fram är bland annat riskhantering, krishantering, ledningens ansvar, säkerhet vid inköp och utveckling, återställning och tester. Det finns alltså ingen universell checklista att bocka av. Ni måste själva kunna motivera varför just era kontroller räcker för just er riskbild, och det är vad en kontrollkarta dokumenterar.

GDPR och IMY:s tillsyn. För att följa dataskyddsförordningen behöver ni enligt IMY veta vilka personuppgifter ni hanterar, varifrån de samlas in och till vem de lämnas ut. Ni ska också kunna visa att behandlingen följer reglerna. IMY:s tillsyn kan leda till förelägganden och sanktionsavgifter. När tillsynen kommer är en kontrollkarta med bevis skillnaden mellan att svara på några dagar och att börja leta underlag i inkorgar.

Vill ni ha en genomgång av vilka krav som gäller er under cybersäkerhetslagen före mappningen, beskriver vi dem i guiden NIS2-krav i Sverige: vad din organisation måste göra 2026.

Vad en kontrollkarta ska innehålla

Kontrollkartan kan byggas i ett kalkylark, ett ärendehanteringssystem eller en dedikerad plattform. Oavsett verktyg behöver varje rad bära samma uppgifter.

Två fält avgör om kartan blir användbar: tillgång eller behandling och bevis. Utan det första vet ni inte vad kontrollen skyddar. Utan det andra kan ni inte visa att den fungerar.

Så mappar ni kontroller steg för steg

Stegen nedan följer samma logik som MSB:s metodstöd för systematiskt informationssäkerhetsarbete: identifiera och analysera, utforma, använda samt följa upp och förbättra. Metodstödet bygger på ISO/IEC 27000-serien och passar organisationer oavsett storlek och verksamhetsområde.

1. Kartlägg behandlingar, informationsflöden och tillgångar

Börja i verkligheten. Vilka system, informationsmängder, personuppgiftsbehandlingar och leverantörer finns? För personuppgifter har ni redan en grund i registret över behandlingar. IMY kräver att registret är skriftligt, finns elektroniskt, hålls uppdaterat och kan lämnas till IMY på begäran enligt artikel 30. Undantaget för organisationer med färre än 250 anställda gäller inte om behandlingen är mer än tillfällig, sannolikt innebär en risk eller omfattar känsliga personuppgifter eller uppgifter om lagöverträdelser. I praktiken behöver därför de flesta register.

2. Klassa informationen

Informationsklassningen avgör vilken skyddsnivå kontrollerna ska ha. MSB:s klassningsmodell bygger på kriterier i ett antal konsekvensnivåer och en klassningsmatris. Skyddsåtgärderna väljs sedan utifrån klassningsresultatet och de risker ni identifierat. Utan klassning blir mappningen godtycklig: samma kontroll läggs på allt, eller på fel saker.

3. Gör riskanalysen

Koppla hot och sårbarheter till tillgångarna. För personuppgiftsbehandlingar med sannolikt hög risk krävs en konsekvensbedömning före behandlingsstart. Enligt IMY:s förteckning enligt artikel 35.4 är huvudregeln att en DPIA krävs när minst två av de angivna riskkriterierna är uppfyllda. Bedömningen ska ändå dokumenteras och motiveras. Vill ni fördjupa er i metodiken har vi skrivit om riskanalys enligt ISO 27005 och konsekvensbedömning enligt GDPR steg för steg.

4. Bygg ett gemensamt kontrollbibliotek

Formulera era kontroller en gång, i er egen terminologi, och låt varje kontroll peka ut mot alla krav den stödjer. Det minskar dubbelarbetet mest. En kontroll för behörighetsstyrning kan stödja dataskyddsförordningens krav på säkerhet i behandlingen, cybersäkerhetslagens krav på riskbaserade åtgärder och ISO 27001:s åtkomstkontroller samtidigt.

5. Gör kopplingarna och granska dem manuellt

Här uppstår de flesta felen. En automatisk korsreferens mellan två ramverk är en utgångspunkt, inte ett resultat. Kontrollera för varje koppling:

• Omfattning: täcker kontrollen hela kravet eller bara en del av det?
• Bevisnivå: räcker en rutinbeskrivning, eller kräver kravet loggar, testresultat eller revision?
• Ansvar: pekar regelverken ut olika ansvariga, till exempel ledningen enligt cybersäkerhetslagen?
• Frekvens: kräver ett ramverk årlig uppföljning och ett annat löpande övervakning?

6. Tilldela ägare och samla bevis

Varje kontroll behöver en ägare som rapporterar status. Bestäm i förväg vilka bevis som gäller. Bevisen ska kunna tas fram utan att någon behöver minnas var de ligger.

7. Följ upp, mät och rapportera

Sätt omprövningsdatum, följ upp avvikelser och rapportera status till ledningen. MSB betonar att ledningen ska integrera informationssäkerheten i verksamhetsstyrningen och hålla sig informerad om säkerhetsåtgärdernas status. Hur ni gör det konkret beskriver vi i Rapportera risk till styrelse: vad som ska ingå och när.

Exempel: en leverantörskontroll mappad mot tre ramverk

Leverantörskedjan visar tydligt varför mappningen måste gå bortom en självdeklaration. Anta att ni är ett medelstort energibolag som omfattas av cybersäkerhetslagen och använder en extern leverantör för drift av ert kundsystem.

Kontroll KTR-LEV-03: Kritiska leverantörer säkerhetsgranskas före avtal och därefter årligen. Avtal innehåller säkerhetskrav, krav på incidentrapportering och rätt till granskning.

Samma kontroll alltså, men med olika tyngdpunkt på bevisen. NCSC:s rapport om hoten mot de digitala leveranskedjorna rekommenderar bland annat frekventa granskningar av kvalitets- och säkerhetsarbetet samt krav på åtgärder när brister upptäcks. Leverantörskontroller bör därför mappas mot avtal, underleverantörer, testresultat, incidenter och uppföljning. En ifylld enkät från leverantören visar inte ensam att kontrollen fungerar. Mer om det här finns i vår guide om NIS2:s leverantörskrav.

Vanliga fallgropar i kontrollmappningen

• Kravlistan styr i stället för verksamheten. Organisationen översätter standarden rad för rad och får en karta som ser komplett ut men inte beskriver hur arbetet faktiskt går till.
• Policy räknas som kontroll. En antagen policy är en förutsättning, men utan rutin, ägare och bevis är kravet inte uppfyllt.
• Falska överensstämmelser. Två krav med liknande rubrik antas vara samma krav. Ena ramverket kräver kanske dokumenterad testning, det andra bara en rutin.
• Ingen koppling till klassning och risk. Kontroller väljs efter vad som är enkelt att införa, inte efter vad informationens skyddsvärde kräver.
• Statisk karta. Mappningen görs inför en certifiering eller revision och uppdateras sedan inte när system, leverantörer eller regler ändras. Föreskrifterna som började gälla i oktober 2026 är ett typiskt tillfälle då en ögonblicksbild blir inaktuell.
• Dataskyddsombudet saknas i arbetet. IMY:s vägledning anger att den personuppgiftsansvarige ska rådfråga dataskyddsombudet vid konsekvensbedömningar. En karta som tagits fram utan DPO:ns synpunkter kan vara formellt komplett men svag som styrning.

Vem gör vad i kontrollmappningen?

Kontrollmappning är ett lagarbete, och rollerna bör vara tydliga från början.

• VD och ledning: fattar beslut om risknivå, prioriteringar och resurser utifrån kartan. Cybersäkerhetslagen lägger ett uttalat ansvar på ledningen, och föreskrifterna omfattar även ledningens utbildning.
• CISO: äger kontrollbiblioteket för informationssäkerhet, riskanalysen och den tekniska bevisningen.
• Dataskyddsombud: ger råd och övervakar efterlevnaden av dataskyddsreglerna, särskilt kring behandlingar och konsekvensbedömningar. Läs mer om dataskyddsombudets roll och ansvar.
• Chefsjurist och jurister: tolkar kraven, särskilt där ramverken skiljer sig åt, och säkerställer att avtal med leverantörer innehåller rätt krav.
• Verksamhetens kontrollägare: genomför kontrollerna i vardagen och levererar bevis.

Vårt perspektiv: kontrollmappning är juridik och verksamhet, inte bara teknik

Vi ser ofta organisationer som har lagt månader på att korsreferera standarder i stora kalkylark och ändå inte kan svara på en enkel fråga från ledningen: vilka av våra viktigaste risker är egentligen omhändertagna i dag? Problemet är sällan bristande ambition. Kartan har byggts uppifrån och ned, från paragrafer mot verksamheten, i stället för tvärtom.

Vår erfarenhet som jurister är att det svåra sällan är att hitta rätt artikel. Det svåra är att bedöma om en befintlig rutin faktiskt uppfyller kravet, och vilken bevisning som håller om IMY eller NCSC frågar. Den bedömningen kräver både förståelse för svensk och europeisk lagstiftning och kunskap om hur verksamheten fungerar. Därför tycker vi att kontrollmappningen ska ligga nära registret över behandlingar, riskbedömningarna, incidentloggen och leverantörsbedömningarna, i samma struktur. Annars blir mappningen ett separat projekt som åldras snabbt.

Vi rekommenderar tre saker. Börja med de tio till femton kontroller som skyddar era mest skyddsvärda tillgångar. Bestäm bevisen innan ni bestämmer formuleringarna. Ge varje kontroll en ägare som faktiskt har mandat att ändra arbetssättet. En liten karta som lever är mer värd än en stor som ingen uppdaterar.

— Jesper

Samla kontroller, risker och bevis på ett ställe

Trustview är en svenskutvecklad plattform för compliance, dataskydd och informationssäkerhet, byggd av jurister. I plattformen kan ni automatisera registerförteckningen enligt GDPR, göra DPIA och TIA, logga risker och incidenter, bedöma leverantörer, delegera ansvar och följa upp åtgärder. Ni kan också skapa och strukturera egna ramverk. Plattformen stödjer bland annat GDPR, NIS2, ISO 27000 och AI-förordningen och ger en realtidsöversikt över compliance-status med automatiserade rapporter. Behöver ni stöd i tolkningen kan ni lägga till juridisk rådgivning. Trustview kostar från 2 500 kr per månad, och på prissidan ser ni vad som ingår.

Vanliga frågor om kontrollmappning

Måste vi mappa kontroller för att uppfylla cybersäkerhetslagen?

Lagen använder inte ordet mappning, men den kräver lämpliga och proportionella åtgärder som bygger på en egen riskanalys och som följs upp. För att kunna visa det för NCSC eller sektorsmyndigheten behöver ni i praktiken en spårbar koppling mellan krav, risk, åtgärd och bevis. Det är vad en kontrollkarta är.

Räcker det att vara certifierad enligt ISO 27001 för att uppfylla NIS2?

En certifiering ger en stark grund, eftersom ledningssystemet och många kontroller överlappar. Cybersäkerhetslagen och NCSC:s föreskrifter innehåller dock egna krav, till exempel på ledningens ansvar och utbildning samt incidentrapportering, som ni behöver stämma av separat. Mappa därför era befintliga ISO-kontroller mot lagen och föreskrifterna och leta efter luckor.

Hur ofta ska kontrollkartan uppdateras?

Sätt ett fast omprövningsdatum för varje kontroll, ofta årligen för stabila kontroller och tätare för kritiska. Uppdatera också vid förändringar: nya system, nya leverantörer, incidenter, nya behandlingar eller nya föreskrifter. Registret över behandlingar ska enligt IMY hållas uppdaterat, och kartan bör följa samma takt.

Kan vi automatisera kontrollmappningen?

Delar av den, ja. Verktyg kan hålla korsreferenser, påminna ägare, samla bevis och ta fram statusrapporter. Bedömningen av om en kontroll faktiskt uppfyller ett krav, och vilken bevisning som räcker, måste däremot göras av någon som förstår både regelverket och verksamheten.

Var ska ett mindre bolag börja?

Börja med registret över behandlingar och en enkel tillgångsförteckning, klassa den viktigaste informationen och välj ut de kontroller som skyddar den. Koppla dem till de krav som faktiskt gäller er och utöka därifrån. Vår guide om strukturerad efterlevnad för små bolag visar ett sätt att lägga upp arbetet.

Källor

• IMY: Föra register över behandling
• IMY: Vägledning vid konsekvensbedömning, en praktisk guide
• IMY: Förteckning enligt artikel 35.4 i dataskyddsförordningen
• IMY: Företags hantering av personuppgifter
• IMY: Så arbetar vi med tillsyn
• NCSC: Det här är cybersäkerhetslagen
• NCSC: Föreskrifter om säkerhetsåtgärder träder i kraft
• NCSC: Säkerhetsåtgärder enligt cybersäkerhetslagen
• NCSC: Hoten mot de digitala leveranskedjorna, 50 rekommendationer
• MSB: Metodstöd för systematiskt informationssäkerhetsarbete
• MSB: Klassningsmodell
• MSB: Ledningens roll i informationssäkerhetsarbetet

Rekommendationer

• Så mappar du ISO 27001 mot NIS2-kraven
• GDPR kontrollista: Praktiska verktyg för effektiv efterlevnad
• Roller i integritetsskydd: guide för beslutsfattare
• ISO 27001-verktyg för informationssäkerhet