Det börjar ofta ganska odramatiskt.

En kund eller samarbetspartner skickar en säkerhetsenkät. En upphandling frågar efter ISO 27001. Någon i ledningen har hört att NIS2 är viktigt. En chef säger att “vi borde nog certifiera oss”.

Sedan landar frågan hos dig som får uppgiften att reda ut hur det går till.

Bakom frågan finns ofta ett fullt begripligt behov. Organisationen vill uppfattas som seriös. Kunderna vill känna förtroende. Styrelsen vill veta att riskerna hanteras. Sälj vill kunna svara ja på säkerhetsfrågor utan att behöva jaga runt i organisationen varje gång.

Men ibland finns också ett tyst önskemål: kan vi inte bara få det här undanstökat en gång för alla?

Ett certifikat. En policy. Ett dokument. Något att visa upp.

Problemet är att cybersäkerhet sällan fungerar så. Ett certifikat kan vara värdefullt. ISO 27001 kan vara ett rimligt mål. NIS2 och cybersäkerhetslagen kan vara viktiga väckarklockor. Kundernas krav kan vara helt legitima. Men inget av detta ersätter det grundläggande arbetet.

Först behöver man förstå nuläget.

Det är inte lika spännande som att prata certifiering. Det ser inte lika snyggt ut i en ledningspresentation. Men det är där arbetet börjar. Vilka system är viktigast för verksamheten? Vilka leverantörer är vi beroende av? Har vi koll på användarkonton och behörigheter? Fungerar backup om vi verkligen behöver återläsa? Vet medarbetarna vad de ska göra vid en misstänkt incident?

Det är enkla frågor. Men svaren är inte alltid lika enkla.

I många organisationer finns delar av svaret redan. Någon på IT vet vilka systemen är. Ekonomi vet vilket system som absolut inte får ligga nere. HR vet hur anställningar börjar och slutar. Någon har koll på backupen. Någon annan har sparat en gammal incidentrutin i en mapp någonstans.

Det betyder inte att organisationen är dålig. Det betyder bara att cybersäkerhetsarbetet ofta är utspritt, personberoende och lite för muntligt.

Det är här glappet uppstår.

Ledningen vill bli betrodd. Kunderna vill se ordning och reda. Regelverken kräver struktur. Men internt finns kanske mest spridda dokument, muntliga rutiner och några personer som håller ihop mycket mer än vad som egentligen är rimligt.

Då är nästa steg inte att köpa ett stort system. Det är inte heller att börja skriva policyer på löpande band. Nästa steg är att ta fram en ärlig bild av läget.

Vad har vi redan på plats? Vad saknas? Vad är viktigast? Vad behöver göras först? Och vem behöver fatta beslut?

Det är i praktiken en gap-analys.

Ordet låter kanske lite konsultigt, men tanken är enkel. Man jämför nuläget med ett önskat läge och skriver ner skillnaden. Inte för att skapa skam. Inte för att hitta fel på människor. Utan för att kunna prioritera.

För utan en sådan bild blir certifiering lätt en önskedröm. Alla vill ha resultatet, men ingen vet riktigt vad vägen dit kräver.

Med en enkel gap-analys blir samtalet bättre. Då kan man säga till ledningen:

“Så här ligger vi till. Det här fungerar redan. Det här saknas. De här riskerna bör vi ta först. Och om vi på sikt vill närma oss ISO 27001, NIS2-krav eller kundernas säkerhetsförväntningar, då behöver vi börja här.”

Det är mindre dramatiskt än det låter. Ofta börjar det med en enkel genomgång, några tydliga frågor och en lista över fynd. Sedan behöver fynden översättas till risker, åtgärder, ansvar och uppföljning.

Och där börjar det verkliga cybersäkerhetsarbetet.

I nästa del tittar vi på hur man kan göra en första enkel gap-analys med hjälp av CIS Controls v8. Inte för att införa ännu ett stort ramverk. Utan för att få ett enkelt sätt att gå igenom läget och se vad som faktiskt saknas.