Mognadsmodell för informationssäkerhet: så mäter ni nivån

En mognadsmodell för informationssäkerhet är ett strukturerat sätt att bedöma hur väl organisationens säkerhetsarbete faktiskt fungerar. Ni jämför nuläget med beskrivna nivåer inom ett antal områden, till exempel riskhantering, incidenthantering och kompetens, och får fram var ni är starka, var ni har brister och vad som ska prioriteras härnäst. I Sverige är MSB:s Mognadsdialogen och NCSC:s Cybersäkerhetskollen de vanligaste utgångspunkterna. Båda använder fyra nivåer och vilar på ISO/IEC 27000-serien. Den här guiden går igenom hur modellerna är uppbyggda, hur ni genomför en bedömning och hur resultatet blir en handlingsplan som går att följa upp.

Kort sagt

• En mognadsmodell ger en gemensam bild av nuläget i det systematiska informationssäkerhetsarbetet och pekar ut förbättringsområden.
• MSB:s Mognadsdialogen bedömer sex perspektiv: riskhantering, informationsklassning, incidenthantering, upphandling, kompetens och uppföljning.
• De svenska modellerna använder fyra nivåer, från låg medvetenhet och avgörande brister till proaktivitet och ständiga förbättringar.
• Bedömningen är bara värd något om den blir en prioriterad handlingsplan med ansvariga och en ny mätning längre fram.
• Statliga myndigheter har dessutom ett uttryckligt krav i MSBFS 2020:6 på ett systematiskt och riskbaserat arbete med stöd av ISO/IEC 27001 och 27002.

Innehållsförteckning

• Vad en mognadsmodell är och vad den används till
• Områdena som bedöms
• Fyra mognadsnivåer och vad som skiljer dem åt
• Svenska modeller, krav och standarder att utgå från
• Så genomför ni en mognadsbedömning
• Från resultat till prioriterad handlingsplan
• Vanliga fallgropar i mognadsarbetet
• Så ser vi på mognadsmodeller
• Följ mognaden och åtgärderna i Trustview
• Vanliga frågor
• Källor

Vad en mognadsmodell är och vad den används till

De flesta organisationer har policyer, en riskanalys från något år tillbaka och en incidentrutin. Frågan som ledningen sällan får ett tydligt svar på är hur väl allt detta fungerar i praktiken. Det är den frågan en mognadsmodell besvarar.

MSB beskriver sin modell, Mognadsdialogen, som ett pedagogiskt verktyg för att ta fram en gemensam syn på nuläget i det systematiska informationssäkerhetsarbetet och identifiera utvecklings- och förbättringsområden. Ordet gemensam är viktigt. En mognadsbedömning är inte en revision där en granskare delar ut anmärkningar, utan ett sätt att få verksamhet, IT, juridik och ledning att beskriva samma verklighet med samma ord.

I praktiken används en mognadsmodell till fyra saker:

1. Nulägesanalys. Var står vi i dag, område för område?
2. Prioritering. Vilka brister är störst i förhållande till våra risker och mål?
3. Kommunikation. Ett begripligt underlag till ledning och styrelse, som visar utveckling över tid i stället för enstaka incidenter.
4. Uppföljning. En återkommande mätpunkt som visar om investeringarna i säkerhet ger effekt.

En mognadsmodell ersätter alltså inte ett ledningssystem för informationssäkerhet. Den mäter hur väl ledningssystemet lever. Forskningen pekar också på att bedömningen behöver omfatta mer än teknik: en studie från Simpósio Brasileiro de Sistemas de Informação betonar att organisatoriska, mänskliga och kontextuella aspekter ska vägas in för att få en helhetsbild, inte bara tekniska säkerhetsåtgärder.

Områdena som bedöms

Olika modeller delar in informationssäkerheten på olika sätt, men grundtanken är densamma: bryt ned ett stort och abstrakt ämne i avgränsade områden som går att bedöma var för sig. Mognadsdialogen utgår från ISO/IEC 27000-serien och bedömer sex perspektiv.

Tabellen visar varför mognad sällan är jämn. En organisation kan ha en välfungerande incidentrutin men nästan ingen styrning av leverantörer. Den skillnaden försvinner om allt slås ihop till ett enda betyg.

Två områden förtjänar särskild uppmärksamhet. Upphandling är ofta den svaga länken, eftersom säkerheten i dag till stor del ligger hos molnleverantörer och underleverantörer. En modell för leverantörsriskklassning gör det lättare att lyfta just det perspektivet. Informationsklassning påverkar i sin tur allt annat, eftersom den avgör vilken skyddsnivå riskbedömningen ska mätas mot. Klassningen omfattar även information som organisationen publicerar utåt, och här hänger säkerhetsarbetet ihop med frågor om dataskydd och synlighet i sökmotorer, till exempel vilka sidor och dokument som över huvud taget ska vara åtkomliga och indexerade.

Fyra mognadsnivåer och vad som skiljer dem åt

De svenska modellerna använder fyra nivåer. I Mognadsdialogen beskrivs de så här:

NCSC:s uppföljningsmodell Cybersäkerhetskollen har en liknande trappa i fyra steg, från grundläggande delar på nivå 1 till ett avancerat arbete med ständiga förbättringar på nivå 4.

Nivåerna bygger på varandra

I många modeller är nivåerna kumulativa. CENTR Member Security Maturity Model säger det uttryckligen: en högre nivå förutsätter att kraven på de lägre nivåerna redan är uppfyllda. Det får en praktisk konsekvens. Det går inte att hoppa över grunderna genom att köpa avancerade verktyg. En organisation som har en modern säkerhetsövervakning men saknar en fastställd process för riskbedömning är fortfarande på en låg nivå inom riskhantering.

Vilken nivå ska ni sikta på?

Nivå 4 är inte ett självklart mål för alla områden. Rätt målnivå beror på verksamhetens risker, vilken information ni hanterar och vilka regelverk som gäller för er. Ett rimligt arbetssätt är att sätta målnivå per perspektiv, utifrån riskbilden, och sedan arbeta mot den. Det är också därför Mognadsdialogen inte summerar perspektiven till ett totalresultat: det synliggör styrkor och svagheter i förhållande till verksamhetens mål.

Svenska modeller, krav och standarder att utgå från

För en svensk organisation finns det sällan skäl att uppfinna en egen modell från grunden. Det finns etablerade utgångspunkter:

• Mognadsdialogen (MSB). Ett workshopbaserat verktyg med sex perspektiv och fyra nivåer, särskilt användbart för att skapa samsyn i ledning och verksamhet.
• Cybersäkerhetskollen (NCSC). En uppföljningsmodell i fyra nivåer som används för att följa cybersäkerhetsarbetet över tid.
• ISO/IEC 27001 och 27002. Standarderna som de svenska modellerna vilar på. SIS tillhandahåller bland annat SS-EN ISO/IEC 27001:2023 och SS-EN ISO/IEC 27002:2023 i ett standardpaket för offentlig verksamhet.
• Europeiska branschmodeller. CENTR-modellen är ett exempel på en sektorsspecifik modell med kumulativa nivåer och tydliga domäner.

För statliga myndigheter är frågan inte frivillig. MSBFS 2020:6 kräver att myndigheter bedriver ett systematiskt och riskbaserat informationssäkerhetsarbete med stöd av SS-EN ISO/IEC 27001:2017 och SS-EN ISO/IEC 27002:2017, eller motsvarande. Föreskrifterna anger också att samma kriterier och konsekvensnivåer bör användas i både informationsklassning och riskbedömning, så att resultaten blir jämförbara över tid. Den principen är värd att låna även utanför staten: en mognadsmätning blir bara jämförbar år för år om mätstickan är densamma.

För privata verksamheter, kommuner och regioner är drivkrafterna ofta NIS2, kundkrav och avtal. En samlad lista över regulatoriska krav i Sverige hjälper er att avgöra vilka regelverk bedömningen behöver spegla. För den som arbetar mot certifiering är en mognadsbedömning mot ISO 27001 ett naturligt första steg innan en gapanalys inför revision.

Så genomför ni en mognadsbedömning

Mognadsdialogen bygger på en workshop där deltagarna jämför nuläget med fördefinierade mognadsbeskrivningar, samtalar och enas om den nivå som bäst beskriver hur det ser ut i dag. Samma upplägg fungerar oavsett vilken modell ni väljer.

1. Bestäm omfattning. Gäller bedömningen hela organisationen, ett dotterbolag eller en kritisk verksamhet? En för bred omfattning ger svar som ingen känner igen sig i.
2. Välj modell och perspektiv. Utgå från en etablerad modell. Om en hel modell inte är möjlig att genomföra konstaterar European TLD ISAC att organisationer ändå har nytta av att fokusera på de domäner som är mest relevanta för verksamheten.
3. Sätt ihop rätt grupp. Säkerhetsansvarig, IT, dataskyddsombud, jurist, en eller två verksamhetschefer och gärna någon från ledningen. Bredden är det som gör bedömningen trovärdig.
4. Förbered underlag. Samla policyer, senaste riskbedömningar, incidentloggen, leverantörsförteckningen och utbildningsstatistik. Nivån ska kunna beläggas, inte bara kännas rätt.
5. Genomför workshopen. Gå igenom ett perspektiv i taget, läs nivåbeskrivningarna högt och enas om nivån. Skriv ned motiveringen, den är lika värdefull som siffran.
6. Dokumentera nuläge och målnivå. Registrera nivå, motivering och önskad målnivå per perspektiv.
7. Sammanställ och förankra. Presentera resultatet för ledningen tillsammans med ett förslag på prioriteringar.

Ett illustrativt exempel

Tänk er ett medelstort svenskt företag inom logistik som genomför bedömningen för första gången. Workshopen landar i nivå 3 för incidenthantering, eftersom rutinen är övad och incidenter följs upp. Upphandling hamnar på nivå 1: säkerhetskrav ställs inte systematiskt och ingen följer upp leverantörerna efter avtal. Kompetens hamnar på nivå 2, med utbildning för medarbetare men inte för chefer.

Utan mognadsmodellen hade ledningen sannolikt fortsatt investera i incidentförmågan, där arbetet redan fungerar. Med modellen blir det tydligt att leverantörsstyrningen är den största risken och att chefernas ansvar behöver förtydligas, till exempel med stöd av en genomgång av ansvar i informationssäkerhet.

Från resultat till prioriterad handlingsplan

Enligt MSB sammanställs resultatet efter dialogen och används för att prioritera åtgärder i en handlingsplan med tydliga åtgärder och prioriteringar, och utvecklingen följs vid en senare dialog. Det är här de flesta mognadsarbeten antingen tar fart eller stannar av.

En handlingsplan som fungerar har några gemensamma drag:

• Den är riskbaserad. Prioritera där avståndet mellan nuläge och målnivå är störst i förhållande till risken, inte där åtgärden är enklast. Riskbaserad prioritering ger en metod för det.
• Varje åtgärd har en ägare. En namngiven person, inte en avdelning.
• Åtgärderna är konkreta. “Förbättra leverantörsstyrningen” är en ambition. “Inför säkerhetsbedömning före avtal för alla leverantörer som hanterar personuppgifter” är en åtgärd.
• Den har tidsplan och avstämningspunkter. Kvartalsvisa avstämningar med ledningen håller arbetet levande.
• Den kopplas till riskanalysen. Brister i riskhanteringsperspektivet åtgärdas bäst med en etablerad metod, till exempel en ISO 27005-riskanalys.

Forskningen beskriver samma logik som en cykel: avgränsa omfattningen, analysera risker, välj kontroller och konsolidera handlingsplaner för ständiga förbättringar, enligt studien från SBSI. Mognadsbedömningen är alltså inte ett engångsprojekt utan en återkommande del av ledningssystemet. Många organisationer gör om bedömningen årligen, eller efter större förändringar som en omorganisation, en ny leverantör av kritiska tjänster eller nya regulatoriska krav.

Vanliga fallgropar i mognadsarbetet

Erfarenheten från mognadsbedömningar visar att samma misstag återkommer:

• Självskattning utan belägg. Om ingen dokumentation stöder nivån är den troligen för hög. Be om exempel: senaste riskbedömningen, senaste incidentrapporten.
• Ett enda totalbetyg. Ett genomsnitt döljer att ett område kan vara kritiskt svagt. Redovisa per perspektiv.
• Bedömning utan uppföljning. En mätning som inte upprepas säger ingenting om utveckling.
• Teknikfokus. Tekniska skydd är bara en del. Styrning, ansvar och kompetens avgör om tekniken används rätt.
• Resultatet lever i ett kalkylark. När nuläge, åtgärder och ansvar ligger i separata filer blir det svårt att se helheten och att visa ledningen hur arbetet går.

Den sista punkten är ofta den som avgör om arbetet blir hållbart. När incidentrutinen behöver lyftas en nivå är en uppdaterad checklista för incidenthantering ett konkret stöd, men även den behöver kopplas till åtgärdsplanen för att effekten ska synas i nästa mätning.

Så ser vi på mognadsmodeller

Vi som har byggt Trustview är jurister med erfarenhet av svensk och europeisk lagstiftning, och vi ser samma mönster i många organisationer: bedömningen görs, resultatet presenteras, och sedan saknas strukturen för att driva åtgärderna vidare.

En mognadsmodell blir värdefull först när den kopplas till det dagliga arbetet. Risker, incidenter, leverantörsbedömningar och åtgärder hör ihop, och nivån inom ett perspektiv förändras bara när de faktiska processerna förändras. Därför menar vi att mognadsarbetet ska ligga i samma miljö som själva compliancearbetet, inte i ett separat dokument som uppdateras en gång om året.

Vi anser också att samma ramverk bör kunna bära flera regelverk. GDPR, NIS2, ISO 27000 och AI-förordningen överlappar i stor utsträckning, och en organisation som strukturerar sitt arbete i tydliga ramverk slipper göra samma bedömning flera gånger.

Jesper

Följ mognaden och åtgärderna i Trustview

Trustview är en svenskutvecklad plattform för compliance, privacy och informationssäkerhet. Ni kan skapa och strukturera egna ramverk, till exempel efter perspektiven i den modell ni valt, logga risker och incidenter, bedöma leverantörer, delegera ansvar och följa upp åtgärder. Realtidsöversikten över compliance-status och de automatiserade rapporterna gör det enklare att visa ledningen hur arbetet utvecklas mellan två mätningar.

Plattformen stödjer GDPR, NIS2, ISO 27000 och AI-förordningen och innehåller färdiga mallar och guider. Läs mer om vårt ISO 27001-verktyg eller se priser för Trustview, från 2 500 kr per månad. Behöver ni stöd i tolkningen av kraven finns juridisk rådgivning som tillägg.

Vanliga frågor

Vad är skillnaden mellan en mognadsmodell och en gapanalys?

En gapanalys jämför ert arbete med kraven i en specifik standard eller lag och visar vad som saknas. En mognadsmodell beskriver hur väl och hur systematiskt arbetet fungerar, på en skala med flera nivåer. Många använder mognadsmodellen för att prioritera och gapanalysen för att detaljplanera inför till exempel en ISO 27001-certifiering.

Hur ofta bör vi göra en mognadsbedömning?

En årlig bedömning är ett vanligt arbetssätt, eftersom den passar ledningens genomgång och budgetcykeln. Gör också en ny bedömning efter större förändringar, som en omorganisation, nya kritiska leverantörer eller nya regulatoriska krav. Det viktiga är att använda samma modell och kriterier varje gång så att resultaten går att jämföra.

Vilka bör delta i bedömningen?

Säkerhetsansvarig, IT, dataskyddsombud och jurist är självklara deltagare. Lägg till verksamhetschefer och en representant för ledningen, eftersom de äger informationen och riskerna. En bred grupp ger en mer realistisk bild än en bedömning som görs av säkerhetsfunktionen ensam.

Måste vi nå nivå 4 inom alla områden?

Nej. Målnivån sätts per område utifrån verksamhetens risker och de krav som gäller för er. Ett område med kritisk information eller höga regulatoriska krav kan behöva en hög nivå, medan andra områden kan ha en lägre målnivå. Poängen är att beslutet fattas medvetet och dokumenteras.

Källor

MSB: Mognadsdialogen
NCSC: Fördjupningsinformation om Cybersäkerhetskollen 2025
MSBFS 2020:6, föreskrifter om informationssäkerhet för statliga myndigheter
CENTR Member Security Maturity Model
SIS: Informationssäkerhet för kommuner
Simpósio Brasileiro de Sistemas de Informação: studie om mognadsbedömning

Rekommendationer

• Informationsklassning: modell, metod och skyddsnivåer
• Ledningssystem för informationssäkerhet: guide för svenska organisationer
• Riskregister för informationssäkerhet: så bygger du ett som håller
• Sårbarhetshantering enligt NIS2: krav och arbetssätt 2026