Incidentplanen som skrivs efter intrånget är den dyraste sorten.
De flesta bolag tar fram sina rutiner först när något redan hänt. Kalkylen visar vad varje timme utan plan kostar under en pågående incident.
Många medelstora bolag har ingen skriven plan för vad som händer vid ett intrång. Frågan hamnar i steg två, efter att något faktiskt inträffat.
Det är då planen blir dyrast att sakna. Under en pågående incident kostar varje timme av oreda pengar, förtroende och sömn.
Den här texten är ett räkneexempel. Använd dina egna tal.
Vad en incident utan plan ser ut som
Ett larm kommer på morgonen. Något beter sig fel. Ingen vet säkert vad.
Nu börjar frågorna. Vem bestämmer om vi stänger av systemet. Vem ringer vi. Har vi en fungerande backup. Vilka behöver informeras, och när. Vad säger vårt avtal med driftleverantören. Vem pratar med kunderna.
Utan svar i förväg tas varje beslut under press, av trötta personer, medan skadan växer. Timmarna går åt till att lista ut vem som gör vad, inte till att stoppa förloppet.
Ett typfall
Ta ett bolag med runt 110 anställda. En måndagmorgon är flera system låsta. Det står klart att det är ett intrång.
De första sex timmarna går åt till att få tag på rätt personer, förstå vad backupen omfattar och läsa avtalet med leverantören. Ingen visste att en full återställning aldrig hade testats.
Verksamheten stod delvis still i tre dagar. Ett bolag i samma bransch med en inövad plan hade en liknande händelse några månader senare och var igång på en dag. Skillnaden låg nästan helt i det första dygnet.
Räkna på timkostnaden
Steg ett. Uppskatta vad ett stopp i verksamheten kostar per timme. Ta en normal arbetsdag. Hur mycket av det ni levererar och fakturerar är beroende av att systemen fungerar. Dela på antalet arbetstimmar. Nu har du en grov timkostnad för stillestånd.
Steg två. Uppskatta hur många timmar längre en incident pågår utan plan jämfört med en incident med plan. Skillnaden ligger ofta i det första dygnet.
Steg tre. Multiplicera timkostnaden med antalet extra timmar. Det är merkostnaden för att sakna en plan, bara räknat i stillestånd.
Lägg till det som inte syns direkt
En incident kostar mer än stilleståndet.
Personuppgifter som kommer på avvägar kan behöva anmälas. Enligt MSB drabbades svenska verksamheter under 2025 av flera intrång där personuppgifter från ett stort antal kommuner och regioner kom ut.
Lägg till din uppskattning av tre saker. Kostnad för extern hjälp under akutläget, ofta till förhöjd taxa. Tid för att informera kunder och återställa förtroende. Interntid som tas från allt annat under veckorna efter.
Sätt grova siffror. Ta med dem i summan.
Jämför med kostnaden för planen
En grundläggande incidentplan är inte ett stort projekt. Den beskriver vem som leder arbetet, vem som får stänga av vad, vilka som kontaktas i vilken ordning, var backuperna finns och hur en återställning testas.
Räkna på tiden att ta fram den. Några arbetsdagar för rätt personer. En halvdag om året för att öva och uppdatera.
Ställ den kostnaden mot merkostnaden du räknade fram ovan. Skillnaden brukar vara stor nog att göra beslutet enkelt.
Vad varje månad utan plan innebär
En plan som inte finns i dag kostar inget i dag. Det är det som gör den lätt att skjuta upp. Kostnaden kommer på en gång, den dag något händer, och då går den inte att förhandla.
Tänk på sannolikheten i stället för på kalendern. Cyberhoten mot medelstora bolag minskar inte. Varje månad utan plan är en månad där ni satsar på att inget ska hända just då.
Det finns också en kostnad som drabbar personer. En incident utan plan betyder dygn av panik för ett litet team. Folk sover inte, familjer får stå tillbaka, och några orkar inte stanna kvar efteråt. En inövad plan gör samma händelse till en lång men hanterbar dag.
Planen tar några dagar att skriva och en halvdag om året att öva. Merkostnaden för att sakna den betalas med ränta, vid sämsta möjliga tidpunkt.
En mätövning för den här veckan
Samla de tre personer som skulle vara med om ett intrång upptäcktes imorgon. Ställ fem frågor. Vem leder arbetet. Vem får besluta att koppla bort ett system. Vilka ringer vi först, och har vi numren. När testade vi senast en återställning från backup. Vad står i avtalet med vår driftleverantör om deras ansvar.
Skriv ner svaren, eller notera var de saknas. Om ni fastnar på tre av fem frågor har ni ingen plan. Då vet ni vad nästa steg är, och ni vet det innan larmet går.