Sveriges kritiska infrastruktur är inte säkrare än den minsta leverantör som har tillgång till systemen. Men den blir inte heller säkrare av att stora systemägare skickar hela säkerhetsnotan nedåt i kedjan.
Det är den obekväma balans som riskerar att försvinna när cybersäkerhetskraven skärps. Ingen seriös aktör kan invända mot bättre skydd av elnät, vårdsystem, vattenförsörjning, transporter och känsliga personuppgifter. Frågan är vem som ska ha förmågan att genomföra kraven – och vem som ska betala.
Lagen träffar inte alla på samma sätt
NIS 2-direktivet kräver att berörda verksamheter vidtar lämpliga och proportionella tekniska, operativa och organisatoriska säkerhetsåtgärder. Det omfattar också säkerheten i relationen till direkta leverantörer och tjänsteleverantörer. Ledningen hos den reglerade verksamheten ska godkänna och övervaka åtgärderna.
Det betyder däremot inte att varje litet företag automatiskt får samma direkta lagkrav som ett stort energi-, transport- eller vårdbolag. NIS 2 riktas som huvudregel mot medelstora och stora verksamheter i utpekade sektorer, även om vissa verksamheter kan omfattas oavsett storlek. Direktivet bygger dessutom uttryckligen på proportionalitet.
I Sverige presenterade en statlig utredning 2024 ett förslag till ny cybersäkerhetslag för att genomföra direktivet. Utredningen är ett lagförslag, inte något som bör blandas ihop med den slutliga lagstiftningens exakta innehåll.
Den verkliga belastningen på små leverantörer kan i stället uppstå genom avtal och upphandlingar. När en stor kund behöver kontrollera sin leverantörskedja kan kraven ta formen av revisioner, dokumentation, incidentrapportering, penetrationstester, försäkringar och detaljerade avtalsvillkor. Varje krav kan vara rimligt sett för sig. Tillsammans kan de bli en hel säkerhetsorganisation som den lilla leverantören förväntas finansiera åt kunden.
Små företag kan vara stora riskpunkter
Det finns ett starkt motargument: ett litet företag är inte automatiskt en liten risk. En leverantör med administrativ åtkomst till ett vårdsystem, ett elnät eller ett omfattande personregister kan orsaka stor skada oavsett hur få anställda bolaget har.
SolarWinds-angreppet visade hur skadlig kod kunde distribueras genom legitima programuppdateringar från en betrodd leverantör. ENISA har också pekat ut leverantörskedjeattacker som ett centralt hot, just eftersom en angripare kan utnyttja kundernas förtroende för en leverantör för att nå många organisationer.
Slutsatsen kan därför inte vara att små företag ska slippa säkerhetskrav. Kraven måste följa åtkomst, beroende och möjlig konsekvens – inte bara omsättning eller antal anställda. En liten leverantör med privilegierad åtkomst kan behöva möta mycket höga krav. Men då måste den ekonomiska modellen också erkänna att säkerheten är en del av den kritiska tjänstens kostnad.
OECD har beskrivit hur små och medelstora företag ofta begränsas av brist på kompetens, tid, finansiering och medvetenhet inom cybersäkerhet. Gruppen är långt ifrån enhetlig; vissa små teknikföretag har mycket hög säkerhetsmognad. Men när små och medelstora företag samtidigt utgör nästan hela företagsbeståndet kan illa utformade indirekta krav få breda konsekvenser.
Outsourcing avskaffar inte ansvar
Den som lägger ut drift eller personuppgiftsbehandling kan inte automatiskt lägga bort sitt eget ansvar. Enligt GDPR måste den personuppgiftsansvarige välja biträden som ger tillräckliga garantier och kunna visa att reglerna följs. För finanssektorn gör DORA samma huvudprincip tydlig på cybersäkerhetsområdet: finansiella företag ansvarar för att hantera riskerna i sina arrangemang med externa IKT-leverantörer. DORA började tillämpas den 17 januari 2025.
Det borde få praktiska följder. Om en bank, region, myndighet eller infrastrukturoperatör kräver en viss övervakning, revision eller incidentberedskap för att skydda sin egen samhällsviktiga tjänst, bör kostnaden inte reflexmässigt dumpas på den minsta avtalsparten.
Det innebär inte att leverantören ska befrias från ansvar. Den som utvecklar programvara, hanterar uppdateringar eller har fjärråtkomst måste skydda sina egna system och bära konsekvenserna av vårdslöshet. Kostnadsdelning får inte bli ansvarsfrihet.
Motståndskraft måste byggas gemensamt
Staten och de stora systemägarna bör därför göra mer än att skicka frågeformulär och avtalsbilagor. Gemensamma standarder, branschspecifik vägledning, delade säkerhetstjänster, samordnad incidentkapacitet och medfinansierade granskningar kan ge bättre skydd än att varje liten leverantör ska bygga samma funktioner från grunden.
Stora kunder kan också erbjuda längre avtal och ersätta säkerhetsarbete som faktiskt krävs för deras riskmiljö. Då blir cybersäkerhet en beställd och finansierad del av tjänsten, inte ett dolt inträdespris som bara de största leverantörerna klarar.
För om säkerhetskraven utformas så att endast ett fåtal stora bolag har råd att delta riskerar marknaden att koncentreras. Det kan skapa nya beroenden och enskilda felpunkter – alltså just den typ av sårbarhet som reglerna är tänkta att minska.
Sverige behöver hårda cybersäkerhetskrav. Men hårdhet är inte samma sak som att den starkaste avtalsparten skickar kostnaden vidare. Robust kritisk infrastruktur kräver att ansvar följer kontroll, att krav följer risk och att kostnader delas av dem som är beroende av säkerheten.
Annars bygger vi ett regelverk som ser stabilt ut på papperet, men vilar på leverantörer som inte har fått resurser att bära det.
