ISO/IEC 27001:2022 är världens ledande standard för ledningssystem för informationssäkerhet. Den här guiden går igenom de 93 Annex A-kontrollerna, certifieringsprocessen och hur ISO 27001 förhåller sig till NIS2, GDPR och ISO 27005.
ISO/IEC 27001 är den internationella standarden för ett ledningssystem för informationssäkerhet (ISMS). Standarden specificerar krav på att etablera, implementera, underhålla och kontinuerligt förbättra informationssäkerheten i en organisation. ISO 27001 är certifierbar, vilket innebär att ett ackrediterat tredjepartsorgan kan utfärda ett formellt certifikat efter granskning.
Den senaste versionen är ISO 27001:2022, som ersatte 2013-versionen. Huvudändringen är en omstrukturering av Annex A från 114 till 93 kontroller, grupperade i fyra teman: organisatoriska, människor, fysiska och teknologiska. Befintliga certifierade organisationer hade fram till oktober 2025 att övergå till 2022-versionen.
ISO 27001 är inte enbart en teknisk standard – kärnan är ett managementsystem som kräver att ledningen tar ansvar, att risker bedöms systematiskt och att förbättringar drivs cykliskt (Plan-Do-Check-Act). Annex A-kontrollerna är verktyg för att behandla identifierade risker; vilka kontroller som tillämpas dokumenteras i ett Statement of Applicability (SoA).
ISO 27001 kräver ett ledningssystem för informationssäkerhet. Se hur Securapilots ISMS-plattform automatiserar klausul 4–10 och Annex A-kontroller – från första riskbedömning till certifieringsredo Statement of Applicability.
Utforska ISMS-plattformenNIS2-direktivet (EU 2022/2555) implementeras i Sverige via cybersäkerhetslagen från 15 januari 2026. ISO 27001 är frivillig men ger en stark grund för NIS2-efterlevnad.
| Område | ISO 27001:2022 | NIS2 / Cybersäkerhetslagen |
|---|---|---|
| Juridisk status | Frivillig standard | Bindande lag för väsentliga/viktiga entiteter |
| Riskhantering | Klausul 6.1, ISO 27005 | Artikel 21.1, 21.2(a) |
| Incidenthantering | A.5.24–A.5.28 | Artikel 23 (24h/72h/1 månad) |
| Leverantörsstyrning | A.5.19–A.5.23 | Artikel 21.2(d) |
| Ledningsansvar | Klausul 5 | Artikel 20 (personligt ansvar) |
| Sanktioner | Ingen direkt sanktion | Upp till 10 M€ eller 2 % av omsättning |
En genomtänkt ISO 27001-implementering täcker uppskattningsvis 70-80 % av NIS2-kraven – men inte allt. NIS2 ställer specifika krav på rapportering (24h-frist), supply chain-säkerhet och styrning som behöver kompletteras. Se vår detaljerade NIS2 ↔ ISO 27001-mappning.
ISO 27001:2022 grupperar kontrollerna i fyra tematiska kategorier. Varje kontroll har en attribut-tag (preventiv/detekterande/korrigerande, säkerhetsegenskap, operativ kapacitet, säkerhetsdomän) som hjälper urval och prioritering.
A.5.1 – A.5.37
Policyer, roller, ansvar, leverantörsstyrning, hotinformation, incidenthantering, kontinuitet och regelefterlevnad.
A.6.1 – A.6.8
Bakgrundskontroller, medvetenhet och utbildning, disciplinära åtgärder, ansvar efter anställning och visselblåsning.
A.7.1 – A.7.14
Skalskydd, åtkomstkontroll till lokaler, utrustningsskydd, kontorsmiljö och säker bortskaffande av media.
A.8.1 – A.8.34
Åtkomstkontroll, kryptering, säker utveckling, sårbarhetshantering, logghantering, nätverkssäkerhet och säker konfiguration.
Från första GAP-analys till färdigt certifikat. En typisk ISO 27001-implementering tar 6–18 månader beroende på organisationens mognad och storlek.
Bestäm ISMS-omfattning, intressenter och tillämpliga lagar.
Skriv informationssäkerhetspolicy, utse roller (CISO, ISO).
Inventera informationstillgångar enligt A.5.9 / A.8.1.
Identifiera hot, sannolikhet, konsekvens (ISO 27005).
Välj Annex A-kontroller, dokumentera Statement of Applicability.
Utbilda personal, inför tekniska och organisatoriska kontroller.
KPI:er, kontinuerlig övervakning, audit-trail.
Oberoende intern revision (klausul 9.2).
Årlig genomgång enligt klausul 9.3 med åtgärdsplan.
Dokumentationsgranskning av extern revisor.
Implementeringsgranskning, korrigeringar, certifikat utfärdas (3 år).
Securapilots GRC-plattform ger ett komplett ISMS-stöd kopplat till varje Annex A-kontroll.
Klausul 6.1.2 — bedöm och behandla risker.
Inventering av informationstillgångar.
Klassificera enligt CIA-triaden.
Policyer, standarder, riktlinjer.
Mät efterlevnad och Statement of Applicability.
Hantering av säkerhetsincidenter.
Tredjepartsriskhantering.
Rapporteringskanal enligt EU 2019/1937.
ISO/IEC 27001 är den internationella standarden för ledningssystem för informationssäkerhet (ISMS). Standarden ger ett systematiskt ramverk för att bedöma risker, välja säkerhetsåtgärder och kontinuerligt förbättra organisationens informationssäkerhet. Den senaste versionen är ISO 27001:2022.
Nej, ISO 27001 är frivillig. Men en ISO 27001-certifiering ger stark grund för NIS2-efterlevnad eftersom ramverken överlappar i krav kring riskhantering, incidenthantering och leverantörsstyrning. Många väsentliga och viktiga entiteter använder ISO 27001 som referensram för NIS2.
ISO 27001 är den certifierbara managementsystem-standarden – kraven på själva ledningssystemet. ISO 27002 är vägledning för hur Annex A-kontrollerna ska implementeras. Annex A i ISO 27001:2022 listar 93 kontroller; ISO 27002 förklarar varje kontroll i detalj.
ISO 27001:2022 har 93 säkerhetskontroller i Annex A, grupperade i fyra teman: organisatoriska (37), människor (8), fysiska (14) och teknologiska (34). Detta är en minskning från 114 kontroller i 2013-versionen efter omstrukturering.
Typiskt 6–18 månader från start till certifikat. En GAP-analys (1–4 veckor) följs av implementeringsfas (3–9 månader), intern revision och ledningens genomgång, och slutligen en tvådelad extern certifieringsrevision (Stage 1 + Stage 2).
SoA är ett centralt ISO 27001-dokument som listar alla 93 Annex A-kontroller och anger vilka som tillämpas, varför andra exkluderats samt status för varje. SoA är obligatoriskt för certifiering och är revisorns nyckeldokument vid extern revision.
För små och medelstora organisationer typiskt 150 000–500 000 SEK för själva certifieringsrevisionen plus interna kostnader för implementering. Securapilots ISMS-plattform minskar implementeringskostnaden avsevärt jämfört med konsultintensiva projekt.
ISO 27001 är en internationell ISMS-standard med global certifiering. SOC 2 är ett amerikanskt auditrapport-ramverk från AICPA baserat på "Trust Services Criteria". ISO 27001 fokuserar på management-systemet; SOC 2 på operativa kontroller. Många bolag har båda för olika marknader.
Gör en kostnadsfri GAP-analys mot ISO 27001 och få en konkret åtgärdsplan – eller boka en demo av Securapilots ISMS-plattform.
