Beroendekarta¶
Fas 0 är inte ett projekt utan en styrningsrutin: beroendekartan upprättas först och uppdateras därefter årligen. Cybersäkerhetslagen och CER-lagen kräver i praktiken samma underlag.
Beroendekartan är inventeringen av system, avtal och dataflöden, med varje beroende klassat efter hur direkt det är, vad som händer om leverantören stänger av, och när avtalet löper ut. Den är utgångspunkten för exitplanerna, för kravställningen och för beslutet om målnivå och takt. Mallen nedan finns också som CSV-fil att öppna i ett kalkylprogram eller läsa in i ett verktyg.
Kolumner¶
| Kolumn | Innehåll | Värden |
|---|---|---|
| System/tjänst | Namn på systemet eller tjänsten | text |
| Lager | Referensarkitekturens lager | 0 Hårdvara, 1 Nät & grundtjänster, 2 Plattform & drift, 3 Identitet & katalog, 4 Klienter & enheter, 5 Digital arbetsplats, 6 Utveckling, integration & AI, 7 Verksamhetssystem & data |
| Leverantör | Den som organisationen har avtal med | text |
| Kontrolleras från | Land där leverantören – eller dess ägare – juridiskt kontrolleras (inte var utvecklarna sitter) | landkod |
| Driftas var | Land/datacenter/underleverantör där tjänsten faktiskt körs; för SaaS från nordiska leverantörer: fråga | text |
| Beroende | Direkt (syns på fakturan och skärmen) eller dolt (låser utan att synas: identitet, integrationer, drift hos underleverantör) | direkt / dolt |
| Nivå i dag | Kontrollnivå enligt analysen | 1 Data i EU, 2 Ingen åtkomst utifrån, 3 Europeisk kontroll, 4 Hela kedjan |
| Kill-switch-risk | Vad händer dag 1 om leverantören stänger av, höjer priset eller tvingas lyda ett annat lands lag | kritisk / hög / medel / låg |
| Kopplat till Entra/AD | Om systemets inloggning, provisionering eller integrationer går via Entra ID/Active Directory | ja / nej |
| Avtalsslut | Nästa tillfälle att ställa nya krav eller byta | datum |
| Målnivå | Beslutad målnivå för systemet | 2 / 3 / 4 |
| Fas | I vilken fas av färdplanen bytet planeras | 0–5 / horisont / undantag |
| Exitplan | Om en exitplan finns och när den senast prövades | ja (datum) / nej |
| Omprövning | Datum för nästa omprövning av undantag och klassning | datum |
Mall¶
| System/tjänst | Lager | Leverantör | Kontrolleras från | Driftas var | Beroende | Nivå i dag | Kill-switch-risk | Kopplat till Entra/AD | Avtalsslut | Målnivå | Fas | Exitplan | Omprövning |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Entra ID / Active Directory | 3 | Microsoft | US | Microsofts moln (EU Data Boundary) / egna servrar | dolt | 1 | kritisk | – | [datum] | 3 | 2 | nej | [datum] |
| Microsoft 365 (Exchange, Teams, SharePoint/OneDrive, Office) | 5 | Microsoft | US | Microsofts moln (EU Data Boundary) | direkt | 1 | hög | ja | [datum] | 3 | 3 | nej | [datum] |
| [Verksamhetssystem, t.ex. ärende/diarie] | 7 | [Nordisk leverantör] | [SE] | [Azure/AWS – fråga leverantören] | dolt | [1] | hög | ja | [datum] | 3 | 5 | nej | [datum] |
| [Webbplatsens typsnitt, analys, kartor, captcha] | 1 | US | Googles moln | dolt | 1 | låg–medel | nej | – | 3 | 1 | – | [datum] |
Dolda beroenden att leta efter¶
Det dolda beroendet är större än det synliga. Kontrollera särskilt:
- Active Directory och Entra ID: varje inloggning, varje behörighet, varje SSO-koppling till verksamhetssystem, varje enhetsidentitet.
- Intune/Autopilot: hur datorer och mobiler sätts upp och styrs.
- Exchange: kalender, rum, delade brevlådor – och alla integrationer som skickar e-post via Graph API.
- SQL Server bakom verksamhetssystemen, ofta utan att verksamheten vet det.
- Windows Server-roller: DNS, DHCP, PKI (AD CS), grupprinciper (GPO), filservrar.
- Authenticator/Windows Hello: MFA knuten till Microsofts appar och tjänster.
- Copilot/Azure OpenAI och Gemini: nya beroenden som byggs in i arbetsflöden just nu.
- Power BI/Power Platform: rapporter, flöden och appar som verksamheten själv byggt.
- GitHub/Azure DevOps: kod, pipelines, paketregister.
- Nordiska verksamhetssystem driftade på Azure/AWS – beroendet syns inte i avtalet.
- Webbens grunder: Google Fonts, Google Analytics, reCAPTCHA, Google Maps, YouTube-inbäddningar.
- Allra längst ned: Chromium (webbläsarmotor) och Android/iOS.
Så används kartan¶
- Inventera system, avtal, dataflöden och integrationer – börja med det som syns på fakturan, fortsätt med det som låser (listan ovan).
- Klassa varje beroende: direkt/dolt, nivå i dag, kill-switch-risk, avtalsslut, koppling till Entra/AD.
- Prioritera: kritisk och hög risk först; identitetslagret är det enda med kritisk risk och behandlas i fas 2 före samarbetsplattformen.
- Koppla varje kritisk tjänst till en exitplan och varje avtalsslut till kravkatalogen.
- Ompröva årligen: uppdatera kartan, pröva undantagen på nytt (nivå 2 där nivå 3 saknas), och rapportera till ledningen. Det är fas 0 som styrningsrutin.
Klart när: beroendekarta med prioriterad lista finns, målnivå är beslutad, plan för fas 1–2 är finansierad och kravkatalog för verksamhetssystem är antagen.
Källor¶
- Presentationens bilaga A8 (fas 0: mål, aktiviteter, klart när), bild 4 (det synliga och det dolda beroendet), bild 5–6 (referensarkitektur och matris), bild 3 (nivåerna)
- riksdagen.se – Cybersäkerhetslag (2025:1506); prop. 2025/26:303 (CER)