Sammanfattning: Operativ motståndskraft är inte längre bara en IT- eller krisfråga – det är en lednings- och leverantörsfråga som måste fungera i vardagen. Med utgångspunkt i Finansinspektionens stabilitetsrapport 2026:1 visar vi hur ni går från regulatoriskt krav till en förmåga som håller när något faktiskt händer.
Finansinspektionens stabilitetsrapport 2026:1 sätter fingret på något som många organisationer redan känner av i praktiken: operativ motståndskraft är inte längre en fråga enbart för IT eller krisorganisationen. Det är en ledningsfråga, en leverantörsfråga och en förmåga som behöver fungera i vardagen.
FI konstaterar att det svenska finansiella systemet är stabilt, men att nya risker fortsätter att utvecklas. Finansiella företag behöver därför fortsätta stärka sin operativa motståndskraft och sin förmåga att hantera bland annat cyberhot. FI pekar också på att det säkerhetspolitiska läget, digitaliseringen och den snabba teknikutvecklingen, inklusive AI, skapar nya och mer komplexa risker.
Det är en utveckling vi känner igen från våra uppdrag. Många organisationer har policyer, kontinuitetsplaner, incidentprocesser och leverantörsregister på plats. Utmaningen är ofta att få helheten att fungera när något faktiskt händer.
Operativ motståndskraft handlar om mer än dokumentation
Operativ motståndskraft handlar om organisationens förmåga att förebygga, upptäcka, hantera och återhämta sig från störningar.
Det kan vara cyberangrepp, IT-avbrott, leverantörsstörningar, fel i interna processer, brister i förändringshantering eller händelser som påverkar samhällsviktiga tjänster.
FI:s analys av finansiella företags DORA-implementering pekar på just detta. Företagen har i många fall grundläggande strukturer på plats, men FI ser utvecklingsbehov inom löpande uppföljning, styrning och dokumentation genom hela livscykeln för IKT-avtal, samt kring vilka beredskapsåtgärder som kan vidtas vid störningar hos IKT-tredjepartsleverantörer.
Det är en viktig signal. Det räcker inte att ha en process beskriven. Organisationen behöver kunna visa att processen är förankrad, testad, uppdaterad och användbar.
Fem områden som ofta avgör förmågan
När vi hjälper organisationer att stärka sin operativa motståndskraft återkommer ofta fem områden.
1. Tydlig styrning och ansvar
Det första steget är att veta vem som äger vad.
Operativ motståndskraft spänner över flera funktioner: IT, informationssäkerhet, risk, juridik, inköp, verksamhet, kontinuitet, krisledning och ledning. Om ansvarsfördelningen är otydlig blir arbetet lätt fragmenterat.
En fungerande styrning behöver tydliggöra:
- vem som äger kritiska processer och tjänster
- vem som ansvarar för riskbedömningar
- vem som beslutar om riskacceptans
- vem som följer upp åtgärder
- vem som aktiverar incident-, kris- och kontinuitetsprocesser
- hur rapportering sker till ledning och styrelse
Det är ofta här skillnaden mellan dokumenterad efterlevnad och faktisk förmåga börjar.
2. Riskbaserad nuläges- och gap-analys
Många organisationer vet att de behöver stärka motståndskraften, men saknar en tydlig bild av var de ska börja.
En nulägesanalys eller gap-analys bör därför inte bara mäta om dokument finns. Den bör också bedöma hur arbetet fungerar i praktiken.
Det innebär att titta på exempelvis:
- incidenthantering
- kontinuitetsplanering
- återställningsförmåga
- leverantörsberoenden
- informationsklassning
- riskhantering
- tekniska kontroller
- styrdokument
- test och övning
- ledningsrapportering
Målet är att skapa en prioriterad bild: vad är kritiskt, vad är viktigt och vad kan vänta?
FI lyfter att företagens IKT-riskhantering inte alltid är tillräckligt proaktiv i förhållande till DORA:s krav, vilket kan begränsa förmågan att säkerställa riskstyrning, spårbarhet och kontinuitet.
3. Leverantörsstyrning genom hela livscykeln
Många av de mest kritiska beroendena finns idag utanför den egna organisationen.
Det kan handla om molntjänster, SaaS-plattformar, driftleverantörer, säkerhetsleverantörer, utvecklingspartners, integrationsplattformar eller outsourcing av verksamhetskritiska processer.
DORA har skärpt kraven på hur finansiella företag identifierar och hanterar digitala och operativa sårbarheter, inklusive IKT-tjänster från tredjepartsleverantörer. FI pekar särskilt på att komplexa leverantörskedjor och koncentration till vissa leverantörer kan skapa spridningseffekter och påverka möjligheten att tillhandahålla viktiga finansiella tjänster.
En praktisk tredjepartshantering behöver därför omfatta mer än inköp och avtal. Den bör täcka hela livscykeln:
- klassificering av leverantörer
- leverantörsgranskning
- riskanalys
- avtalskrav
- underleverantörer
- incidentrapportering
- kontinuitet och återställning
- löpande uppföljning
- exitplanering
Det viktigaste är att de mest kritiska leverantörerna inte bara är identifierade, utan också följs upp över tid.
4. Incident, kontinuitet och kris behöver hänga ihop
Många organisationer har separata processer för incidenthantering, kontinuitet och krisledning. Det kan fungera i vardagen, men vid en större störning behöver processerna hänga ihop.
En cyberincident kan snabbt bli en kontinuitetsfråga. En leverantörsstörning kan bli en krisledningsfråga. Ett IT-avbrott kan påverka kund, regulatorisk rapportering, kommunikation och verksamhetskritiska tjänster samtidigt.
Därför behöver organisationen ha tydliga beslutspunkter:
- När är en incident bara en IT-incident?
- När ska kontinuitetsplan aktiveras?
- När ska krisledning kopplas in?
- När krävs regulatorisk rapportering?
- När ska leverantör eller tredje part eskaleras?
- Vem beslutar om reducerad funktion, återställning eller riskacceptans?
Det är i dessa gränssnitt många organisationer upptäcker sina svagheter.
5. Test, övning och verifiering
En plan som inte har testats är ofta bara en antagelse.
FI betonar att företagen behöver ha en systematisk och styrningsdriven ansats, med tydlig ansvarsfördelning, dokumentation och regelbunden verifiering av att processer och kontroller faktiskt är implementerade i verksamheten.
Det innebär att organisationen behöver testa mer än teknisk återställning.
Exempel på relevanta tester och övningar är:
- tabletop-övningar för incident och kris
- återställningstest av kritiska system
- leverantörsbaserade scenarier
- kommunikationsövningar
- eskaleringstest
- test av manuell reservrutin
- övning av regulatorisk rapportering
- genomgång av beslutsvägar och mandat
Syftet är inte att skapa perfekta övningar. Syftet är att hitta brister innan en verklig händelse gör det.
Vad betyder detta i praktiken?
Operativ motståndskraft byggs inte genom ett enskilt projekt. Den byggs genom tydlig styrning, prioriterade riskåtgärder, fungerande processer och återkommande uppföljning.
För många organisationer är ett bra första steg att svara på några konkreta frågor:
- Vilka tjänster och processer är mest kritiska?
- Vilka system och leverantörer är dessa beroende av?
- Vilka störningar skulle få störst konsekvens?
- Vilka planer finns och när testades de senast?
- Vem fattar beslut vid större avbrott?
- Hur snabbt kan organisationen återställa kritiska funktioner?
- Vad behöver rapporteras, internt och externt?
- Vilka gap är mest akuta att åtgärda?
När svaren finns blir arbetet mer konkret. Då går det att prioritera, planera och genomföra åtgärder i rätt ordning.
Så kan Kristensson i Skåne stödja arbetet
Kristensson i Skåne hjälper organisationer att stärka sin operativa motståndskraft genom rådgivning, nulägesanalys, gap-analys, styrning och praktiskt genomförande.
Vi kan stötta i avgränsade projekt, till exempel med att bedöma nuläget mot DORA, NIS2/Cybersäkerhetslagen, ISO 27001 eller interna krav. Vi kan också hjälpa till mer löpande, som stöd till informationssäkerhetsfunktion, riskfunktion, IT-ledning, GRC-arbete eller CISO-roll.
Exempel på stöd vi kan leverera:
- nulägesanalys och gap-analys
- riskanalys och prioriterad handlingsplan
- utveckling av styrmodell och ansvarsfördelning
- stöd i DORA-, NIS2- och ISO 27001-arbete
- leverantörsstyrning och tredjepartshantering
- granskning av kritiska leverantörer
- kontinuitets- och återställningsplanering
- incident- och krisprocesser
- test- och övningsplanering
- uppföljning av åtgärder och kontroller
- ledningsrapportering och beslutsunderlag
- löpande GRC- eller CISO-stöd som tjänst
Vår utgångspunkt är praktisk: arbetet ska inte bara resultera i dokument. Det ska leda till tydligare ansvar, bättre beslutsunderlag och en förmåga som fungerar när verksamheten utsätts för störningar.
Från efterlevnad till faktisk motståndskraft
FI:s rapport visar tydligt att operativ motståndskraft fortsätter att vara en prioriterad fråga. Särskilt när cyberhot, leverantörsberoenden, AI, geopolitisk oro och samhällsviktig verksamhet möts i samma riskbild.
För organisationer som omfattas av DORA, NIS2/Cybersäkerhetslagen eller andra krav på informationssäkerhet och kontinuitet är frågan därför inte bara om man har rätt dokumentation.
Frågan är om verksamheten faktiskt kan förebygga, upptäcka, hantera och återhämta sig från störningar.
Vill ni veta hur stark er operativa motståndskraft är idag? Läs mer om vårt arbete med informationssäkerhet och styrning eller kontakta oss så tar vi ett första samtal om nuläge, risker och nästa steg.
Källa och vidare läsning: Finansinspektionen, Stabilitetsrapport 2026:1 – Företagen behöver fortsätta stärka sin operativa motståndskraft.
Detta är en översikt och inte juridisk rådgivning. Varje organisation behöver bedöma sina krav utifrån verksamhet, sektor, leverantörsberoenden och regulatorisk omfattning.