Tillgångsförteckning enligt ISO 27001: så bygger du registret

En tillgångsförteckning enligt ISO 27001 är organisationens dokumenterade register över information och de tillgångar som bär informationen: system, programvara, hårdvara, molntjänster, lokaler och personer med nyckelkompetens. Varje tillgång har en utsedd ägare och en klassning. Kravet finns i kontroll 5.9 i bilaga A, men förteckningen behövs för hela ledningssystemet. Utan den går det inte att göra en trovärdig riskbedömning, motivera ett uttalande om tillämplighet (SoA) eller visa en revisor att skyddet följer informationens värde. Nedan går vi igenom vad standarden kräver, vilka uppgifter registret ska innehålla och hur du bygger och underhåller det steg för steg.

Kort sagt

• ISO/IEC 27001:2022 kräver att en förteckning över information och andra tillhörande tillgångar, med ägare, tas fram och underhålls (kontroll 5.9 i bilaga A).
• Varje post bör kunna besvara frågorna: vad är det, var finns det, vem äger det, hur är det klassat och vad beror det på.
• Klassningen görs utifrån konfidentialitet, riktighet och tillgänglighet och är underlaget för riskbedömningen och valet av åtgärder.
• Förteckningen är ett levande register. Den ska uppdateras vid planerade intervall och vid varje väsentlig förändring, i takt med riskbedömningarna.
• Revisorn läser förteckningen tillsammans med riskregistret och SoA. Kopplingarna mellan dem är det som visar att ledningssystemet fungerar.

Innehållsförteckning

• Vad ISO 27001 kräver av tillgångsförteckningen
• Varför registret bär hela ledningssystemet
• Vilka tillgångar ska ingå?
• Vilka uppgifter registret ska innehålla
• Så bygger du tillgångsförteckningen steg för steg
• Klassning och ägarskap i praktiken
• Från tillgångsregister till riskbedömning och SoA
• Underhåll, granskning och revision
• Samma register för NIS2 och GDPR
• Vårt perspektiv på tillgångsförteckningen
• Strukturera arbetet med ISO 27001 i Trustview
• Vanliga frågor
• Källor

Vad ISO 27001 kräver av tillgångsförteckningen

Kravet i bilaga A är kortfattat. Kontroll 5.9, Förteckning över information och andra tillhörande tillgångar, anger att en förteckning med ägare ska tas fram och underhållas. Två ord bär hela kravet: ägare och underhållas. En lista som togs fram inför certifieringen och sedan inte rörts uppfyller inte kontrollen.

Kontroll 5.9 hänger ihop med flera krav i själva standardtexten. Enligt ISO/IEC 27001:2022 gäller följande:

• Klausul 6.1.2 kräver en process för riskbedömning som identifierar risker för förlust av konfidentialitet, riktighet och tillgänglighet för information inom ledningssystemets omfattning, och som identifierar riskägare.
• Klausul 6.1.3 kräver att organisationen jämför de åtgärder den valt med bilaga A, kontrollerar att inga nödvändiga åtgärder utelämnats och tar fram ett uttalande om tillämplighet med motivering till varför åtgärder tagits med eller valts bort.
• Klausul 8.2 kräver riskbedömningar vid planerade intervall och när betydande förändringar föreslås eller genomförs.

Alla tre förutsätter att du vet vilken information och vilka tillgångar som finns inom omfattningen. Förteckningen är alltså ingen fristående kontroll utan grunden för ledningssystemet. Närliggande kontroller i bilaga A bygger direkt på den: 5.10 om tillåten användning, 5.11 om återlämnande av tillgångar, 5.12 om klassning och 5.13 om märkning av information. Vill du se hur kontrollerna hänger ihop beskriver vi det i guiden om Annex A och dess 93 kontroller.

Varför registret bär hela ledningssystemet

Det går inte att skydda det man inte vet att man har. Det är den praktiska kärnan. Finansiell samordning mot antagonistiska hot (FSP) skriver i sitt policymeddelande om tillgångsförvaltning från 2025 att tillgångsförvaltning är en del av organisationens strategiska arbete. Den stärker också beredskapen vid incidenter, fredstida kriser och höjd beredskap, eftersom den ger en systematisk och detaljerad förståelse för organisationens tillgångar.

Förteckningen har dessutom en ekonomisk sida. MSB:s översikt av metodstödet för systematiskt informationssäkerhetsarbete beskriver klassning som en förutsättning för rätt skydd. Klassningen hjälper också till att undvika överskydd med onödigt höga kostnader. En väl klassad förteckning visar var du behöver investera och var en grundnivå räcker.

För ledningen blir registret också ett styrinstrument. När varje kritisk tillgång har en namngiven ägare blir det tydligt vem som fattar beslut om skydd, vem som godkänner förändringar och vem som ska larmas vid en incident.

Vilka tillgångar ska ingå?

Standarden talar om information och andra tillhörande tillgångar. Utgå från informationen och följ den sedan till allt som lagrar, behandlar eller överför den. Tabellen visar de kategorier som de flesta organisationer behöver täcka.

Nivån på detaljerna avgör om registret blir användbart. En post per bärbar dator är sällan meningsfull i ett riskperspektiv. En post för klientdatorer, standardkonfiguration med tydlig ägare och klassning fungerar oftast bättre, medan själva inventariet hanteras i IT-avdelningens verktyg. Kritiska system och informationsmängder ska däremot stå var för sig.

Vilka uppgifter registret ska innehålla

ISO 27001 föreskriver inga specifika fält. Enligt FSP:s princip 4 bör förteckningen vara så detaljerad att en tillgång snabbt kan identifieras tillsammans med dess placering, säkerhetsklassning och ägare. Den bör också visa konfiguration och beroenden mellan IKT-tillgångar, så att konfigurationshantering och förändringsledning fungerar. Det ger en lämplig grundstruktur:

FSP betonar också att förteckningen ska vara korrekt, uppdaterad, konsekvent och stämma överens med organisationens övriga register. I praktiken betyder det att samma system inte får heta tre olika saker i tillgångsförteckningen, registerförteckningen enligt GDPR och leverantörslistan.

Så bygger du tillgångsförteckningen steg för steg

1. Fastställ omfattningen. Utgå från den omfattning som ledningssystemet har fått enligt klausul 4.3. Tillgångar utanför omfattningen kan nämnas men behöver inte klassas i samma detalj.
2. Kartlägg verksamhetens processer. Fråga varje processägare vilken information processen skapar och använder. Det fångar informationsmängder som en ren IT-inventering missar.
3. Följ informationen till dess bärare. Koppla varje informationsmängd till de system, molntjänster, platser och personer som hanterar den.
4. Utse ägare. Enligt FSP:s princip 2 bör varje informations- och IKT-tillgång ha en utsedd ägare. Ägaren klassar tillgången och ser till att den uppfyller de säkerhetskrav som klassningen medför.
5. Klassa. Använd en gemensam modell för konfidentialitet, riktighet och tillgänglighet. Mer om det i nästa avsnitt.
6. Dokumentera beroenden. Notera vilka tillgångar som är beroende av varandra och av externa leverantörer.
7. Fastställ en rutin för underhåll. Bestäm intervall för granskning och vilka händelser som ska leda till uppdatering, till exempel nya system, avvecklingar, omorganisationer och nya leverantörer.

Exempel: ett medelstort tjänsteföretag

Ett konsultbolag med 150 anställda börjar med att intervjua ägarna för fem kärnprocesser: försäljning, leverans, ekonomi, HR och IT. Ur intervjuerna kommer 40 informationsmängder. De kopplas till 25 system och tjänster, varav 18 är molntjänster. Tre informationsmängder klassas högt för konfidentialitet: kunddata i leveransprojekt, löneunderlag och anbud. Kartläggningen visar också att lönesystemet bara administreras av en person. Det dokumenteras som ett kompetensberoende och förs direkt in som en risk i riskregistret.

Exemplet visar arbetsgången: verksamheten först, sedan tekniken, och varje fynd kopplat vidare till riskarbetet.

Klassning och ägarskap i praktiken

MSB:s vägledning Klassning av information anger att verksamhetsansvariga, till exempel linjechefer, processägare, projektägare och informationsägare, ansvarar för att den egna informationen klassas och får ett tillräckligt skydd. Att klassa information innebär enligt MSB att göra en konsekvensbedömning: vad händer om informationen röjs, ändras felaktigt eller inte är tillgänglig när den behövs?

MSB:s klassningsmodell bygger på aspekterna konfidentialitet, riktighet och tillgänglighet. Klassningen ger tillsammans med riskbedömningen underlag för att välja tillräckliga säkerhetsåtgärder. MSB betonar också att klassningen ska göras på samma sätt i hela organisationen, så att likvärdig information får samma skyddsnivå. En gemensam modell gör dessutom kommunikationen med leverantörer enklare.

Hur det kan se ut i en stor organisation visar Pensionsmyndighetens redovisning om informationssäkerhet från 2023. Där ska tillgångarna vara identifierade och dokumenterade och ha en ansvarig chef eller funktion. Myndigheten har arbetat systematiskt med informationsklassning sedan 2012 och använder en metod i fyra steg: värdering, avvikelseanalys, riskanalys och åtgärdsanalys. Stegen genomförs i workshopform.

Några råd om ägarskap:

• Utse en roll, inte bara en person. Ägarskapet ska stå kvar när en medarbetare byter tjänst. Knyt det till en befattning och ange vem som har rollen just nu.
• Skilj på ägare och förvaltare. Informationsägaren beslutar om skyddsnivån. IT eller en leverantör genomför ofta åtgärderna.
• Lägg in ägarbyten i rutinen för personalförändringar. När någon slutar eller byter roll ska tillgångarna föras över till en ny ägare direkt.

Vi beskriver klassningsnivåer och metod mer ingående i vår guide om informationsklassning och skyddsnivåer.

Från tillgångsregister till riskbedömning och SoA

Tillgångsförteckningen gör nytta först när den används i riskarbetet. Enligt MSB:s vägledning om säkerhetsåtgärder i informationssystem ska riskbedömningen besvara fyra frågor: Vad kan hända? Varför kan det hända? Vad blir konsekvenserna? Hur sannolikt är det? Svaren ger underlag för beslut om vilka säkerhetsåtgärder som behövs. Vägledningen är skriven som stöd till MSBFS 2020:7 för statliga myndigheter, men kan användas av alla organisationer.

Kedjan ser ut så här:

1. Tillgång och klassning visar vad som står på spel.
2. Hot och sårbarheter per tillgång eller grupp av tillgångar visar vad som kan hända.
3. Riskvärdering enligt organisationens kriterier visar vilka risker som måste behandlas.
4. Val av åtgärder jämförs med bilaga A enligt klausul 6.1.3.
5. Uttalandet om tillämplighet motiverar varför varje åtgärd tagits med eller valts bort.

MSB:s metodstöd om att utforma organisationens säkerhetsåtgärder anger att risk-, informations- eller systemägare ansvarar för att identifiera vilket skydd som behövs. Skyddet uppstår först när åtgärderna är på plats och fungerar som avsett. Därför ska ägaren i tillgångsregistret och riskägaren i riskregistret hänga ihop.

FSP rekommenderar också regelbundna riskbedömningar av hot mot informations- och IKT-tillgångar. De bör ta hänsyn till informationens känslighet, sårbarheter i it-miljön, hur ett dataintrång kan påverka verksamheten samt medarbetarnas utbildning och kunskap. Hur du strukturerar nästa led beskriver vi i guiderna om riskregister för informationssäkerhet och riskanalys enligt ISO 27005.

Underhåll, granskning och revision

Eftersom klausul 8.2 kräver riskbedömningar vid planerade intervall och vid betydande förändringar behöver förteckningen följa samma rytm. En arbetsordning som fungerar för många organisationer:

• Vid förändring: nya system, avvecklingar, nya leverantörer, omorganisationer och större projekt uppdaterar registret innan förändringen går i drift.
• Årligen eller oftare: varje ägare bekräftar sina tillgångar, klassningar och beroenden.
• Inför internrevision och ledningens genomgång: stäm av förteckningen mot riskregistret, SoA, leverantörslistan och registerförteckningen enligt GDPR.

Vid en certifieringsrevision brukar revisorn följa spåren åt båda håll: från en tillgång till dess risker och åtgärder, och från en åtgärd i SoA tillbaka till de tillgångar den skyddar. Var beredd att visa när förteckningen senast granskades och vem som godkände ändringarna. En gap-analys inför certifiering är ett bra tillfälle att testa spårbarheten. MSB:s vägledning om gapanalys utgår just från SS-EN ISO/IEC 27001 och åtgärderna i bilaga A.

Samma register för NIS2 och GDPR

Många svenska organisationer arbetar med flera regelverk samtidigt. Tillgångsförteckningen kan då bli den gemensamma grunden. Riskhantering och leverantörskedjan är centrala delar av NIS2, och båda kräver att du vet vilka system och tjänster verksamheten är beroende av. Den som vill se hur kraven slår mot mindre verksamheter kan läsa denna genomgång av NIS2-skyldigheter för mindre företag.

På dataskyddssidan bör fältet personuppgifter ja eller nej leda direkt till rätt behandling i registerförteckningen enligt GDPR. När samma system har samma namn och id i båda registren blir det mycket enklare att hantera incidenter, svara på frågor från de registrerade och granska leverantörer. För leverantörsdelen kan vår checklista för leverantörsbedömning användas som stöd.

Vårt perspektiv på tillgångsförteckningen

Vi ser ofta att tillgångsförteckningen lever som ett kalkylblad långt från resten av ledningssystemet. Riskerna finns i ett annat dokument, SoA i ett tredje och registerförteckningen enligt GDPR hos dataskyddsombudet. Det är då kopplingarna går förlorade, och det är just kopplingarna revisorn granskar.

Vår uppfattning är att förteckningen ska behandlas som en del av ledningssystemet och inte som en bilaga. Varje tillgång ska ha en ägare med ett tilldelat ansvar, varje klassning ska leda vidare till en riskbedömning och varje risk ska leda till en åtgärd som följs upp. När allt finns på ett ställe blir underhållet en del av vardagen i stället för ett projekt inför revisionen.

Som jurister ser vi också värdet av att informationssäkerhet och dataskydd delar struktur. Samma system, samma leverantörer och samma ansvariga förekommer i båda. Att bygga det en gång och använda det för ISO 27001, NIS2 och GDPR är både effektivare och mer hållbart.

Jesper

Strukturera arbetet med ISO 27001 i Trustview

Trustview är en svenskutvecklad plattform för compliance, informationssäkerhet och dataskydd, byggd av jurister. Plattformen stöder ISO27000, GDPR, NIS2 och AI-förordningen. I samma verktyg kan du logga risker och incidenter, följa upp åtgärder, bedöma leverantörer, delegera ansvar, bygga egna ramverk och få en realtidsöversikt över efterlevnaden med automatiska rapporter. Färdiga mallar och guider gör det enklare att komma i gång. Läs mer om vårt ISO 27001-verktyg för informationssäkerhet.

Trustview kostar från 2 500 kr per månad och organisation. Behöver du stöd med tolkning av kraven kan juridisk rådgivning läggas till. Se priser och upplägg för Trustview.

Vanliga frågor

Måste tillgångsförteckningen vara ett enda register?

Nej. Standarden kräver en förteckning med ägare som underhålls, men den kan bestå av flera sammankopplade register. Det viktiga är att registren är konsekventa, att samma tillgång har samma namn och id överallt och att du kan visa helheten för revisorn.

Räcker IT-avdelningens inventarieverktyg som tillgångsregister?

Ett sådant verktyg täcker oftast hårdvara och programvara. Det saknar informationsmängder, ägare, klassning och kopplingar till risker. Använd det som underlag för de tekniska tillgångarna och låt tillgångsförteckningen i ledningssystemet utgå från informationen och verksamheten.

Vad är skillnaden mellan ISO 27001 och ISO 27002 när det gäller tillgångar?

ISO 27001 innehåller kraven, och kontroll 5.9 i bilaga A säger vad som ska finnas. ISO/IEC 27002:2022 innehåller samma åtgärder med vägledning om hur de kan genomföras, till exempel vilken detaljnivå som passar och hur ägarskapet kan organiseras. Certifieringen görs mot ISO 27001.

Hur ofta ska tillgångsförteckningen uppdateras?

Den ska uppdateras när något väsentligt förändras, till exempel nya system, leverantörer eller organisationsförändringar. Dessutom bör den granskas regelbundet, vanligen minst en gång om året. Rytmen bör följa de planerade riskbedömningarna enligt klausul 8.2.

Vem ska äga en tillgång?

Den roll i verksamheten som ansvarar för informationen eller processen, till exempel en processägare eller linjechef, och inte automatiskt IT. Ägaren beslutar om klassning och skyddsnivå medan IT eller en leverantör ofta genomför åtgärderna.

Källor

• ISO/IEC 27001:2022, Information security management systems: Requirements
• FSP: Tillgångsförvaltning av informations- och IKT-tillgångar (2025)
• MSB: Metodstöd för systematiskt informationssäkerhetsarbete, en översikt
• MSB: Klassning av information
• MSB: Klassningsmodell
• Pensionsmyndigheten: Informationssäkerhet, svar på regeringsuppdrag (2023)
• MSB: Vägledning, säkerhetsåtgärder i informationssystem
• MSB: Utforma organisationens säkerhetsåtgärder
• MSB: Gapanalys
• NIS2-skyldigheter för mindre företag

Rekommendationer

• Riskregister för informationssäkerhet: så bygger du ett som håller
• ISO 27001-verktyg för informationssäkerhet
• ISO 27005-riskanalys: praktisk guide för säkerhetsansvariga
• ISO 27001 gap-analys: så förbereder du certifiering rätt