ISMS står för Information Security Management System, på svenska ledningssystem för informationssäkerhet – ofta förkortat LIS. Det är ett systematiskt ramverk för att hantera och skydda organisationens information, från riskhantering och processer till tekniska skydd.
Det är strukturen som säkerställer att ni identifierar rätt risker, prioriterar rätt åtgärder och kontinuerligt förbättrar ert skydd. I praktiken är det skillnaden mellan att gissa sig till säkerhet och att faktiskt veta att man är skyddad.
Ett vanligt missförstånd är att ett ISMS är en produkt man köper. Det är det inte — det är ett arbetssätt. Programvara kan bära arbetssättet och göra det spårbart, men själva ledningssystemet består av era policyer, roller, riskbeslut och uppföljningsrutiner.
För många företag är ett ISMS idag också en affärskritisk nödvändighet för att:
- Bli ISO 27001-certifierade.
- Uppfylla lagkrav som NIS2 och DORA.
- Bygga förtroende vid upphandlingar och leverantörsgranskningar.
ISMS = Ordning och reda på säkerheten
Många tror felaktigt att informationssäkerhet enbart är en IT-fråga. Men ett ISMS fokuserar på tre perspektiv: Människor, Processer och Teknik. Om du har världens bästa brandvägg men personal som klickar på alla länkar i phishing-mail, så hjälper inte tekniken.
Ett konkret ISMS består i grunden av fyra delar (enligt PDCA-modellen):
- Planera: Identifiera vilka tillgångar ni har (data, system, personal) och vilka risker som hotar dem. Bestäm säkerhetsmål.
- Genomför: Implementera skyddsåtgärder. Det kan vara allt från multifaktorautentisering (MFA) till utbildning av personal och leverantörskontroller.
- Följ upp: Mät om skyddet fungerar. Har vi haft incidenter? Följer personalen våra policys? Genomför interna revisioner.
- Förbättra: Agera på resultatet. Täpp till luckor och uppdatera riskbedömningen.
Varför räcker det inte med Excel?
Många börjar bygga sitt ISMS i Excel eller Word. "Vi har en policy i den här mappen och en risklista i det här kalkylarket". Det fungerar i början, men blir snabbt omöjligt att hantera.
När kraven ökar – t.ex. när ni måste visa upp regelefterlevnad för en revisor eller kund – faller den manuella strukturen. Dokument blir inaktuella, risker glöms bort och ingen vet vem som ansvarar för vad. Det är här moderna GRC-verktyg (Governance, Risk and Compliance) kommer in för att automatisera och knyta ihop säcken.
Vad ska ett ISMS-system klara av?
Ett ISMS är ett arbetssätt, men programvaran som bär det behöver hantera fyra saker på ett ställe. Så här ser kraven ut när ni jämför verktyg:
- Tillgångsregistret: Vilka system, data och leverantörer som omfattas av ert tillämpningsområde, och vem som äger varje post.
- Riskerna och besluten: Varje identifierad risk med bedömning, valt åtgärdsalternativ och den som godkände beslutet.
- Kontrollerna och tillämplighetsförklaringen: Vilka av ISO 27001:s 93 säkerhetsåtgärder ni tillämpar, vilka ni har uteslutit och motiveringen till varje beslut.
- Bevisen: Underlaget som visar en revisor att en kontroll faktiskt utfördes – inte bara att den var planerad.
Den fjärde punkten är den som fäller flest kalkylblad. Risker och kontroller går att lista manuellt, men spårbarheten mellan en risk, den åtgärd som beslutades och beviset på att åtgärden genomfördes kräver att allt ligger i samma struktur.
Gränsen går ungefär vid en första certifieringsrevision, eller när fler än en person ansvarar för uppföljningen. Då blir påminnelser och versionshistorik mer värda än flexibiliteten i ett kalkylblad. En plattform som ChainSec knyter ihop riskregistret med åtgärdshanteringen och tillgångsregistret, så att en identifierad risk leder till en åtgärd med en ansvarig, ett datum och ett spårbart resultat.
Bestäm ändå arbetssättet innan ni väljer verktyg. Ett system som ska spegla en process ni saknar blir dyr dokumentation utan säkerhetsvärde.
Kom igång med ditt ISMS i 5 steg
Att implementera ett ISMS behöver inte ta år. Fokusera på "Good Enough" först och förbättra sedan.
1. Definiera omfattningen
Man måste inte skydda hela världen direkt. Börja med det som är absolut viktigast. Är det kunddatabasen? E-handelsplattformen? Utvecklingsmiljön? Avgränsa tydligt vad ert ISMS ska täcka inledningsvis.
Ett väldefinierat tillämpningsområde är faktiskt en styrka, inte en svaghet. Det gör att ni kan gå djupt snarare än brett, och att en revisor eller kund förstår exakt vad som ingår. Dokumentera avgränsningen skriftligt – vad som täcks, vad som uttryckligen lämnas utanför, och varför. Det sparar tid vid varje framtida revision.
2. Gör en riskbedömning
Ni kan inte skydda er mot allt. Riskbedömningen är verktyget för att prioritera. Ställ er tre frågor för varje kritisk tillgång:
- Vad är det värsta som kan hända? (Ransomware? Dataläcka? Systemstopp?)
- Hur sannolikt är det att det faktiskt inträffar?
- Vad skulle konsekvensen bli för verksamheten?
Lägg resurserna där risken är störst – inte där det känns enklast att agera. En riskbedömning är heller aldrig ett engångsjobb. Sätt ett datum för nästa genomgång direkt, förslagsvis kvartalsvis eller vid större förändringar i verksamheten.
3. Skriv en "Statement of Applicability" (SoA)
En SoA är ett centralt dokument i ISO 27001. Enkelt förklarat är det en lista där ni går igenom standardens 93 säkerhetsåtgärder och säger "Ja, denna gör vi" eller "Nej, denna är inte relevant för oss". Detta blir er checklista för säkerhetsarbetet.
Det låter omständligt, men behöver inte vara det. Börja med att markera de åtgärder ni redan tillämpar idag, även om de inte är formellt dokumenterade. Det ger er en realistisk bild av skillnaden mellan nuläget och en certifieringsnivå.
För de åtgärder ni väljer att utesluta räcker det att notera en kort motivering, till exempel att ni inte hanterar fysiska medier och därför hoppar över de relaterade kontrollerna.
4. Implementera grundläggande hygienfaktorer
Håll det enkelt. Börja med de åtgärder som ger mest effekt per investerad timme:
- MFA på alla konton.
- Onboarding/offboarding-checklistor för personal.
- Regelbunden säkerhetsuppdatering av datorer och system.
- Grundläggande incidenthantering.
Dokumentera vad ni gör och varför – det räcker med enkla rutiner i ett delat dokument. En revisor vill inte bara se att ni har MFA aktiverat; de vill se att det är ett medvetet beslut kopplat till en identifierad risk. Det är skillnaden mellan att råka ha säkerhet och att aktivt arbeta med det.
5. Utbilda personalen
Ett ISMS lever bara om personalen förstår det. Skicka inte ut en 40-sidig säkerhetspolicy som ingen läser. Håll korta, konkreta dragningar om varför säkerhet är viktigt och hur de ska agera i vardagen.
Bygg in säkerhetsmedvetenhet i befintliga rutiner istället för att skapa separata moment. Lägg in ett säkerhetsavsnitt i er onboarding, kör en kort genomgång en gång per kvartal och komplettera gärna med simulerade phishing-tester för att ge personalen praktisk träning.
Målet är inte att alla ska kunna citera ISO 27001 – det räcker med att de vet vad de ska göra om de misstänker ett intrång eller råkar klicka på en skadlig länk.
Vanliga frågor
Vad skiljer ISMS från ISO 27001?
ISMS är själva systemet/metoden ni jobbar efter medan ISO 27001 är den internationella standarden som beskriver hur ett bra ISMS ska se ut. Man kan ha ett ISMS utan att följa ISO 27001, men ISO 27001 är "facit" som de flesta använder.
Är ISMS bara för stora företag?
Nej. Alla företag som har kunder och data behöver ett sätt att hålla koll på säkerheten. För små bolag kan ett ISMS vara lättviktigt, medan storbolag kräver mer dokumentation och komplexa processer.
Måste man ha en CISO?
Inte nödvändigtvis en heltidsanställd CISO (Chief Information Security Officer), men någon måste vara utpekad som ansvarig. Om ingen äger frågan slutar ISMS:et att fungera.
Vad betyder ISMS?
ISMS är en förkortning av Information Security Management System, på svenska ledningssystem för informationssäkerhet. Det beskriver hela den struktur av policyer, roller, riskbedömningar och uppföljningsrutiner som en organisation använder för att styra sitt informationssäkerhetsarbete systematiskt.
Är ett ISMS ett IT-system man köper?
Nej. Ett ISMS är ett arbetssätt, inte en produkt. Programvara kan bära arbetssättet och göra risker, åtgärder och evidens spårbara, men själva ledningssystemet består av era egna policyer, roller, riskbeslut och uppföljningsrutiner.
Vad heter ISMS på svenska?
ISMS heter ledningssystem för informationssäkerhet på svenska, och förkortas LIS. Både ISMS och LIS används i svenska sammanhang, där ISMS är vanligare i ISO 27001-arbete och LIS förekommer i myndighetstexter och äldre standarder. De betyder samma sak.
Vad ska ett ISMS-system klara av?
Programvaran behöver hålla ihop fyra saker på ett ställe: tillgångsregistret med ägare, riskerna med bedömning och beslut, kontrollerna och tillämplighetsförklaringen mot ISO 27001, samt bevisen som visar att varje kontroll faktiskt utfördes. Bevisen är det som oftast saknas i kalkylblad, eftersom spårbarheten mellan risk, åtgärd och resultat kräver samma struktur.
Hur lång tid tar det att bygga ett ISMS?
För ett mindre bolag med tydligt avgränsat tillämpningsområde går grunderna att få på plats inom några månader. Vill ni certifiera er enligt ISO 27001 tillkommer tid för att hinna samla evidens över en period samt för intern revision och själva certifieringsrevisionen, vilket i praktiken ofta betyder sex till tolv månader totalt.
