Ni är leverantör till en verksamhetsutövare under cybersäkerhetslagen

Er kund kommer att fråga. Här är protokollet de accepterar.

§ 1 · Varför er kund frågar

Tre paragrafer och en tillsyn

Kraven flyttar via avtalet

4 kap 1 § andra stycket MCFFS 2026:11 säger att verksamhetsutövaren ska säkerställa att föreskriftens krav uppfylls av leverantören, utom där kravet i sin helhet uppfylls av verksamhetsutövaren. Kraven landar hos er genom avtalet.

Uppföljningen är föreskriven

Enligt 4 kap 4 § allmänna råd bör avtalet reglera hur verksamhetsutövaren följer upp leverantörens efterlevnad. Enligt 3 kap 6 § allmänna råd ska samordnaren ge ledningen uppgifter om bristande cybersäkerhet hos leverantörer. Någon ska alltså fråga er, återkommande.

Samma yta som tillsynen skannar

Enligt MCFFS 2026:12 3 kap 7 § allmänna råd väljer tillsynsmyndigheten system utifrån bland annat exponering mot internet och teknisk riskprofil. Protokollet täcker samma yta i förväg.

§ 2 · För er IT-avdelning

Ett protokoll som tar frågorna innan de landar hos er

Varje leverantörskrav som kommer in blir i praktiken en fråga till IT. Formulär att fylla i, skärmbilder att ta fram, förklaringar att skriva till en inköpare som inte läser tekniska svar. Protokollet gör det arbetet en gång, utifrån, i en form kunden accepterar.

• Inget att förbereda

  Arbetet sker utifrån med öppna källor och standardfrågor. Driften fortsätter opåverkad.

• En prioriterad lista i stället för ett formulär

  Varje avvikelse är knuten till en paragraf, en källa och en tidsstämpel. Det som ska åtgärdas står i ordning, och det som inte syns utifrån står också där.

• En extern röst för det ni redan sagt

  När policyn säger trettio dagar och verkligheten säger hundraåttio står det i protokollet med källa. Det är ofta det underlag som saknats i budgetsamtalet.

• Samma yta som tillsynen kommer att titta på

  Tillsynsmyndigheten väljer system att skanna utifrån exponering mot internet och teknisk riskprofil. Ni vet vad de ser innan de tittar.

• Ni stänger, vi verifierar

  När ni åtgärdat en avvikelse kontrollerar vi den igen och uppdaterar protokollet. Ni äger åtgärden och metoden. Det är er kompetens.

§ 4 · Täckning

Utsidan ser 17 av 57 paragrafer

11

bedöms direkt

6

ger indikatorer

40

kräver insyn

Det utsidan inte ser skrivs ut i protokollet som just det, med hänvisning till vilket kapitel som kräver dokument, intervju eller platsbesök.

§ 5 · Vad vi är och inte är

Besiktning, inte verkstad

Verkstaden lagar, krocktestet slår sönder, värderingen sätter ett pris. Besiktningen kontrollerar mot regelverket och skriver ett protokoll som andra litar på.

• GRC-konsult”Har ni rätt ledningssystem?”Vi lämnar avvikelser att stänga. De lämnar dokument att verifiera.
• Pentest”Kan någon ta sig in?”Vi pekar ut var djuptestet ska sättas in. De gör intrånget. Vi rör aldrig något.
• Certifiering och revision”Är ledningssystemet certifierbart?”Vi lämnar extern evidens till revisionen. De avgör.
• SOC och MDR”Vad händer just nu?”Vi lämnar den yta som ska bevakas.
• Ratingplattform”Vilken poäng?”Vi översätter poängen till paragraf och signerad evidens.
• OSINT-utredare”Vem är personen?”Vi besiktar organisationer. Människor redovisas enbart aggregerat.

Från besiktning till signerat protokoll

1. 01

   Passiv insamling över hela den externa ytan

   Vi rör inga system. Allt samlas in utifrån, ur öppna källor.

2. 02

   AI mappar fynd till paragraf och kontroll

   Policydokument jämförs mot observerad verklighet.

3. 03

   Namngiven konsult granskar och signerar

   Du betalar för omdömet och kvalitetsstämpeln, inte för skanningen.

4. 04

   Protokoll på två sidor plus evidensbilaga

   Levereras inom tio arbetsdagar, redo att lämnas till din kund.

Er IT-avdelning får evidensbilagan i sin helhet, med källa och fråga per rad, så att varje fynd kan upprepas internt.

Metoden är passiv och utförs i nio lager utifrån. Exakt vilka kontroller, verktyg och kontaktnivåer som ingår står på leveranssidan.

§ 7 · Fyra nivåer

Fast pris, aldrig timmar

Se exakt vad som ingår i varje nivå →

§ 9 · Konsulten

Namnteckningen är produkten

Skanningen kan vem som helst göra. Det ni betalar för är att en namngiven konsult har granskat varje rad, strukit allt utan källa och satt sitt namn under resultatet. Det är också den som svarar när er kund ringer.

[NAMN]

[TITEL]

[ETT STYCKE OM BAKGRUND, 40 ORD]

[CERTIFIERINGAR]

Ansvarsförsäkrad hos [FÖRSÄKRINGSBOLAG]

Läs mer om konsulten →