Riskbaserad prioritering: lägg resurserna där risken är störst

Riskbaserad prioritering innebär att du rangordnar risker utifrån hur sannolika de är och hur allvarliga konsekvenserna blir, och sedan lägger tid, budget och åtgärder i den ordningen. Inom dataskydd och informationssäkerhet är det inget du kan välja bort: GDPR utgår från ett riskbaserat arbetssätt, och svenska myndigheter som IMY och MSB beskriver samma logik i sina vägledningar. Den här guiden visar hur du bygger en prioriteringsordning som håller vid en granskning, vilka misstag som oftast leder till felprioriteringar och hur du håller ordningen aktuell när verksamheten förändras.

Kort sagt

• Riskbaserad prioritering handlar inte om att lista hot, utan om att värdera risker mot kriterier som organisationen har bestämt i förväg.
• Enligt IMY ska skyddet anpassas efter risknivån: hög risk kräver starkare åtgärder, tätare uppföljning och en dokumenterad konsekvensbedömning.
• Den vanligaste orsaken till felprioritering är att riskkriterierna saknas eller tolkas olika av olika avdelningar.
• En prioriteringsordning är en färskvara. Koppla riskregistret till incidentloggen så att nya händelser tvingar fram en omvärdering.
• IMY prioriterar själv sin tillsyn efter risk. Din compliancebudget förtjänar samma disciplin.

Innehållsförteckning

• Vad riskbaserad prioritering faktiskt betyder
• Varför regelverken kräver ett riskbaserat arbetssätt
• Så bygger du en prioriteringsordning i fem steg
• Exempel: tre risker och en begränsad budget
• Vanliga fallgropar som leder till felprioritering
• Vad compliance kan lära av vårdens prioriteringar
• Så håller du prioriteringen levande
• Vårt perspektiv: prioritering är ett ledningsbeslut med juridisk grund
• Så stödjer Trustview arbetet
• Vanliga frågor
• Källor

Vad riskbaserad prioritering faktiskt betyder

Begreppet används i många sammanhang, från vårdköer till projektledning, men grundtanken är densamma: resurserna räcker aldrig till att åtgärda allt samtidigt, så ordningen måste bestämmas av risken och inte av vem som ropar högst.

MSB:s vägledning för arbete med riskhantering beskriver riskhantering som en systematisk process för att identifiera, analysera, värdera och hantera risker, och utgår från standarden SS-ISO 31000:2018 där risk definieras som osäkerhetens effekt på mål. Den definitionen är användbar eftersom den flyttar fokus från tekniken till verksamheten. En sårbarhet i ett system är inte en hög risk i sig. Den blir det när den kan hindra organisationen från att nå sina mål, eller när den kan skada de personer vars uppgifter ni behandlar.

Prioriteringen sker i värderingssteget. Där jämför du varje analyserad risk med organisationens kriterier för sannolikhet och konsekvens och bestämmer vad som ska åtgärdas först, vad som kan vänta och vad som kan accepteras. MSB:s metodstöd för riskhantering betonar att syftet är att organisationen ska ha tillräckligt skydd mot de hot som kan hindra den från att nå sina säkerhetsmål. Med andra ord: prioriteringen är själva poängen med riskanalysen, inte en bilaga till den.

Skillnaden mellan en risklista och en prioriteringsordning

En risklista svarar på frågan “vad kan gå fel?”. En prioriteringsordning svarar på frågan “vad gör vi först, och varför?”. Den andra frågan kräver tre saker som listan saknar:

• Gemensamma kriterier för vad som räknas som hög, medel och låg sannolikhet respektive konsekvens.
• En nivå för riskacceptans, alltså en beslutad gräns för vilka risker verksamheten kan leva med.
• En ansvarig och en tidsram för varje åtgärd ovanför den gränsen.

Utan de tre delarna blir resultatet ofta ett långt dokument där allt är “viktigt” och ingenting händer.

Varför regelverken kräver ett riskbaserat arbetssätt

GDPR: skyddet ska stå i proportion till risken

Dataskyddsförordningen ställer sällan exakta tekniska krav. I stället ska den personuppgiftsansvarige anpassa skyddet efter de risker som behandlingen innebär. IMY sammanfattar det i sin presentation Tänk säkert, agera smart: arbetssättet beror på riskerna för den registrerades fri- och rättigheter, och hög risk kräver starka säkerhetsåtgärder.

För behandlingar med hög risk krävs dessutom en konsekvensbedömning (DPIA). IMY:s praktiska guide till konsekvensbedömning beskriver processen i tio steg, från att bedöma om en DPIA behövs till kontinuerlig uppföljning. Det är ett tydligt exempel på riskbaserad prioritering i lagstiftningen: ju högre risk, desto mer dokumentation, desto fler åtgärder och desto tätare uppföljning. Vill du gå djupare i när kravet utlöses har vi skrivit om riskkriterier i DPIA och när en konsekvensbedömning krävs. Särskilt känsliga kategorier, som hälsodata och genetiska uppgifter, hamnar nästan alltid högt; ett konkret exempel är genomgången av frågor som dataskyddsombud behöver besvara i en DPIA för genetiska data.

Informationssäkerhet och NIS2: samma logik, bredare scope

För informationssäkerhet är MSB:s metodstöd den naturliga utgångspunkten i Sverige. Där är riskhanteringen en del av ett systematiskt informationssäkerhetsarbete, och riskregistret beskrivs som en levande översikt som uppdateras när ny information eller nya incidenter tillkommer. NIS2 och den svenska regleringen som genomför direktivet bygger på samma tanke: åtgärderna ska vara proportionerliga mot riskerna för verksamheten och dess tjänster. Den som redan arbetar enligt ISO 27001 och riskanalys enligt ISO 27005 har därför en bra grund att stå på.

Tillsynsmyndigheten prioriterar också efter risk

Ett argument som ofta övertygar ledningsgrupper är att tillsynsmyndigheten själv arbetar riskbaserat. I IMY:s tillsyns- och vägledningsprioriteringar för 2025 framgår att myndigheten fokuserar där intrånget i enskildas rättigheter kan bli allvarligt, där många personer berörs eller där ny teknik innebär särskilda integritetsrisker.

Slutsatsen för dig som ansvarar för compliance är enkel. Om du lägger lika mycket kraft på varje liten brist riskerar du att de behandlingar som IMY faktiskt bryr sig mest om får för lite uppmärksamhet.

Så bygger du en prioriteringsordning i fem steg

Stegen nedan följer den logik som MSB och IMY beskriver, anpassad för en organisation som hanterar både dataskydd och informationssäkerhet.

1. Bestäm riskkriterierna innan du analyserar. Definiera vad hög, medel och låg sannolikhet betyder i er verksamhet, och vad som räknas som allvarlig konsekvens för verksamheten respektive för de registrerade. Besluta också om riskacceptansnivån och förankra den i en policy som ledningen har godkänt. Det här steget avgör om resten av arbetet går att jämföra mellan avdelningar.

2. Utgå från era tillgångar och behandlingar. Registerförteckningen enligt artikel 30 och en förteckning över informationstillgångar ger dig analysobjekten. En risk som inte går att koppla till en behandling, ett system eller en process blir svår att värdera och ännu svårare att åtgärda.

3. Analysera och beskriv varje risk i ord. Ange vad som kan hända, varför det kan hända och vad följden blir. En siffra kan sammanfatta bedömningen, men resonemanget måste finnas kvar i klartext (mer om det under fallgroparna nedan).

4. Värdera mot kriterierna och rangordna. Jämför varje risk med de beslutade kriterierna. Risker över acceptansnivån får en åtgärd, en ansvarig och ett datum. Risker under nivån dokumenteras som accepterade, med motivering och vem som fattat beslutet.

5. Följ upp och omvärdera löpande. Bestäm i förväg vad som utlöser en omvärdering: en incident, ett nytt system, en ny leverantör, en ändrad behandling eller ny vägledning från en myndighet. Lägg dessutom in en fast återkommande genomgång, till exempel inför budgetarbetet.

Vår guide om GDPR-riskbedömning, DPIA och riskanalys går igenom hur stegen tillämpas på personuppgiftsbehandlingar i detalj.

Exempel: tre risker och en begränsad budget

Exemplet nedan är konstruerat för att illustrera metoden. Tänk dig ett medelstort svenskt bolag med budget för att genomföra två större åtgärder det kommande halvåret. Riskanalysen har identifierat tre risker.

Tre saker är värda att notera. Den första risken hamnar överst trots att den inte är “teknisk” i klassisk mening; det är konsekvensen för individerna som avgör. Den andra risken kommer före den tredje eftersom många personer berörs, vilket är samma faktor som IMY väger in i sin egen tillsyn. Och den tredje risken försvinner inte: den accepteras med ett dokumenterat beslut, vilket är något helt annat än att glömma bort den.

För den första risken är identitets- och behörighetshantering (IAM) ofta den åtgärd som ger störst riskreduktion per investerad krona, eftersom den begränsar både vem som når uppgifterna och hur väl åtkomsten kan spåras i efterhand.

Vanliga fallgropar som leder till felprioritering

Riskkriterierna kommer efter analysen

MSB:s metodstöd lyfter fram att kriterier för värdering behöver vara bestämda innan analysen börjar. När de saknas bedömer varje avdelning efter egen magkänsla. Resultatet blir det som kan kallas riskinflation: låga risker klassas som höga, budgeten sprids tunt och de risker som verkligen hotar verksamhetens mål får för lite uppmärksamhet.

En generisk matris som tappar resonemanget

Många organisationer använder en matris där sannolikhet och konsekvens graderas från 1 till 4 och multipliceras. Metoden ser objektiv ut men har en baksida. IMY:s praktiska guide varnar för att sammanvägda siffervärden riskerar att dölja det faktiska resonemanget bakom en risk, och förordar kvalitativa beskrivningar, särskilt när det gäller skyddet av enskildas rättigheter och friheter. En “8” säger ingenting om vem som drabbas eller hur. En mening som “hälsouppgifter om anställda kan läsas av obehöriga kollegor” gör det.

Riskbedömningen behandlas som ett projekt

En riskanalys med startdatum, slutdatum och en PDF i en mapp är föråldrad nästan direkt. IMY beskriver i sin vägledning om hur en konsekvensbedömning ska genomföras att den ska vara en pågående och dokumenterad process, inte en engångsaktivitet med ett tydligt avslut. Samma sak gäller prioriteringsordningen som helhet.

Allt hamnar i kategorin “hög”

När allt är högst prioriterat är ingenting det. Ett enkelt test är att räkna andelen risker över acceptansnivån. Om nästan alla ligger där är kriterierna troligen för snäva, eller så har ingen vågat fatta beslut om acceptans. Båda problemen löses i ledningsgruppen, inte i riskregistret.

Förebyggande arbete trängs undan

Den sista fallgropen är mer subtil. Ett strikt fokus på de mest akuta riskerna kan göra att långsiktigt förebyggande arbete, som utbildning, gallring och bättre rutiner för nya system, aldrig hamnar överst. Det leder oss till ett oväntat område som har funderat mycket på just den frågan.

Vad compliance kan lära av vårdens prioriteringar

Flera av sökresultaten för riskbaserad prioritering handlar om hälso- och sjukvården, och det är ingen slump. Vården har en av de mest genomtänkta modellerna för prioritering i Sverige. Enligt Socialstyrelsen ska prioriteringarna utgå från den etiska plattform som riksdagen beslutade genom prop. 1996/97:60, med tre principer:

• Människovärdesprincipen: alla människor har lika värde.
• Behovs- och solidaritetsprincipen: de med störst behov ska få företräde.
• Kostnadseffektivitetsprincipen: det ska finnas en rimlig relation mellan kostnader och effekt.

Ordningen är viktig. Kostnadseffektivitet kommer sist och får inte trumfa de två första. Överfört till dataskydd blir parallellen tydlig: konsekvensen för de registrerade ska väga tyngre än hur billig en åtgärd är. Socialstyrelsens stöd för att implementera nationella riktlinjer visar också att prioritering handlar om att avveckla metoder utan tillräcklig effekt, inte bara att införa nya. För en complianceorganisation motsvarar det att våga sluta med kontroller som inte minskar någon verklig risk.

Så håller du prioriteringen levande

En prioriteringsordning som inte uppdateras blir snabbt en falsk trygghet. Några rutiner som gör skillnad i praktiken:

• Koppla incidentloggen till riskregistret. Varje incident ska leda till frågan: vilken risk var det här, och var bedömningen rätt? Om en personuppgiftsincident inträffar har du dessutom bråttom; läs mer om anmälan av personuppgiftsincident till IMY inom 72 timmar.
• Gör leverantörsbedömningen till en riskkälla. Nya leverantörer och biträden förändrar riskbilden, särskilt vid överföringar till tredje land.
• Låt förändringar utlösa omvärdering. Nya system, nya ändamål och ny AI-funktionalitet ska passera en snabb riskbedömning innan de tas i bruk.
• Rapportera status till ledningen regelbundet. Visa hur många risker som ligger över acceptansnivån, vilka åtgärder som är försenade och vilka beslut som behövs. Det är också så du visar att ni följer GDPR, inte bara att ni försöker.

Vårt perspektiv: prioritering är ett ledningsbeslut med juridisk grund

Vi som bygger Trustview kommer från juridiken, och vi ser samma mönster hos många svenska organisationer. Riskanalyserna finns, ofta väl genomförda, men de ligger utspridda i kalkylblad, dokument och mejltrådar. Kopplingen mellan registerförteckningen, konsekvensbedömningarna, incidenterna och åtgärderna saknas. Då går det inte att prioritera på riktigt, eftersom ingen ser helheten.

Vår erfarenhet är att riskbaserad prioritering lyckas när tre förutsättningar finns på plats. Kriterierna är beslutade av ledningen och gäller hela organisationen. Varje risk har en namngiven ansvarig och en uppföljning som faktiskt sker. Och resonemanget bakom bedömningen finns kvar, så att den håller när IMY, en revisor eller ett nytt dataskyddsombud ställer frågan varför. Det är juridiskt arbete lika mycket som säkerhetsarbete, och det är därför vi menar att jurister och säkerhetsansvariga behöver arbeta i samma struktur, inte i parallella system.

— Jesper

Så stödjer Trustview arbetet

Trustview samlar registerförteckningar, konsekvensbedömningar (DPIA och TIA), risk- och incidentloggning, leverantörsbedömningar och åtgärdsuppföljning på en plattform, med stöd för GDPR, NIS2, ISO 27000 och AI-förordningen. Du kan delegera ansvar, bygga egna ramverk och få en realtidsöversikt över compliancestatus med automatiserade rapporter till ledningen. Plattformen kostar från 2 500 kr per månad, och behöver ni stöd i en svår bedömning finns juridisk rådgivning som tillägg.

Vanliga frågor

Vad är riskbaserad prioritering?

Det är ett arbetssätt där du rangordnar risker efter sannolikhet och konsekvens, mot kriterier som är beslutade i förväg, och lägger resurserna i den ordningen. Inom dataskydd innebär det att skyddsåtgärderna står i proportion till riskerna för de registrerade. Risker under acceptansnivån dokumenteras som accepterade i stället för att åtgärdas.

Vad ska en riskbedömning innehålla?

En riskbedömning ska beskriva analysobjektet, vad som kan hända, orsakerna och konsekvenserna, en värdering mot organisationens kriterier och ett beslut om åtgärd eller acceptans. Varje åtgärd behöver en ansvarig och ett datum. Behåll resonemanget i klartext, inte bara en siffra i en matris.

Vad menas med riskhantering?

Riskhantering är den systematiska processen att identifiera, analysera, värdera och hantera risker, i enlighet med SS-ISO 31000. Prioriteringen sker i värderingssteget, där risker jämförs med kriterierna. Processen är löpande och ska upprepas när förutsättningarna ändras.

Hur ofta bör prioriteringsordningen uppdateras?

Den bör uppdateras när något förändras: en incident, ett nytt system, en ny leverantör eller en ändrad behandling. Komplettera med en fast genomgång, till exempel en gång per år inför budgetarbetet. Både IMY och MSB beskriver risk- och konsekvensarbetet som en pågående process, inte en engångsinsats.

Källor

• IMY: Vägledning vid konsekvensbedömning – en praktisk guide
• IMY: Hur ska en konsekvensbedömning genomföras?
• IMY: Tänk säkert, agera smart (presentation, 22 oktober 2024)
• IMY: Tillsyns- och vägledningsprioriteringar 2025
• MSB: Metodstöd för informationssäkerhet – Riskhantering
• MSB: Vägledning för arbete med riskhantering
• Socialstyrelsen: Utmönstring av vård som saknar patientnytta
• Socialstyrelsen: Implementera nationella riktlinjer

Rekommendationer

• ISO 27005-riskanalys: praktisk guide för säkerhetsansvariga
• Riskkriterier i DPIA: så avgör du när en konsekvensbedömning krävs
• Riskbaserat tänkande för compliance: hur det hjälper dig prioritera
• Kontrollista för riskhantering: guide för svenska företag