Företag · 3 min läsning

Cybersäkerhet för småföretag: 10 grundåtgärder

Granskad av Företagsoffert Redaktion · Uppdaterad 26 oktober 2026

Ett stulet lösenord, ett nätfiskemejl eller en dator som inte har uppdaterats kan räcka för att en angripare ska komma in i ett företag. Grundskyddet kostar inte mycket och mycket av det går att införa på en dag. Här är tio åtgärder som bygger på råden från Nationellt cybersäkerhetscenter, NCSC, och vad ni ska göra om något händer.

10 grundåtgärder

Börja uppifrån. De första punkterna ger mest skydd för minst arbete:

Slå på tvåstegsverifiering för e-post, molntjänster, bank och alla administratörskonton
Använd en lösenordshanterare och unika, långa lösenord
Låt datorer, mobiler och program uppdateras automatiskt
Säkerhetskopiera viktiga data och förvara en kopia som inte nås via nätverket
Testa att säkerhetskopiorna går att återställa
Ge administratörsbehörighet bara till dem som behöver den, och använd separata konton för administration
Kryptera hårddiskarna i bärbara datorer
Ha ett separat nätverk för gäster och för till exempel kameror och skrivare
Stäng konton och byt lösenord direkt när någon slutar
Utbilda alla i att känna igen nätfiske och falska betalningsuppmaningar

Vad NCSC rekommenderar

NCSC har tagit fram tio rekommenderade säkerhetsåtgärder för organisationer. De handlar bland annat om att installera säkerhetsuppdateringar skyndsamt, använda stark autentisering, begränsa höga behörigheter, säkerhetskopiera och testa återställning, segmentera nätverket och bara låta godkänd programvara köras.

För tjänster som nås via internet, som e-post, molntjänster och fjärråtkomst, rekommenderar NCSC att flerfaktorsautentisering prioriteras. Säkerhetskopior bör förvaras så att de inte nås via nätverket, eftersom de annars kan krypteras vid ett angrepp.

Känn igen nätfiske och bedrägerier

Var extra vaksam på meddelanden med:

Brådskande krav på betalning eller inloggning
En avsändare som nästan ser rätt ut, till exempel med en bokstav som skiljer
Länkar som leder till en annan adress än den som syns
Ett nytt kontonummer på en faktura från en känd leverantör
Någon som utger sig för att vara chefen och vill ha en snabb överföring

Om olyckan är framme

Agera snabbt, eftersom loggar och andra spår kan försvinna:

Koppla bort drabbade datorer från nätverket
Byt lösenord från en dator som inte är drabbad
Kontakta banken direkt om pengar har förts över
Spara skärmbilder, e-post och filer som bevis
Polisanmäl på telefon 114 14 eller på en polisstation
Anmäl till IMY, som utgångspunkt inom 72 timmar, om personuppgifter kan ha drabbats
Betala inte en lösensumma, det finns ingen garanti för att problemet upphör

Cybersäkerhetslagen och NIS2

Cybersäkerhetslagen, som bygger på EU-direktivet NIS2, gäller sedan 15 januari 2026. Den omfattar i första hand verksamheter inom utpekade sektorer med minst 50 anställda eller en viss omsättning och balansomslutning. Mindre verksamheter kan omfattas om de är särskilt viktiga, till exempel om de är ensamma om en tjänst i Sverige. Verksamheten måste själv bedöma om den omfattas och i så fall anmäla sig.

Även om ditt företag inte omfattas kan dina kunder göra det, och då kan de ställa krav på säkerhet hos sina leverantörer.

Vanliga frågor

Vad är den viktigaste åtgärden?

Tvåstegsverifiering på e-post och andra konton som nås via internet. Då räcker det inte att en angripare får tag i lösenordet.

Omfattas mitt företag av NIS2?

Troligen inte om ni har färre än 50 anställda, men det beror på sektor och på om verksamheten är särskilt viktig. Ni måste själva bedöma det.

Ska vi betala lösensumman vid ett angrepp med utpressningsvirus?

Nej. Polisen avråder från det, eftersom det inte finns någon garanti för att problemet upphör.

Måste vi anmäla ett intrång?

Kan personuppgifter ha drabbats ska det som utgångspunkt anmälas till IMY inom 72 timmar. Dataintrång och bedrägerier bör alltid polisanmälas.

Behöver vi IT-support för det här?

Många åtgärder går att göra själv. En IT-partner kan sköta uppdateringar, säkerhetskopiering och övervakning.

Källor

Guiden är allmän information och ersätter inte professionell rådgivning. Kontrollera aktuella regler hos berörd myndighet.