Incidenthantering: från upptäckt till lärdom

Incidenter kan inträffa i alla verksamheter. Skillnaden ligger i vad som händer sedan: upptäcks de tidigt, hanteras de ordnat och leder de till förbättringar? Här går vi igenom incidenthanteringens steg, några vanliga lagstadgade rapporteringskrav och styrelsens uppföljning. Guiden är generell vägledning, inte juridisk rådgivning.

Vad är incidenthantering?

Incidenthantering är processen för att upptäcka, rapportera, hantera och följa upp händelser som kan påverka verksamheten, ekonomin, informationssäkerheten eller anseendet. En incident kan vara en säkerhetsincident som ett IT-intrång, en personuppgiftsincident, en driftstörning, ekonomiska oegentligheter eller en allvarlig arbetsmiljöhändelse. Inom vård och systematiskt kvalitetsarbete används ofta begreppet avvikelsehantering för närliggande processer. Begreppen överlappar, men innebörden beror på verksamhetens regler och terminologi.

Processen hänger ihop med organisationens övriga skyddsarbete. Riskhanteringen pekar ut var incidenter kan uppstå. Krishanteringen tar över när en händelse hotar verksamheten, människorna eller förtroendet. Kontinuitetsplanen håller igång kritiska processer under allvarliga störningar. Incidenthanteringen fångar upp händelser i den löpande verksamheten och styr hur de ska eskaleras.

Processens steg

En generell incidentprocess kan beskrivas i sex steg. Ansvar, ordning och rapporteringskrav anpassas sedan till incidenttypen och verksamhetens regler:

1. Upptäckt och rapportering: gör rapporteringsvägen enkel och känd. En incident som inte rapporteras kan inte hanteras.
2. Klassificering: bedöm allvar och typ, så att rätt nivå tar hand om händelsen. Definiera i förväg när en incident ska eskaleras.
3. Begränsning: vidta omedelbara åtgärder för att begränsa skadan utan att försvåra dokumentationen. Säkra relevant underlag och starta riskbedömningen parallellt när det behövs.
4. Utredning: klarlägg vad som hände och varför. Leta grundorsaker, inte syndabockar.
5. Åtgärder: besluta korrigerande åtgärder och utse ansvariga.
6. Uppföljning och lärande: kontrollera att åtgärderna genomförs och att lärdomarna omsätts i rutiner.

Kulturen avgör processens värde. Rapporteras incidenter sent av rädsla för skuld förlorar organisationen både tid och lärdomar. Fokusera utredningen på orsaker och förbättringar.

Rapporteringsplikt enligt lag

Vissa incidenter är rapporteringspliktiga, med korta tidsfrister:

• Personuppgiftsincidenter: den personuppgiftsansvarige anmäler till IMY eller annan behörig tillsynsmyndighet utan onödigt dröjsmål, om möjligt senast 72 timmar efter vetskap om incidenten. Det gäller om det inte är osannolikt att incidenten medför risk för fysiska personers rättigheter och friheter. Ett personuppgiftsbiträde underrättar i stället den personuppgiftsansvarige utan onödigt dröjsmål. Den personuppgiftsansvarige ska dokumentera alla personuppgiftsincidenter, även de som inte anmäls. Leder incidenten sannolikt till hög risk för fysiska personers rättigheter och friheter ska de registrerade normalt informeras utan onödigt dröjsmål.
• Arbetsmiljöhändelser: arbetsgivaren ska utan dröjsmål underrätta Arbetsmiljöverket om dödsfall eller svårare personskada som inträffat i samband med arbetets utförande. Detsamma gäller arbetsrelaterade skador som samtidigt drabbat flera arbetstagare och tillbud med allvarlig fara för liv eller hälsa.
• Cybersäkerhetslagen (2025:1506): kontrollera först om verksamheten omfattas, tillämpningen beror bland annat på sektor och storlek. Omfattade verksamhetsutövare rapporterar betydande incidenter så snart det kan ske. En första upplysning lämnas senast 24 timmar efter att verksamhetsutövaren fått kännedom om incidenten. Incidentanmälan lämnas senast 72 timmar efter sådan kännedom, för betrodda tjänster inom 24 timmar. En slutrapport lämnas senast en månad efter incidentanmälan. Pågår incidenten då lämnas i stället en lägesrapport, med slutrapport inom en månad från att incidenten hanterats. Finansföretag som omfattas av DORA kan ha andra regler.

Listan är inte uttömmande. Ytterligare krav kan följa av verksamhetens sektor, tillstånd eller avtal. Kartlägg i förväg vilka rapporteringskrav som gäller er verksamhet och vem som ansvarar för anmälan. Tidsfristerna är för korta för att ordningen ska improviseras.

Styrelsens uppföljning

Styrelsens roll beror på organisationsform och tillämpliga regler. I aktiebolag, ekonomiska föreningar och bostadsrättsföreningar kan uppföljningen av väsentliga incidenter ingå i styrelsens övergripande förvaltningsansvar. I ideella föreningar styrs uppdraget främst av stadgar och beslut. Styrelsen hanterar normalt inte incidenter operativt, men bör få tillräcklig rapportering. Tre rutiner ger greppet:

• Återkommande rapportering: en samlad bild av väsentliga incidenter, orsaker och åtgärder, till exempel per kvartal.
• Väsentliga händelser som egna ärenden: allvarliga incidenter behandlas på styrelsemötet, med beslut dokumenterade i protokollet.
• Mönsteranalys: återkommande incidenter av samma typ är en signal om att grundorsaken inte åtgärdats.

Koppla uppföljningen till den årliga riskgenomgången, så att incidentbilden uppdaterar riskbedömningen.

Så hjälper Hippoly

I Hippoly kan incidentrapporter och rutiner samlas i dokumentytan, medan styrelsens behandling dokumenteras i protokollet. Beslutade åtgärder kan drivas som uppgifter med ansvariga och tidsfrister, så att uppföljningen inte tappas mellan mötena. AI-assistenten hi kan sammanfatta rapporter och svara på frågor om innehållet. Läs mer om Hippoly för aktiebolag eller se våra lösningar för föreningar.