En kritisk sårbarhet upptäcks i en internetexponerad tjänst, ett tredjepartsbibliotek visar sig ha en känd exploaterbar svaghet och patchfönstret var för två veckor sedan. Många svenska IT-avdelningar på medelstora organisationer känner igen det mönstret. Med NIS2-direktivet, som genomförs i svensk lag genom cybersäkerhetslagen, har kraven på systematisk sårbarhetshantering blivit både tydligare och skarpare.
Den här guiden hjälper dig som IT- eller säkerhetsansvarig att utvärdera och anpassa din organisations hot- och sårbarhetshantering så att den uppfyller NIS2:s krav, med särskilt fokus på endpoint-synlighet och riskbaserad prioritering.
I den här artikeln går vi igenom vad NIS2 kräver, hur du bygger en strukturerad process för sårbarhetshantering och vilka kriterier som bör styra ditt val av plattform.
Key takeaways: Hot- och sårbarhetshantering för att uppfylla NIS2
- NIS2 och därmed Cybersöäkerhetslagen kräver dokumenterad, riskbaserad sårbarhetshantering som är förankrad i ledningen och följs upp kontinuerligt.
- Endpoint-synlighet är grunden, du kan inte skydda det du inte ser i din IT-infrastruktur.
- Prioritering utifrån verksamhetspåverkan ger bättre resultat än att enbart sortera efter CVSS-poäng.
- Inuit hjälper organisationer att kombinera sårbarhetsskanning med patchhantering från en central konsol.
- Automatiserade workflows för åtgärd och verifiering minskar tiden mellan upptäckt och skydd.
Vad är hot- och sårbarhetshantering?
Hot- och sårbarhetshantering (threat and vulnerability management) är den kontinuerliga processen att identifiera, bedöma, prioritera och åtgärda säkerhetsbrister i en organisations IT-infrastruktur. Det handlar om att systematiskt kartlägga svagheter i operativsystem, applikationer, nätverksenheter och endpoints innan angripare hinner utnyttja dem.
Till skillnad från enstaka sårbarhetsskanningar eller penetrationstester är sårbarhetshantering en pågående cykel. Processen omfattar inventering av tillgångar, automatiserad skanning, manuell validering, riskbaserad prioritering, åtgärd genom patchning eller konfigurationsändringar, samt verifiering och uppföljning.
Målet är att gå från reaktivt brandsläckningsarbete, där du åtgärdar sårbarheter efter en incident, till ett proaktivt arbetssätt där du identifierar och hanterar risker innan de orsakar skada. Det innebär att IT-avdelningen tar en strategisk roll i organisationens säkerhetsarbete.
Varför NIS2 gör sårbarhetshantering obligatorisk i Sverige
NIS2-direktivet, som genomförs i Sverige genom cybersäkerhetslagen (2025:1506), ställer explicita krav på riskhantering för organisationer inom kritiska och viktiga sektorer. Lagen trädde i kraft den 15 januari 2026, och de detaljerade föreskrifterna om säkerhetsåtgärder gäller från den 1 oktober 2026.
Artikel 21 i NIS2 kräver bland annat riskanalys och säkerhet för informationssystem, samt hantering av sårbarheter och offentliggörande av sårbarheter. Det betyder att du inte längre kan behandla sårbarhetsskanning som ett frivilligt projekt. Det ska vara en dokumenterad, återkommande process med tydligt ägarskap.
Enligt en vägledning från Nationellt cybersäkerhetscenter (NCSC) ska arbetet med cybersäkerhet vara systematiskt och riskbaserat. Säkerhetsåtgärder ska utformas för att hantera risker som hotar nätverks- och informationssystem, inklusive hantering av leveranskedjor.
Vilka organisationer omfattas av NIS2 i Sverige?
NIS2 omfattar organisationer i ett stort antal sektorer som klassificeras som väsentliga eller viktiga. Energi, transport, sjukvård, vattenförsörjning, digital infrastruktur, offentlig förvaltning och finansiella tjänster är exempel på sektorer som träffas direkt.
Medelstora organisationer, ofta definierade som företag med 50 eller fler anställda, ingår nu i direktivets räckvidd. Det är en skärpning jämfört med det tidigare NIS-direktivet. Även leverantörer till dessa organisationer kan påverkas genom krav på säkerhet i leveranskedjan.
Om din organisation hanterar samhällskritisk infrastruktur eller tillhandahåller tjänster som andra verksamheter är beroende av, bör du utgå från att NIS2 gäller dig. Tillsynen sker sektorvis och ansvarig myndighet varierar beroende på bransch.
De centrala kraven på sårbarhetshantering i NIS2
NIS2 specificerar inga verktyg eller tekniska lösningar. Direktivet kräver ett riskbaserat arbetssätt med konkreta åtgärder. Här är de krav som direkt berör hot- och sårbarhetshantering.
Riskanalys och riskhantering
Du ska löpande identifiera och bedöma risker mot dina nätverks- och informationssystem. Det innebär att sårbarhetsskanning och hotbedömning ska vara integrerade i din riskprocess, inte separata ad hoc-aktiviteter.
Hantering och offentliggörande av sårbarheter
Organisationen ska ha en process för att ta emot, bedöma och åtgärda information om sårbarheter. Det inkluderar att följa upp publicerade CVE:er (Common Vulnerabilities and Exposures) och att ha rutiner för coordinated vulnerability disclosure.
Incidentrapportering
Säkerhetsincidenter ska rapporteras inom fastställda tidsramar. En fungerande logghantering och SIEM-lösning underlättar både upptäckt och rapportering av incidenter kopplade till exploaterade sårbarheter.
Ledningens ansvar
NIS2 placerar ansvaret för cybersäkerhet på ledningsnivå. Ledningen ska godkänna säkerhetsåtgärder, genomgå utbildning och kunna ställas till svars. Det betyder att sårbarhetshanteringen behöver rapporteras uppåt med tydliga mätvärden och tidsramar.
Säkerhet i leveranskedjan
Du ansvarar även för att ställa krav på dina leverantörers säkerhet. Det inkluderar att verifiera att programvara och tjänster du tar in inte innehåller kända sårbarheter, exempelvis genom SBOM-hantering (Software Bill of Materials).
Hur du bygger en process för riskbaserad sårbarhetshantering
Att uppfylla NIS2:s krav handlar inte om att köpa ett verktyg. Det handlar om att bygga en strukturerad, återkommande process. Här är en steg-för-steg-guide anpassad för svenska medelstora organisationer.
Steg 1: Kartlägg alla tillgångar i din IT-infrastruktur
Du kan inte skydda det du inte vet att du har. Börja med att inventera alla servrar, arbetsbelastningar, nätverksenheter, applikationer, molnresurser och endpoints. Automatiserade discovery-verktyg hjälper, men manuell validering krävs för att fånga så kallad shadow IT.
Många organisationer upptäcker att en betydande andel av deras resurser saknas i det officiella tillgångsregistret. Det är resurser som ingen ansvarar för men som fortfarande kan vara exponerade mot internet.
Steg 2: Genomför regelbunden sårbarhetsskanning
Kör automatiserade skanningar anpassade för varje tillgångstyp: infrastruktur, webbapplikationer, containrar och molnkonfigurationer. Schemalägga skanningarna att köras minst veckovis för kritisk infrastruktur och vid varje deploy i CI/CD-flödet.
Vulnerability Manager Plus erbjuder omfattande sårbarhetsskanning och åtgärdshantering av alla endpoints i ditt nätverk. Verktyget kombinerar skanning med patchhantering i en och samma konsol.
Steg 3: Validera och kontextualisera resultaten
Automatiserade skanningar producerar ofta hundratals fynd. En erfaren säkerhetsanalytiker behöver granska resultaten för att eliminera falsklarm, bedöma affärspåverkan och identifiera sårbarhetskedjor där enskilda medelallvarliga brister tillsammans utgör en kritisk attackväg.
En sårbarhet med CVSS 7.0 i ett betalningssystem kan vara mer brådskande än en med CVSS 9.0 i en isolerad testmiljö. Kontexten avgör.
Steg 4: Prioritera utifrån verksamhetspåverkan
Rå CVSS-poäng räcker inte. Kombinera teknisk allvarlighetsgrad med exploaterbarhet (finns publika exploits, används sårbarheten aktivt?), tillgångens exponering, affärskritikalitet och eventuella kompenserande kontroller som nätverkssegmentering eller WAF-regler.
Resultatet blir en prioriterad åtgärdslista med tydliga tidsramar: kritiskt (inom 24 till 72 timmar), högt (inom en till två veckor), medel (inom 30 dagar) och lågt (vid nästa underhållsfönster).
Steg 5: Åtgärda genom patchning och konfiguration
Patchning är den vanligaste åtgärden, men den kräver testning innan produktionsdeploy. När omedelbar patchning inte är möjlig, till exempel i äldre OT-system, krävs kompenserande åtgärder som segmentering, begränsade anslutningar och utökad loggning. Dokumentera varje undantag med ledningens godkännande.
Steg 6: Verifiera, dokumentera och följ upp
Kör alltid en rescan efter åtgärd för att verifiera att sårbarheten faktiskt är eliminerad. Dokumentera hela processen, från upptäckt till åtgärd, för att kunna visa efterlevnad vid tillsyn. En bra rapport inkluderar sammanfattning för ledningen, teknisk detaljrapport, trendanalys och rekommendationer.
Rekommenderade frekvenser för sårbarhetsskanning
NIS2 specificerar inga exakta intervall, men ett riskbaserat arbetssätt kräver regelbundenhet. Här är ett ramverk som fungerar för de flesta medelstora svenska organisationer.
Kritisk infrastruktur som internetexponerade servrar och nätverksenheter bör skannas minst veckovis. Applikationer och API:er bör skannas vid varje deploy och kompletterande veckovis. Molnkonfigurationer bör granskas kontinuerligt i realtid via CSPM-verktyg (Cloud Security Posture Management).
Manuell validering och prioritering bör ske månadsvis, medan ledningsrapporter med trendanalys presenteras kvartalsvis. Djupgående penetrationstester rekommenderas halvårsvis eller årsvis som komplement till den löpande skanningen.
Organisationer som saknar intern kapacitet för att upprätthålla dessa frekvenser kan dra nytta av automatiserade lösningar. Vulnerability Manager Plus kan schemaläggas att köra skanningar automatiskt och generera åtgärdsrapporter utan manuell insats.
Skillnaden mellan sårbarhetshantering och penetrationstestning
En vanlig förväxling är att likställa sårbarhetshantering med penetrationstestning. De fyller olika funktioner och kompletterar varandra.
Sårbarhetshantering syftar till en bred kartläggning av kända svagheter i hela miljön. Den använder primärt automatiserade skanningsverktyg, körs frekvent och producerar en prioriterad lista med åtgärdsrekommendationer baserade på CVSS-poäng och verksamhetskontext.
Penetrationstestning är en djupare, avgränsad insats där en säkerhetsspecialist aktivt försöker exploatera specifika sårbarheter. Den utförs vanligtvis en till två gånger per år och ger en detaljerad attacknarrativ med bevis på vad en angripare faktiskt kan uppnå.
Organisationer som bara gör det ena missar hälften av bilden. Sårbarhetshanteringen ger den bredd som krävs för att uppfylla NIS2:s krav på kontinuerlig riskhantering. Penetrationstestningen ger det djup som visar om dina säkerhetsåtgärder faktiskt håller under press.
Endpoint-synlighet: grunden för NIS2-efterlevnad
Endpoints, det vill säga arbetsstationer, laptops, servrar och mobila enheter, utgör ofta den största attackytan i en organisation. Utan fullständig synlighet över dessa enheter saknar du underlaget för att fatta rätta beslut om prioritering och åtgärd.
Endpoint-synlighet innebär att du i realtid kan se vilka enheter som finns i ditt nätverk, vilka operativsystem och applikationer de kör, vilka patchar som saknas och vilka konfigurationsavvikelser som finns. Endpoint Central som ger dig sårbarhetshantering, automatisk patchning, asset-intelligens, fjärrfelsökning och hantering av attackytor från en enda konsol.
Enligt U.S. International Trade Administration (2026) har cyberattacker i Sverige ökat med 70 procent under första kvartalet 2025 jämfört med 2024. Det gör proaktiv endpoint-hantering till en nödvändighet snarare än ett önskemål.
Kriterier för att utvärdera en plattform för sårbarhetshantering
Att välja rätt plattform handlar inte om att hitta den med flest funktioner. Det handlar om att hitta den som passar din organisations storlek, tekniska mognad och regulatoriska krav. Här är de kriterier du bör utgå från.
Täckning av tillgångstyper
Plattformen ska kunna skanna operativsystem, applikationer, nätverksenheter, molnkonfigurationer och endpoints. En lösning som bara täcker en del av din infrastruktur lämnar blinda fläckar.
Riskbaserad prioritering
Verktyget ska erbjuda mer än rå CVSS-poäng. Du behöver kunna väga in affärskritikalitet, exponering och hotinformation för att prioritera åtgärder utifrån verksamhetspåverkan.
Integrerad patchhantering
En plattform som kombinerar sårbarhetsskanning med patchhantering minskar overhead och förkortar tiden mellan upptäckt och åtgärd. Det är en fördel om skanningen och patchningen sker från samma konsol.
Rapportering för compliance
NIS2 kräver dokumentation och möjlighet att visa efterlevnad vid tillsyn. Plattformen bör erbjuda fördefinierade rapporter för regulatorisk granskning, inklusive trendanalys och åtgärdsstatus.
Skalbarhet och stöd för nordiska organisationer
Om du verkar i Sverige och Norden behöver du en leverantör som förstår lokala regulatoriska krav och erbjuder support på svenska. Inuit specialiserar sig på att handplocka smarta IT-säkerhetslösningar för nordiska organisationer.
Hur du hanterar system som inte kan patchas
Inte alla system kan patchas omedelbart. Äldre OT-system (Operational Technology), medicinteknik och industriella styrsystem har ofta begränsade uppdateringsmöjligheter. NIS2 kräver ändå att du hanterar riskerna kopplade till dessa system.
Kompenserande åtgärder är nyckeln. Nätverkssegmentering isolerar sårbara system från resten av infrastrukturen och begränsar en angripares möjlighet att röra sig lateralt. Begränsade anslutningar minskar attackytan genom att stänga portar och protokoll som inte aktivt används.
Utökad loggning och övervakning ger dig möjlighet att upptäcka avvikande beteende i realtid, även om den underliggande sårbarheten kvarstår. Log360 är ett SIEM-verktyg som samlar in och analyserar loggar för att ge dig tidig varning om potentiella intrång.
Varje undantag från patchning ska dokumenteras med en riskbedömning, kompenserande åtgärder och ett tidsbegränsat godkännande från ledningen. Det är denna dokumentation som tillsynsmyndigheten vill se vid en granskning.
Vanliga misstag vid sårbarhetshantering under NIS2
Många organisationer faller i samma fallgropar när de bygger sitt program för sårbarhetshantering. Att känna till dem i förväg sparar tid och minskar risken.
Skannar men åtgärdar inte
Den vanligaste bristen. Organisationen investerar i verktyg och kör regelbundna skanningar, men rapporten hamnar i en inbox utan att någon äger åtgärdsarbetet. Lösningen är att integrera åtgärder i befintliga ITSM-flöden med tydliga SLA:er per prioritetsnivå.
Fokuserar enbart på infrastruktur
Applikationssårbarheter, molnkonfigurationsbrister och tredjepartsbibliotek missas ofta. En felkonfigurerad molntjänst eller en sårbarhet i ett API kan vara lika allvarlig som en opatchad server.
Saknar aktuellt tillgångsregister
Shadow IT och bortglömda testmiljöer utgör ofta den största riskytan. Utan ett komplett register kan du inte heller visa regulatorisk efterlevnad, eftersom du inte vet vad du ska skydda.
Behandlar det som ett engångsprojekt
En sårbarhetsskanning per år ger en ögonblicksbild, inte ett skydd. Nya CVE:er publiceras dagligen. NIS2 kräver ett kontinuerligt, återkommande arbetssätt med tydliga frekvenser och ansvarsroller.
Så stöder Inuits säkerhetslösningar din NIS2-resa
Inuit erbjuder ett brett utbud av IT-säkerhetslösningar som tillsammans täcker hela kedjan från upptäckt till åtgärd. Vulnerability Manager Plus och WithSecure Exposure Management ger dig sårbarhetsskanning och åtgärdshantering (patchning mm) av alla endpoints i ditt nätverk. Endpoint Central automatiserar sårbarhetshantering, patchning, asset-hantering och konfigurationskontroll från en central konsol. Patch Manager Plus hjälper dig att patcha Windows, Mac, Linux och tredjepartsprodukter.
Log360, ett enhetligt SIEM-verktyg, hjälper verksamheter att upptäcka, besvara och mildra cyberattacker med avancerad hotanalys, vilket direkt stödjer NIS2:s krav på incidentrapportering.
Genom att arbeta mer proaktivt och ta kontroll över resurserna kan din IT-avdelning gå från reaktivt brandsläckningsarbete till metodiskt, datadrivet beslutsfattande. Det är kärnan i vad Inuit gör.
Leveranskedjan: ett ofta förbisett sårbarhetsfokus
NIS2 ställer krav på säkerhet i leveranskedjan, vilket innebär att din organisations ansvar sträcker sig bortom egna system. Programvara från tredjepartsleverantörer, öppen källkod och molntjänster utgör alla potentiella ingångspunkter för angripare.
SBOM-hantering (Software Bill of Materials) gör det möjligt att spåra vilka komponenter och bibliotek som ingår i den programvara du använder. När en ny sårbarhet publiceras i en tredjepartskomponent kan du snabbt identifiera om din organisation är exponerad.
Ställ krav på leverantörer i avtal, begär dokumentation om deras sårbarhetshantering och verifiera att de följer erkända ramverk som ISO/IEC 27001. Kontinuerlig bevakning av kända sårbarheter i leverantörers produkter bör ingå i din ordinarie skanningsprocess.
Checklista: Kom igång med NIS2-anpassad sårbarhetshantering
Använd den här checklistan som utgångspunkt för att strukturera ditt arbete. Den täcker de viktigaste åtgärderna för att komma igång.
- Inventera alla tillgångar, inklusive endpoints, molnresurser och IoT-enheter.
- Inför automatiserad sårbarhetsskanning med minst veckovis frekvens för kritiska system.
- Etablera en riskbaserad prioriteringsmodell som väger in affärskritikalitet och exponering.
- Koppla åtgärdsarbetet till din ITSM-process med definierade SLA:er per prioritetsnivå.
- Automatisera patchhantering för operativsystem och tredjepartsapplikationer.
- Dokumentera hela processen, från skanning till verifiering, för regulatorisk granskning.
- Säkerställ att ledningen regelbundet tar del av rapporter med trender och resursbehov.
- Granska leverantörers säkerhetsarbete och kräv SBOM för kritisk programvara.
Slutsats: Proaktiv sårbarhetshantering stärker din organisation
NIS2 höjer ribban för vad som krävs av svenska organisationers cybersäkerhetsarbete. Hot- och sårbarhetshantering är inte längre ett valfritt tillägg, det är en grundförutsättning. Genom att bygga en strukturerad, riskbaserad process med rätt verktyg och tydligt ägarskap kan du uppfylla regulatoriska krav och samtidigt stärka din organisations motståndskraft mot cyberhot.
Börja med att kartlägga dina tillgångar och skanna din miljö. Prioritera utifrån verksamhetspåverkan och automatisera åtgärdsarbetet. Inuit kan hjälpa dig att ta kontroll över din IT-infrastruktur och gå från reaktivitet till proaktivt skydd. Besök Inuits resurser om cybersäkerhetslagen för att ta nästa steg.
