Publicerad
Sammanfattning: Kontinuitetshantering börjar inte med en plan, en reservserver eller en krisorganisation. Den börjar med frågan om vilken verksamhet som måste kunna fortsätta, hur länge den kan vara störd och vad som krävs för att hålla den igång på en acceptabel nivå. Vägen dit går via konsekvensanalysen: kritiska aktiviteter, maximal tolererbar avbrottstid, återställningsmål som verksamheten själv sätter, och en kartläggning av de beroenden aktiviteterna vilar på. Först därefter blir kontinuitetsplanen, reservrutinerna och övningen meningsfulla.
Kontinuitet är inte backup, och inte krisledning
När kontinuitet diskuteras hamnar samtalet ofta snabbt på backup, reservservrar eller krisledning. Alla tre är viktiga, men kontinuitetshantering börjar någon annanstans: i verksamheten.
Frågan är inte först vilket system som ska återställas. Frågan är vilken verksamhet som måste kunna fortsätta, hur länge den kan vara störd och vad som krävs för att hålla den igång på en acceptabel nivå.
Fyra begrepp som ofta blandas ihop:
- Kontinuitet handlar om hur verksamheten fortsätter under störningen.
- Återställning, DR, handlar om hur tekniken kommer tillbaka.
- Krisledning handlar om strategisk ledning, prioriteringar och kommunikation vid en större störning.
- Incidenthantering handlar om själva händelsen.
Hur de hänger ihop när något faktiskt inträffar har vi skrivit om i insikten om incidenttriage. Den här artikeln handlar om arbetet innan: hur förmågan byggs.
Börja med konsekvensanalysen, inte med kontinuitetsplanen
Det är svårt att skriva en bra kontinuitetsplan innan organisationen vet vad som faktiskt måste prioriteras. Myndigheten för civilt försvar, tidigare MSB, har ett metodstöd för kontinuitetshantering som bygger på valda delar ur SS 22304:2023, den svenska handboken för kontinuitetshantering enligt SS-EN ISO 22301. Det börjar just med att identifiera verksamhetens kritiska aktiviteter och analysera konsekvenserna av störningar, och använder resultatet från konsekvensanalys och riskbedömning som underlag för åtgärderna.
Börja därför inte med frågan om vilken plan ni ska skriva. Börja med frågan: vad händer med verksamheten om den här aktiviteten inte kan genomföras?
Beskriv sedan konsekvensen över tid:
- efter 30 minuter
- efter fyra timmar
- efter ett dygn
- efter tre dygn
- efter en vecka
Och utifrån olika typer av konsekvens:
- kunder, patienter eller medborgare
- ekonomi
- lag och avtal
- säkerhet
- förtroende
- andra verksamheter som är beroende av er
Det är den här analysen, på engelska business impact analysis eller BIA, som utgör en central grund för det fortsatta kontinuitetsarbetet enligt ISO 22301. Den avgör vad som är värt att skydda och hur snabbt.
Identifiera kritiska aktiviteter, inte bara kritiska system
En verksamhet säger ofta att affärssystemet är kritiskt. Men frågan borde först vara: vilken verksamhetsaktivitet är kritisk, och varför behövs affärssystemet för att utföra den?
Ställd så visar frågan att samma kritiska aktivitet ofta också är beroende av:
- personer och nyckelkompetens
- lokaler
- information
- telefoni och nätverk
- leverantörer
- behörigheter
- manuella underlag
- andra processer
ISO:s särskilda vägledning för konsekvensanalys, ISO/TS 22317:2021, lyfter just detta: analysen ska identifiera de prioriterade aktiviteterna och de resurser och beroenden som krävs för att utföra dem under en störning, inklusive leverantörer, partner och andra externa parter.
Hur länge kan vi acceptera avbrottet?
Här kommer tidsbegreppen in. De behöver inte bli en ordlista, men tre av dem bär hela arbetet:
- MTPD, maximal tolererbar avbrottstid. När blir konsekvensen av störningen oacceptabel?
- RTO, Recovery Time Objective. När behöver aktiviteten eller tjänsten vara återställd? RTO behöver vara kortare än MTPD, och i praktiken bör det finnas en rimlig marginal mellan dem.
- RPO, Recovery Point Objective. Till vilken tidpunkt behöver information kunna återställas, alltså hur stor dataförlust uttryckt i tid verksamheten kan acceptera?
ISO/TS 22317 beskriver konsekvensanalysen som underlaget för att bedöma när konsekvenser blir oacceptabla, bestämma MTPD och RTO för de prioriterade aktiviteterna och identifiera relevanta RPO-krav och beroenden.
Det viktigaste med de tre begreppen är vem som äger dem. RTO bör inte börja i IT. IT ska kunna svara på vad tekniken kan leverera, men verksamheten behöver först tala om hur länge den kan klara sig utan förmågan.
Om verksamheten behöver vara tillbaka inom fyra timmar och IT:s realistiska återställningstid är två dygn har organisationen identifierat ett gap. Det är precis vad analysen ska synliggöra. Gapet är inte ett misslyckande, det är ett beslutsunderlag: investera i snabbare återställning, bygg en reservrutin som täcker de två dygnen, eller acceptera risken medvetet.
Kartlägg beroendena
För varje prioriterad aktivitet behöver organisationen veta vad den vilar på:
- människor och nyckelkompetenser
- information
- IT-system
- lokaler
- utrustning
- el och kommunikation
- interna processer
- externa leverantörer och deras underleverantörer
- andra verksamheter
Myndigheten för civilt försvar tillhandahåller en processbild som mall just för att visualisera de kritiska aktiviteter och beroenden som identifieras i konsekvensanalysen. Den skiljer på interna resurser som organisationen kontrollerar och externa resurser som den inte kontrollerar.
Den skillnaden är viktig. Om en kritisk aktivitet bara fungerar så länge en viss SaaS-leverantör, konsult eller transportör är tillgänglig är det leverantörsberoendet en del av kontinuitetsplaneringen, inte bara en inköpsfråga.
Från analys till kontinuitetsstrategi
När organisationen vet vad som är kritiskt, hur länge det får ligga nere och vilka beroenden som finns, kan den besluta hur verksamheten ska fortsätta. Alternativen är fler än man ofta tänker:
- manuellt arbetssätt
- alternativ lokal
- ersättningssystem
- reservutrustning
- alternativ leverantör
- lagerhållning
- redundans
- omprioritering av personal
- reducerad tjänstenivå
- teknisk failover
Strategin är valet mellan de här alternativen per aktivitet, med hänsyn till kostnad, tid och risk. Planen blir därmed ett resultat av analysen och strategin, inte ett fristående dokument som skrivs för att finnas.
Fyra planer som ofta blandas ihop
| Plan | Huvudfråga | Ägs normalt av |
|---|---|---|
| Incidentplan, IRP | Hur upptäcker, bedömer, begränsar och hanterar vi incidenten? | IT, säkerhet eller incidentorganisationen |
| Kontinuitetsplan, BCP | Hur fortsätter verksamheten under störningen? | Verksamheten |
| Återställningsplan, DRP | Hur återställer vi IT, data och teknisk infrastruktur? | IT |
| Krisplan | Hur leder, prioriterar och kommunicerar organisationen vid en allvarlig händelse? | Ledningen |
De fyra planerna kan behöva aktiveras samtidigt, men de löser olika problem. En organisation som bara har en återställningsplan har teknisk återställning, inte kontinuitetshantering. Den tekniska sidan av återställning, inklusive hur RTO och RPO möts i praktiken, fördjupar vi i insikten om Microsoft 365-backup och återställning.
Reservrutinen måste vara realistisk
Att arbeta manuellt är inte en kontinuitetsplan. För att den reservrutinen ska fungera måste någon ha tänkt igenom:
- vilken information personalen behöver
- om informationen finns tillgänglig när systemet är nere
- hur nya uppgifter registreras under tiden
- hur volymen hanteras
- hur länge rutinen fungerar innan den bryter ihop
- vilken bemanning som krävs
- hur informationen förs tillbaka när systemet återställts
Den sista punkten glöms ofta. En reservrutin som fungerar i två dygn men lämnar organisationen med tre dygns efterregistrering har flyttat problemet, inte löst det.
Öva för att hitta det ni inte visste
Målet med en bra kontinuitetsövning är inte att få grönt på alla punkter. Det är att hitta problemen under en kontrollerad övning i stället för under ett verkligt avbrott.
Ett scenario räcker långt. Det är tisdag klockan 09.15. Er viktigaste SaaS-tjänst är nere. Leverantören kan inte ge någon prognos. Vid lunch säger de att avbrottet kan vara i minst 48 timmar. Vad gör ni?
- När aktiveras kontinuitetsplanen, och av vem?
- Vilken reservrutin startar?
- Vem kontaktar leverantören, och vad kräver ni av dem?
- Vad händer när personalen byter skift?
- Vad kommuniceras till kunder, och när?
- När blir detta en fråga för krisledningen?
Svaren på de frågorna, och framför allt tystnaden där svar saknas, är övningens resultat.
Förvalta förmågan, inte dokumentet
En kontinuitetsplan är färskvara. Den behöver ses över när:
- ett kritiskt system byts
- en leverantör förändras
- verksamheten omorganiseras
- nya kritiska processer tillkommer
- RTO förändras
- en övning eller en verklig incident visar brister
- nya beroenden uppstår
Både ISO 22301 och den svenska handboken SS 22304 behandlar uppföljning och förbättring som en del av ledningssystemet för kontinuitet, inte som en fristående efteraktivitet. Det är också där kontinuitet möter det bredare arbetet med operativ motståndskraft som allt fler regelverk kräver.
Så kan Kristensson i Skåne stödja
Kristensson i Skåne hjälper organisationer att gå från en övergripande ambition om kontinuitet till en konkret och testad förmåga, som en del av vårt arbete med beredskap, kontinuitet och resiliens. Stödet kan exempelvis omfatta:
- avgränsning och etablering av kontinuitetsarbetet
- verksamhets- och konsekvensanalys
- identifiering av kritiska aktiviteter
- fastställande av MTPD, RTO och relevanta RPO
- kartläggning av interna och externa beroenden
- riskbedömning
- kontinuitetsstrategier och reservrutiner
- framtagning eller kvalitetssäkring av kontinuitetsplaner
- koppling mellan kontinuitetsplan, återställningsplan, incident- och krishantering
- kontinuitetsövningar och tabletop
- åtgärdsplan och löpande uppföljning
Vår utgångspunkt är att planen ska fungera när den används. Ett dokument som ser komplett ut men inte överlever första skiftbytet har inte gjort verksamheten mer motståndskraftig.
Vanliga frågor
Vad är skillnaden mellan kontinuitetshantering och backup?
Backup är en teknisk åtgärd för att kunna återställa information. Kontinuitetshantering handlar om hur verksamheten fortsätter under en störning, oavsett om orsaken är ett IT-avbrott, en leverantör som inte levererar, personalbortfall eller en oanvändbar lokal. Backup är ofta en del av kontinuitetsstrategin, men aldrig hela.
Vad är en konsekvensanalys eller BIA?
En konsekvensanalys, på engelska business impact analysis, beskriver vad som händer med verksamheten över tid om en aktivitet inte kan utföras. Den identifierar kritiska aktiviteter, hur länge de kan vara störda, och vilka resurser och beroenden de kräver. ISO 22301 gör den till en central grund för det fortsatta kontinuitetsarbetet.
Vad betyder MTPD, RTO och RPO?
MTPD är den maximala tid en aktivitet kan vara störd innan konsekvensen blir oacceptabel. RTO är målet för när aktiviteten ska vara återställd och behöver vara kortare än MTPD, i praktiken med en rimlig marginal. RPO anger till vilken tidpunkt information behöver kunna återställas, alltså hur stor dataförlust uttryckt i tid som accepteras, och styr hur ofta information behöver säkras.
Vem ska bestämma RTO?
Verksamheten. IT kan svara på vad tekniken realistiskt kan leverera, men det är verksamheten som vet hur länge den klarar sig utan förmågan. Skillnaden mellan verksamhetens krav och IT:s förmåga är ett gap som ska synliggöras och beslutas om, inte döljas.
Hur ofta ska kontinuitetsplanen övas?
Som grundregel rekommenderar vi minst en övning per år, och dessutom när kritiska system eller leverantörer byts, verksamheten förändras väsentligt eller en verklig incident har visat brister. För vissa reglerade verksamheter kan särskilda krav på testfrekvens gälla. Övningen ska hitta problem under kontrollerade former, inte bekräfta att allt fungerar.
Vill ni veta hur länge er verksamhet faktiskt kan stå still? Läs mer om vårt erbjudande kontinuitetshantering och kontinuitetsövning eller kontakta oss för ett förutsättningslöst samtal.
Källor: ISO 22301:2019 med Amd 1:2024, Security and resilience – Business continuity management systems – Requirements, gällande publicerad utgåva vid verifieringen; en ny utgåva är under utveckling; ISO/TS 22317:2021, Guidelines for business impact analysis; SS 22304:2023, Handbok för kontinuitetshantering enligt SS-EN ISO 22301; Myndigheten för civilt försvar, tidigare MSB, metodstöd för kontinuitetshantering med processbild för konsekvensanalys. Verifierat 2026-09-21.
Den här texten är allmän information. Vilka aktiviteter som är kritiska och vilka återställningsmål som är rimliga beror alltid på den enskilda verksamheten.