Cyberdeklaration

Kontrollkatalog 1.1

Katalogen visar vilken del varje paragraf hör till. Del ett kontrollerar vi utifrån och signerar. Del två deklarerar verksamheten själv efter vår mall, och den skriver vi inte under.

Externa observationer är kopplade till 18 paragrafer. Interna krav behöver kompletterande underlag. Del två strukturerar underlaget för 39 ytterligare paragrafer. Uppdelningen 18 plus 39 avser paragraferna i 2 till 6 kap och är inte ett besked om att 18 paragrafer kan intygas i sin helhet utifrån.

Varje protokoll hänvisar till en version av katalogen. Katalogen är öppen. Den som kopierar den bekräftar standarden. Katalogen gäller verksamhetsutövare som omfattas av MCFFS 2026:11 i sin helhet. Den som uteslutande bedriver verksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster mellan företag, post- och budtjänster eller rymden omfattas enligt 1 kap 1 § endast av kraven på ledningens utbildning. Säkerhetsåtgärderna följer då cybersäkerhetslagen 2 kap och, för de sektorer den omfattar, EU-förordningen 2024/2690. Bedriver verksamhetsutövaren även sektorsverksamhet utanför dessa fem sektorer är uteslutande-villkoret inte uppfyllt. Bestämmelsen ger inte automatiskt ett undantag för den digitala delen. Annan regelkonkurrens och särskilda undantag prövas med sin egen rättsliga grund.

Fyra utfall

Samma fyra märken används i protokollet, i snabbkollen och här.

Förenligt

Den observerade delen svarar mot det angivna kriteriet vid tidpunkten. Aldrig ett besked om att hela paragrafen är följd.

Avvikelse

Observationen svarar inte mot kriteriet. Avvikelse mot föreskriftskrav kräver bekräftad tillämplighet och tillräcklig evidens. Avvikelse mot egen policy eller tekniskt kriterium märks som just det.

Indikator

Fyndet är relevant men avgör inte om kravet följs, till exempel när tillämpligheten eller evidensen inte räcker.

Ej observerbart

Kontrollen ger inget underlag för bedömning. Ett misslyckat uppslag är inte samma sak som att en säkerhetsåtgärd saknas.

Tre styrkor

Styrka 1

Evidensen är direkt för det uttryckligen angivna kriteriet. Den observerade delen kan prövas om av vem som helst med samma metod.

Styrka 2

Evidensen är indirekt. Fyndet talar för eller emot utan att avgöra kriteriet.

Styrka 3

Evidensen blir användbar först vid jämförelse med verksamhetens egna dokument.

Styrka beskriver hur direkt evidensen är för det kriterium som anges på raden. Den säger ingenting om hur allvarligt ett fynd är. Rättslig grund och tillämplighet redovisas separat och avgörs inte av styrkan. Ett tekniskt kriterium kan ha styrka 1 utan att finnas i lagens ordalydelse.

Sjutton externa kontroller

Vad som observeras, vad observationen kan visa och vad den inte kan visa

Hänvisningarna till NIS2 artikel 21.2 och ISO 27001 Annex A är kopplingar till närliggande ämnen. De visar inte att en kontroll i någon av dem är uppfylld. Någon verifiering mot standardtexten görs inte.

4 kap

  • Kontroll

    4 kap 26 § · DNSSEC

    Föreskriftskrav med uttrycklig ordalydelse. Undantag gäller om åtgärden är uppenbart obehövlig, vilket verksamhetsutövaren avgör och motiverar.

    FörenligtStyrka 1

    Möjliga utfall. Förenligt eller avvikelse.

    Ämnesnära i NIS2 21.2 e, h · ISO Annex A 8.20, 8.24

    Vad som observeras
    DNSSEC-signering och giltig valideringskedja för samtliga registrerade domäner.
    Vad observationen kan visa
    Att signering och valideringskedja finns eller saknas för den kontrollerade domänen vid tidpunkten.
    Vad den inte kan visa, underlag som behövs
    Verksamhetsutövarens eventuella motivering att åtgärden är uppenbart obehövlig, samt förteckning över domäner vi inte känner till.
  • Kontroll

    4 kap 25 § · Kryptering vid överföring

    Föreskriftskrav. Vilka tekniska nivåer som krävs anges inte i ordalydelsen, därför prövas tekniska kriterier.

    FörenligtStyrka 2

    Möjliga utfall. Förenligt eller indikator. Tekniskt kriterium, aldrig lagavvikelse.

    Ämnesnära i NIS2 21.2 h · ISO Annex A 8.24, 5.14

    Vad som observeras
    TLS-versioner och chiffersviter, presenterat certifikat, HSTS, klartextprotokoll, STARTTLS och MTA-STS.
    Vad observationen kan visa
    Vad servern erbjuder utåt vid tidpunkten. Inte hur intern eller övrig trafik skyddas.
    Vad den inte kan visa, underlag som behövs
    Vilka flöden som omfattas av kravet och vilken skyddsnivå verksamheten har beslutat.
  • Kontroll

    4 kap 25 § allmänt råd · Nyckelhantering

    Allmänt råd. Rådet är inte bindande.

    IndikatorStyrka 2

    Möjliga utfall. Indikator.

    Ämnesnära i NIS2 21.2 h · ISO Annex A 8.24

    Vad som observeras
    Utgångna och självsignerade certifikat, svaga nycklar, okända certifikat i CT-loggar.
    Vad observationen kan visa
    Certifikatens egenskaper i publika källor, inte hur nycklar förvaras eller byts.
    Vad den inte kan visa, underlag som behövs
    Rutin för nyckelhantering och förteckning över egna certifikat.
  • Kontroll

    4 kap 19 § · Verifierbar identitet

    Föreskriftskrav. Ordalydelsen pekar inte ut någon viss teknik.

    FörenligtStyrka 2

    Möjliga utfall. Förenligt eller indikator. Skarp DMARC-policy är inte den enda tillåtna tekniken, aldrig lagavvikelse.

    Ämnesnära i NIS2 21.2 g, j · ISO Annex A 5.14, 8.5

    Vad som observeras
    SPF, DKIM, DMARC med policy och rapportadress, giltigt webbcertifikat, publik information om verifiering.
    Vad observationen kan visa
    Vilka poster som är publicerade. En DNS-post visar inte att all legitim post signeras eller klarar en skärpt policy.
    Vad den inte kan visa, underlag som behövs
    Kartläggning av utgående postflöden och vilka selektorer som används.
  • Kontroll

    4 kap 13 § · Säkerhetskonfigurering

    Föreskriftskrav. Vilka tjänster som får exponeras framgår inte av ordalydelsen.

    IndikatorStyrka 21

    Möjliga utfall. Indikator vid exponerad administration. Avvikelse först när behov och skydd klarlagts.

    Ämnesnära i NIS2 21.2 e · ISO Annex A 8.9, 8.20

    Vad som observeras
    Exponerade tjänster utan synligt verksamhetsbehov, adminpaneler, standardsidor, kataloglistning, banners.
    Vad observationen kan visa
    Att en tjänst svarar publikt. Inte om exponeringen är beslutad eller skyddad.
    Vad den inte kan visa, underlag som behövs
    Verksamhetsbehov, godkända flöden och vilket åtkomstskydd som ligger framför tjänsten.
  • Kontroll

    4 kap 11 § · Segmentering

    Föreskriftskrav om avskiljande. Kriteriet prövas här tekniskt utifrån.

    IndikatorStyrka 2

    Möjliga utfall. Indikator.

    Ämnesnära i NIS2 21.2 e · ISO Annex A 8.22

    Vad som observeras
    OT-protokoll mot internet, administrationsgränssnitt på samma publika adress som externa tjänster.
    Vad observationen kan visa
    Att en port svarar. Ett publikt OT-svar avgör inte ensamt, och utebliven träff visar inte att intern segmentering finns.
    Vad den inte kan visa, underlag som behövs
    Nätverkstopologi, brandväggsregler och om svaret kommer från en konvertor eller ett produktionssystem.
  • Kontroll

    4 kap 27 § p 1 och 2 samt 31 § · Säkerhetsuppdateringar

    Föreskriftskrav om att hantera säkerhetsuppdateringar. Det allmänna rådet anger att arbetet bör påbörjas inom 72 timmar. Rådet kräver inte att alla uppdateringar är genomförda då.

    IndikatorStyrka 21

    Möjliga utfall. Indikator när endast en versionsbanner syns. Avvikelse först när revisionen klarlagts.

    Ämnesnära i NIS2 21.2 e · ISO Annex A 8.8

    Vad som observeras
    Versioner i exponerade tjänster mot CVE och CISA KEV, tid sedan rättning, jämförelse mot rådet om att påbörja inom 72 timmar.
    Vad observationen kan visa
    Vilken version en banner uppger. Bannern visar inte om leverantören backportat rättningen.
    Vad den inte kan visa, underlag som behövs
    Exakt paketrevision eller leverantörens rättningsinformation.
  • Kontroll

    4 kap 31 § andra meningen · Utfasad mjukvara

    Föreskriftskrav med uttrycklig ordalydelse om mjukvara utan säkerhetsstöd.

    FörenligtStyrka 1

    Möjliga utfall. Förenligt eller avvikelse.

    Ämnesnära i NIS2 21.2 e · ISO Annex A 8.8

    Vad som observeras
    Versioner utan säkerhetsstöd enligt leverantörens livscykelbesked.
    Vad observationen kan visa
    Att en exponerad tjänst uppger en version vars stöd upphört.
    Vad den inte kan visa, underlag som behövs
    Bekräftelse av versionen och eventuellt förlängt stöd genom avtal.
  • Kontroll

    4 kap 17 § · Flerfaktor vid extern åtkomst

    Föreskriftskrav. Kontrollen prövar bara vad inloggningssidan visar.

    IndikatorStyrka 2

    Möjliga utfall. Indikator. Aldrig avvikelse.

    Ämnesnära i NIS2 21.2 j · ISO Annex A 8.5

    Vad som observeras
    Exponerade fjärråtkomstportaler och synligt MFA-flöde.
    Vad observationen kan visa
    Vad sidan visar innan inloggning. Inloggning testas aldrig.
    Vad den inte kan visa, underlag som behövs
    Konfiguration av identitetstjänsten och vilka konton som omfattas.
  • Kontroll

    4 kap 14 till 16 §§ · Autentiseringsuppgifter

    Föreskriftskrav om hantering av autentiseringsuppgifter.

    IndikatorStyrka 2

    Möjliga utfall. Indikator.

    Ämnesnära i NIS2 21.2 i, j · ISO Annex A 5.17, 8.4

    Vad som observeras
    Läckta uppgifter kopplade till domänen i de källor vi kontrollerar, hemligheter i publika kodförråd, produktionsuppgifter i exponerade testmiljöer.
    Vad observationen kan visa
    Att en uppgift förekommit i en källa vid en tidpunkt. Historisk förekomst visar inte aktuell giltighet, och giltighet testas aldrig.
    Vad den inte kan visa, underlag som behövs
    Besked om uppgiften spärrats eller bytts efter läckan.
  • Kontroll

    4 kap 8 och 9 §§ · Förteckning över digital miljö

    Föreskriftskrav om förteckning. Kriteriet prövas genom jämförelse.

    IndikatorStyrka 31

    Möjliga utfall. Indikator. Avvikelse kräver genomförd jämförelse.

    Ämnesnära i NIS2 21.2 i · ISO Annex A 5.9, 8.9

    Vad som observeras
    Observerad tillgångsbild mot verksamhetens egen förteckning, hängande DNS-poster.
    Vad observationen kan visa
    Vad som syns utifrån. Skillnad mot förteckningen kan visas först när förteckningen finns.
    Vad den inte kan visa, underlag som behövs
    Den aktuella förteckningen över digital miljö.
  • Kontroll

    4 kap 13 § p 2 och 25 § · Exponerad lagring

    Föreskriftskrav om konfigurering. Publicering kan vara avsiktlig.

    IndikatorStyrka 2

    Möjliga utfall. Indikator.

    Ämnesnära i NIS2 21.2 e, h · ISO Annex A 8.12, 8.9

    Vad som observeras
    Publikt listbara behållare och kataloger, endast förekomst av listning.
    Vad observationen kan visa
    Att innehållsförteckningen är publik. Inga filer laddas ner och läsbehörighet prövas inte.
    Vad den inte kan visa, underlag som behövs
    Skyddsbehov för innehållet och om publiceringen är godkänd.
  • Kontroll

    4 kap 1 och 2 §§ · Digitala leveranskedjor

    Föreskriftskrav vid systemförvärv och utkontrakterad informationsbehandling.

    IndikatorStyrka 2

    Möjliga utfall. Indikator.

    Ämnesnära i NIS2 21.2 d · ISO Annex A 5.19 till 5.22

    Vad som observeras
    Vilka tredje parter tjänsterna vilar på och deras externa hygien.
    Vad observationen kan visa
    Vilka beroenden som syns i DNS, certifikat och svarshuvuden.
    Vad den inte kan visa, underlag som behövs
    Avtal, kravställning och vilken behandling som faktiskt utkontrakterats.
  • Kontroll

    4 kap 9 § och 3 kap 15 § · Domänhygien

    Tekniskt kriterium. Registrarlås och förnyelsemarginal är inte uttryckliga krav i de citerade paragraferna.

    IndikatorStyrka 2

    Möjliga utfall. Indikator.

    Ämnesnära i NIS2 21.2 e, i · ISO Annex A 5.9, 8.20

    Vad som observeras
    Registrarlås, utgångsdatum, registrantuppgifter, zonfel.
    Vad observationen kan visa
    Registerdata vid tidpunkten.
    Vad den inte kan visa, underlag som behövs
    Rutin för förnyelse och vem som förvaltar domänerna.
  • Kontroll

    4 kap 24 § · Skydd mot skadlig kod

    Föreskriftskrav. Utifrån syns bara publika indikationer.

    IndikatorStyrka 2

    Möjliga utfall. Indikator.

    Ämnesnära i NIS2 21.2 e · ISO Annex A 8.7

    Vad som observeras
    Blocklistor och publika indikationer på kompromettering.
    Vad observationen kan visa
    Att en adress eller domän förekommer i de källor vi kontrollerar.
    Vad den inte kan visa, underlag som behövs
    Vilket skydd som används och hur det följs upp.

3 kap

  • Kontroll

    3 kap 17 § allmänt råd · Sårbarhetsrapportering

    Allmänt råd. Rådet säger att mottagare av externa tjänster bör kunna anmäla incidenter och tillbud på ett enkelt sätt. security.txt är inte föreskriven.

    IndikatorStyrka 2

    Möjliga utfall. Indikator.

    Ämnesnära i NIS2 21.2 e · ISO Annex A 8.8

    Vad som observeras
    security.txt enligt RFC 9116 med fälten Contact och Expires, och publicerad väg för att rapportera sårbarheter.
    Vad observationen kan visa
    Att en fil finns och följer RFC 9116. RFC-krav är inte lagkrav.
    Vad den inte kan visa, underlag som behövs
    Övriga kanaler för anmälan som inte syns utifrån.
  • Kontroll

    3 kap 15 § p 2 · Redundanta funktioner

    Föreskriftskrav om kontinuitet. Extern redundans är ett tekniskt kriterium.

    IndikatorStyrka 2

    Möjliga utfall. Indikator.

    Ämnesnära i NIS2 21.2 c · ISO Annex A 8.14

    Vad som observeras
    DNS- och MX-redundans, leverantörskoncentration.
    Vad observationen kan visa
    Hur många publicerade poster som finns och hos vilka leverantörer.
    Vad den inte kan visa, underlag som behövs
    Kontinuitetsanalys och avtalad återställningstid.

Det utsidan inte ser

39 paragrafer kräver dokument, intervju eller platsbesök

  • Del två2 kap 1 §Ledningens utbildning. Kräver utbildningsintyg och deltagarlista.
  • Del två3 kap 1 till 14, 16, 18 och 19 §§Systematiskt arbete, standarder, interna regler, ledningens godkännande, roller, personalsäkerhet, omvärldsbevakning, klassning, riskhantering, åtgärdsplan, kontinuitet, krisorganisation, krishantering och uppföljning. Kräver dokument och intervju.
  • Del två4 kap 3 till 7, 10, 12, 18, 20 till 23 och 28 till 30 §§ samt 5 och 6 kapCertifierade produkter, avtal, säker utveckling, driftsättning, avveckling, driftdokumentation, avskilda miljöer, e-legitimation för mottagare av externa tjänster, övervakning, loggning, logganalys, tid, säkerhetskopiering, intrångsskydd och ändringshantering. 5 kap fysiska åtgärder, 6 kap sektorsspecifika åtgärder för offentlig förvaltning. Kräver dokument, intervju eller platsbesök.

De 39 paragraferna finns uppställda i mallen för egen deklaration.

Regler för varje rad

  • Källa eller inget fynd.
  • Ordet uppfyller används aldrig.
  • Allmänna råd märks som råd.
  • Reservationer som uppenbart obehövligt tillhör verksamhetsutövaren.
  • Förinställda uppgifter och giltigheten av läckta uppgifter testas aldrig.
  • Avvikelse mot föreskriftskrav kräver bekräftad tillämplighet och tillräcklig evidens för det aktuella kravet.
  • Avvikelse mot egen policy eller tekniskt kriterium märks som just det och räknas aldrig som lagavvikelse.
  • Ett misslyckat uppslag skrivs som ej observerbart, aldrig som en saknad säkerhetsåtgärd.
  • Underbyggd teknisk risk får redovisas, men avgör aldrig om ett krav överträtts.

Versioner

  • 1.1 · 7 september 2026 · gällande

    Materiell ändring. Styrka definieras som evidensens direkthet för det angivna kriteriet, inte som överensstämmelse med lagens ordalydelse. Rättslig grund och tillämplighet redovisas separat på varje rad. Varje rad redovisar vad observationen kan visa och vilket ytterligare underlag som behövs. Hänvisningar till NIS2 och ISO beskrivs som ämnesnära kopplingar.

  • 1.0 · september 2026 · ersatt

    Första utgåvan. Sjutton externa kontroller, fyra utfall och tre styrkor, där styrka 1 beskrevs som att observationen motsvarar rekvisitets ordalydelse. Protokoll som hänvisar till 1.0 läses mot den beskrivningen.

Ändringar publiceras här. Ett protokoll läses alltid mot den version det hänvisar till. Redan signerade protokoll ändras inte i efterhand, och deras kontrollsumma och verifieringsuppgifter står kvar oförändrade.

Se ett komplett exempelVerifiera ett protokoll