Säkerhetsmedvetenhetsutbildning i Norden: vad lagen nu kräver

I tjugo år var utbildning i säkerhetsmedvetenhet en frivillig utgift som motiverades med riskargument och köptes av personer som behövde övertyga en ekonomichef. Under loppet av nio månader 2025 och 2026 blev den en lagstadgad skyldighet i både Finland och Sverige, med en namngiven ansvarig och personliga konsekvenser vid brister.

Det är den förändring som är värd att förstå, eftersom den flyttade köpbeslutet från IT till styrelsen, och eftersom det mesta som publicerats i ämnet fortfarande är marknadsföring för plattformar för phishingsimulering, skriven innan något av detta hände.

Vad som faktiskt förändrades

Finland genomförde NIS2 genom cybersäkerhetslagen, kyberturvallisuuslaki 124/2025, i kraft från den 8 april 2025. Verksamheter inom tillämpningsområdet skulle registrera sig hos sin sektorstillsynsmyndighet senast den 8 maj 2025 och ha en modell för hantering av cybersäkerhetsrisker senast den 8 juli 2025. Traficoms Cybersäkerhetscenter fungerar som nationell kontaktpunkt och CSIRT vid sidan av sektorsmyndigheterna. Högsta ledningen ska godkänna riskhanteringsåtgärderna, övervaka dem och delta i utbildning, och kan hållas personligt ansvarig, i allvarliga fall genom ett tillfälligt förbud att inneha ledningsfunktioner tills bristerna åtgärdats.

Sverige genomförde direktivet genom cybersäkerhetslagen (2025:1506), i kraft från den 15 januari 2026, som omfattar verksamheter i arton sektorer, med MSB som nationell samordnare och sektorsmyndigheter som tillsynsmyndigheter. Den svenska lagstiftaren gjorde ett medvetet val om utbildning: utredningen hade föreslagit en bredare skyldighet som nådde vidare personalgrupper, och den antagna lagen snävade in den obligatoriska utbildningsskyldigheten till ledningsorganet, det vill säga styrelsen och den verkställande direktören.

Läget i dag är alltså att ledningsorganet i båda länderna har en utbildningsskyldighet som är uttrycklig, personlig och dokumenterbar, medan utbildning på personalnivå ligger inom den bredare riskhanteringsskyldigheten och avgränsas av er egen riskbedömning snarare än av ett generellt lagkrav.

Den som påstår att NIS2 kräver årlig medvetenhetsutbildning för alla anställda överdriver. Den som påstår att er styrelse kan hoppa över den underskattar avsevärt.

Skyldigheten ingen hade planerat för

Cybersäkerhetsutbildning på styrelsenivå är ett genuint nytt produktkrav i Norden, och de flesta organisationer var inte rustade att leverera det.

Det kan inte uppfyllas genom att låta styrelseledamöter gå samma modul som personalen. En styrelsemodul handlar inte om att känna igen phishing. Den handlar om att kunna granska organisationens riskbild, förstå vad riskhanteringsåtgärderna i lagstiftningen faktiskt kräver, känna till tidsfristerna för incidentrapportering och vad som händer när de missas, och förstå den specifika personliga exponering som följer med att godkänna åtgärder utan tillsyn.

Den behöver ges som en egen session, dokumenteras individuellt och med namn snarare än som en del av en aggregerad genomförandesiffra, och upprepas när styrelsens sammansättning ändras. En genomföranderapport som visar att 96 procent av de anställda är utbildade visar inte att en viss styrelseledamot fått en viss utbildning, och det är det en tillsynsmyndighet kommer att fråga efter.

Varför simulerad phishing inte ändrar beteenden på egen hand

Phishingsimulering är den dominerande produkten på den här marknaden och den är genuint användbar, men den mäter mottaglighet snarare än skapar kompetens, och sättet de flesta organisationer kör den på motverkar aktivt det resultat de vill ha.

Tre problem återkommer. Klickfrekvens är ett dåligt mått eftersom det lätt manipuleras genom att göra simuleringarna enklare, och eftersom ett klick är en enda datapunkt om en person en enda dag. Bestraffande inramning trycker ner rapporteringen, som är det beteende ni faktiskt behöver, eftersom en anställd som fruktar konsekvenser av att ha klickat håller tyst och organisationen förlorar de timmar som betyder mest. Och simulering tränar igenkänning av simulerad phishing, som historiskt varit grövre än den verkliga och nu är betydligt grövre än vad generativa verktyg producerar.

De mått som är värda att följa är i stället rapporteringsgrad, det vill säga andelen misstänkta meddelanden som rapporteras, och tid till rapport, det vill säga hur lång tid det tar från mottagande tills någon slår larm. Båda mäter det beteende som begränsar skadan.

En organisation med 12 procents klickfrekvens och fem minuters median-rapporteringstid är i betydligt bättre skick än en med 4 procents klickfrekvens där ingen rapporterar något.

Utforma för arbetsflödet, inte hotkatalogen

Det strukturella misstaget i de flesta medvetenhetsprogram är att organisera innehållet efter angreppstyp. De anställda får lära sig om phishing, sedan ransomware, sedan social manipulation, sedan insiderhot. Så tänker en säkerhetsspecialist om världen, och det är inte så en anställd möter den.

Anställda möter säkerhetsbeslut inuti sitt arbete. En ekonomiassistent får en begäran om att ändra en leverantörs bankuppgifter. En rekryterare öppnar en bilaga från en främling, vilket är hens jobb. En utvecklare behöver testdata. En säljare vill jobba med en kundlista från en privat enhet på tåget. Var och en av dessa är ett specifikt ögonblick med ett specifikt rätt svar, och utbildning som tar sikte på ögonblicket skapar beteende, medan utbildning som tar sikte på hotkategorin skapar medvetenhet om kategorin.

Bygg kursplanen genom att fråga varje funktion vad de faktiskt gör, och identifiera sedan de tre eller fyra beslutspunkter där ett felaktigt val skapar verklig exponering. De moduler som blir resultatet är kortare, mer specifika och betydligt mer användbara än en heltäckande hotöversikt.

Rollbaserat djup

All personal behöver ett kort gemensamt lager: autentisering och varför återanvändning av lösenord spelar roll, att känna igen och rapportera misstänkta kontakter, att hålla data i godkända system, fysisk uppmärksamhet i delade utrymmen, och framför allt hur och hur snabbt man rapporterar. Håll det till det väsentliga och upprepa det ofta i stället för att leverera det heltäckande en gång om året.

Ekonomi behöver modulen om betalningsbedrägerier, eftersom VD-bedrägerier och fakturabedrägerier riktar sig specifikt mot dem och förlusterna är omedelbara och ofta oåterkalleliga. En verifieringsrutin för varje ändring av betalningsuppgifter, via en separat kanal och ett känt nummer, är den enskilt mest värdefulla kontroll ett medvetenhetsprogram kan installera.

HR och rekrytering öppnar ständigt bilagor från okända avsändare och hanterar organisationens känsligaste uppgifter.

IT och utvecklare behöver djup kring åtkomsthantering, hantering av hemligheter, testdata och säker konfiguration.

Alla som kan vara först att upptäcka en incident behöver drilla rapporteringstidslinjen, eftersom NIS2:s tidiga varning mäts i 24 timmar från kännedom och en anställd som väntar till nästa morgon har förbrukat en stor del av den.

Ledningsorganet behöver sin egen session, enligt ovan.

Att kunna visa det

Tillsynsmyndigheter letar efter ett system snarare än ett certifikat. Spara riskbedömningen som avgjorde vem som behöver vad. Spara ledningsorganets utbildning dokumenterad separat och med namn, eftersom den i Sverige svarar mot en specifik lagstadgad skyldighet. Spara innehållet med versionsdatum. Spara leveransregister inklusive nyanställda och relevanta konsulter. Spara översynscykeln som visar när programmet senast stämdes av mot den aktuella hotbilden och vad som ändrades.

Där ni beslutade att en grupp behövde mindre, dokumentera varför. Ett dokumenterat proportionerligt beslut går att försvara. En odokumenterad lucka gör det inte.

Leverantörsfrågan

Om ni inte omfattas av NIS2 kan ni ändå vara inom dess räckvidd. Säkerhet i leveranskedjan är en av de riskhanteringsåtgärder som omfattade verksamheter måste genomföra, vilket de gör genom att föra kraven vidare via avtal. Resultatet är att mindre nordiska företag utan lagstadgad skyldighet får säkerhetsfrågeformulär och avtalsklausuler som förutsätter en utbildad personalstyrka.

Om det beskriver er är det praktiska svaret att kunna visa samma saker som en omfattad verksamhet visar. Det är också en kommersiell tillgång, eftersom en leverantör som snabbt kan besvara säkerhetsfrågeformuläret vinner upphandlingar från dem som inte kan.

Frekvens

Ingen av de nationella lagarna fastställer ett intervall för personalutbildning. Det båda ramverken letar efter är att åtgärderna är lämpliga och aktuella.

En årlig modul är konventionen och den är svag på egen hand, eftersom igenkänning avtar och hotbilden rör sig snabbare än tolv månader. Det mönster som fungerar är en substantiell modul vid introduktionen, kort förstärkning under året, riktat innehåll när något väsentligt förändras, och en dokumenterad årlig översyn av om programmet fortfarande matchar risken. Ledningsorganets utbildning bör upprepas vid tillträde och uppdateras enligt en fastställd cykel.

Vanliga frågor