MCF: Offentlig sektor brister allvarligt i säkerhetsarbetet

Myndigheten för civilt försvar, tidigare MSB, följer på uppdrag av regeringen upp nivån på det systematiska cybersäkerhetsarbetet hos samhällsviktiga verksamheter. Resultaten redovisas i Cybersäkerhetskollen, och är återigen tydliga: Cybersäkerhetsnivån och förbättringsarbetet i Sverige behöver öka.

– Resultatet visar återigen på brister i offentlig förvaltnings cybersäkerhetsarbete. Det krävs nu ett tydligt engagemang från ledningsnivå, där cybersäkerhetsarbetet prioriteras och tilldelas mer resurser. Utvecklingen är inte i linje med behovet givet det säkerhetspolitiska läget, säger Mikael Frisell, generaldirektör på Myndigheten för civilt försvar.

Omfattar fyra mätningar

Cybersäkerhetskollen 2025 omfattar fyra mätningar som sammantaget ska spegla bredden av ett systematiskt säkerhetsarbete, dessa är:

• Infosäkkollen (informationssäkerhet)
• It-säkkollen (it-säkerhet)
• Ot-säkkollen (säkerhet i operativ teknik)
• Leveranskedjekollen (säkerhet i digitala leveranskedjor)

I samtliga mätningar når en majoritet av organisationerna inte den nivå som visar att ett systematiskt arbete finns på plats. Av de 47 organisationer som deltagit i samtliga mätningar, kan endast tre påvisa att de bedriver ett systematiskt cybersäkerhetsarbete. 

– Det finns exempel på organisationer som har ett resultat som motsvarar att de bedriver ett systematiskt cybersäkerhetsarbete i en enskild mätning. Sedan har de ett svagare resultat i en annan, vilket gör att ytterst få samhällsviktiga verksamheter i Sverige kan sägas arbeta systematiskt med helheten i sitt cybersäkerhetsarbete, säger Mathias Antonsson, sektionschef vid strategisk analys.

Vill ha lagkrav på att delta

Över 300 offentliga verksamheter deltog i mätningen, vilket är det högsta antalet hittills. Däremot deltog för få privata skyddsvärda verksamheter för att deras resultat skulle kunna analyseras och bedömas. Därför rekommenderar nu MCF att regeringen sätter som krav enligt Cybersäkerhetslagen på att verksamhetsutövare i privat sektor måste delta i Cybersäkerhetskollen 2027.