Informationsklassning – så gör du en KRT-klassning steg för steg
Dela
Senast faktakontrollerad: 12 oktober 2026 · Ämne: informationssäkerhet, GDPR och verksamhetsstyrning · Svensk tillämpning
Informationsklassning innebär att en verksamhet bedömer vilka konsekvenser det får om information röjs för obehöriga, blir felaktig eller inte finns tillgänglig när den behövs. Resultatet används för att välja rimliga skyddsåtgärder. Här får du en konkret metod, en klassningsmatris och ett genomarbetat exempel.
- Börja med att inventera informationsmängder, inte enbart IT-system.
- Bedöm tre olika skyddsbehov: konfidentialitet, riktighet och tillgänglighet (KRT).
- Utgå från konsekvensen av en brist, inte bara från om uppgifterna känns hemliga.
- Dokumentera informationsägare, klass, motivering, åtgärder och när beslutet ska omprövas.
- En klassningsmall är ett arbetshjälpmedel, inte i sig ett bevis för att GDPR eller annan lagstiftning följs.
Vad är skillnaden mellan informationsinventering och informationsklassning?
Informationsinventering svarar på frågorna vilken information organisationen har, var den finns, vem som ansvarar för den och hur den används. Exempel kan vara kundregister, produktionsritningar, personalakter, offerter, avtal och säkerhetskopior.
Informationsklassning svarar på hur allvarliga följder det kan få om samma information exponeras, förvanskas eller inte går att nå. De två aktiviteterna hör ihop: utan inventering riskerar viktiga informationstillgångar att aldrig bli klassade.
Det är lämpligt att skilja informationsmängden från systemet. Samma kunduppgifter kan finnas i CRM-system, e-post, ekonomisystem och exportfiler. Ett enskilt system kan samtidigt innehålla flera informationsmängder med olika skyddsbehov.
Vilka tre skyddsbehov bedöms i en KRT-klassning?
| Aspekt | Fråga | Exempel på konsekvens |
|---|---|---|
| Konfidentialitet | Vad händer om obehöriga får läsa informationen? | Kunduppgifter exponeras eller affärshemligheter sprids. |
| Riktighet | Vad händer om informationen ändras eller blir felaktig? | Fel ritningsversion orsakar produktionsfel. |
| Tillgänglighet | Vad händer om behöriga inte får tillgång i tid? | Ordersystemet är otillgängligt under en kritisk leverans. |
Varje aspekt bedöms separat. En offentlig prislista kan ha lågt konfidentialitetsbehov men högt riktighetsbehov. Personaldokument kan ha högt konfidentialitetsbehov utan att kräva ständig tillgänglighet.
Så gör du en informationsklassning – sju steg
1. Bestäm omfattning och ansvar
Avgränsa verksamhet, process eller tjänst. Utse en verksamhetsansvarig eller informationsägare som kan bedöma konsekvenserna. IT och dataskyddsfunktioner kan bidra, men klassningen behöver förankras hos den som förstår informationens betydelse.
2. Inventera informationstillgångarna
Registrera namn på informationsmängden, syfte, process, informationsägare, system och lagringsplats, externa mottagare och eventuell förekomst av personuppgifter. Undvik att lagra själva känsliga uppgifterna i det öppna inventeringsregistret.
3. Identifiera konsekvenser för K, R och T
Beskriv konkret vad som kan hända för individer, verksamhet, ekonomi, förtroende och avtal om konfidentialitet, riktighet respektive tillgänglighet brister. Väg även in särskilda rättsliga eller avtalsmässiga krav.
4. Välj en gemensam klassningsmodell
Bestäm konsekvensnivåer och tydliga kriterier innan ni klassar. En modell med exempelvis låg, medel och hög konsekvens kan vara ett pedagogiskt internt exempel; den är inte en universell juridiskt föreskriven skala. Organisationens fastställda modell ska användas konsekvent.
5. Dokumentera nivå och motivering per aspekt
Anteckna varje KRT-bedömning separat, med en kort motivering och vem som godkänt den. Undvik en enda sammanslagen siffra som döljer vilket skyddsbehov som faktiskt är högt.
6. Bestäm och fördela säkerhetsåtgärder
Matcha klassningen mot den faktiska riskbilden. Det kan handla om behörighetsbegränsning, multifaktorautentisering, loggning, kryptering, säkerhetskopiering, återställningstest, versionshantering och rutiner för uppföljning. En hög klass leder inte automatiskt till samma tekniska lösning överallt.
7. Följ upp förändringar
Bestäm en ansvarig och tidpunkt för omprövning, särskilt när informationens användning ändras, nya leverantörer ansluts, en större incident inträffar eller ett nytt system införs. Kontrollera också att beslutade skydd faktiskt har införts.
Exempel på klassningsmatris för ett mindre företag
Anta ett företag som hanterar kundregister, tillverkningsritningar och en publik produktkatalog. Följande är en illustration på en intern tregradig konsekvensskala (1 låg, 2 medel, 3 hög), inte ett färdigt beslut för andra företag.
| Informationsmängd | K | R | T | Motivering i korthet |
|---|---|---|---|---|
| Kundregister med kontaktuppgifter | 3 | 2 | 2 | Otillåtet röjande kan skada enskilda; fel kan störa kundkontakter. |
| Styrande produktionsritningar | 2 | 3 | 3 | Fel version eller otillgänglighet kan stoppa produktion och skapa kvalitetsbrister. |
| Offentlig produktkatalog | 1 | 2 | 2 | Innehållet är offentligt men felaktiga priser eller driftstopp kan påverka kunder. |
Viktigt: Angivna nivåer är enbart pedagogiska. Organisationen måste göra sin egen konsekvens- och riskbedömning. Om information rör Sveriges säkerhet kan säkerhetsskyddslagstiftning och separata klassificeringsregler aktualiseras; en vanlig KRT-matris ersätter inte den prövningen.
Vad har informationsklassning med GDPR och NIS2 att göra?
GDPR: Artikel 32 kräver lämpliga tekniska och organisatoriska säkerhetsåtgärder utifrån bland annat riskerna för fysiska personers rättigheter och friheter. Informationsklassning kan vara ett användbart underlag, men är inte en särskilt angiven obligatorisk mallmetod för alla företag. Inventeringen är inte heller automatiskt samma sak som en registerförteckning enligt GDPR artikel 30.
NIS2 och svensk cybersäkerhetsreglering: För verksamheter som omfattas av sektorsreglerade cybersäkerhetskrav kan inventering, riskhantering, ansvar och uppföljning vara centrala delar i ett bredare arbete. Kontrollera först om organisationen faktiskt omfattas och vilka krav som gäller. Se vår guide om säkerhetsåtgärder och riskhantering vid NIS2.
Informationsklassning bör dessutom samordnas med incidenthanteringsplanen och företagets behörighetsstyrning. Annars riskerar klassningsresultatet att bli en isolerad inventeringslista utan verklig säkerhetseffekt.
Checklista före godkännande av informationsklassningen
- Finns en komplett och begriplig lista över prioriterade informationsmängder?
- Har varje post en utsedd ansvarig, uppdateringsdatum och tydligt användningsområde?
- Är konfidentialitet, riktighet och tillgänglighet bedömda var för sig?
- Går nivåerna att härleda till en gemensam beslutad modell?
- Är möjliga konsekvenser för enskilda personer och verksamheten dokumenterade?
- Har skyddsåtgärder, åtgärdsansvarig och uppföljningstidpunkt definierats?
- Har personuppgifter, externa leverantörer och delade kopior hanterats?
- Har informationsägaren granskat och godkänt resultatet?
Fem vanliga misstag att undvika
- Att bara inventera IT-system. Viktiga kalkylblad, pappersdokument och exporterade filer blir då osynliga.
- Att klassa enbart sekretess. Riktighet och tillgänglighet kan vara minst lika viktiga.
- Att kopiera någon annans nivåer. Konsekvenser och rättsliga krav kan vara helt olika.
- Att blanda ihop klassning och riskanalys. Klassningen beskriver skyddsbehov; riskanalysen beaktar dessutom hot, sårbarheter och sannolikhet.
- Att sakna handlingsplan. Ett register utan ansvar, åtgärder eller uppföljning minskar det praktiska värdet.
Vanliga frågor om informationsklassning
Måste alla företag ha ett informationsklassningsregister?
Nej, det finns inget generellt krav i GDPR på just ett register med detta namn och format för alla företag. Däremot gäller riskbaserade krav på lämpligt skydd för personuppgifter, och andra regler eller avtalsvillkor kan ställa ytterligare krav på verksamheten.
Vilken informationsklass ska personuppgifter ha?
Det finns ingen universell klass som gäller alla personuppgifter. Riskerna beror på typ av uppgifter, ändamål, omfattning och vilka konsekvenser ett obehörigt röjande eller annat fel skulle få.
Är informationsklassning samma sak som säkerhetsklassificering?
Nej. Allmän informationsklassning utifrån KRT ska inte sammanblandas med säkerhetsskyddsklassificering enligt säkerhetsskyddsreglerna, där andra definitioner och skyldigheter kan gälla.
Hur ofta ska klassningen ses över?
Det finns inget allmängiltigt intervall för varje informationsmängd. Bestäm en proportionerlig uppföljning utifrån verksamhetens förändringstakt och risk; ompröva vid väsentliga förändringar, nya informationsflöden eller incidenter.
Kan Excel användas för informationsklassning?
Ja, ett genomtänkt Excelregister kan vara praktiskt för att inventera informationsmängder, dokumentera klassningsbeslut och följa åtgärder. Registret behöver samtidigt skyddas på lämpligt sätt och ha tydlig versionshantering.
Arbeta praktiskt med informationsklassningen
Vill du samla informationsmängder, KRT-bedömningar, ansvariga och åtgärdsuppföljning i ett och samma arbetspaket? Mallbutikens redigerbara mall innehåller bland annat Excelregister och kompletterande dokument.
Se Informationsklassning & Informationsinventering 2026/2027När klassningen är klar kan du fortsätta med behörighetsrevision och åtkomstgranskning. Se även mallar för NIS2 och cybersäkerhet.
Myndighetskällor och vidare läsning
- Integritetsskyddsmyndigheten – GDPR artikel 32 och förordningen i fulltext.
- IMY – Säkerhetsåtgärder och riskbaserat skydd.
- SKR KLASSA – vägledning för informationsklassning.
- Fortifikationsverket – informationssäkerhet och klassificering.
Relaterade guider: Läs om gallring och lagringstid enligt GDPR, AI, cybersäkerhet och IT-avtal samt riskhantering och skyddsåtgärder enligt NIS2.
Observera: Texten är allmän vägledning och inte individuell juridisk rådgivning eller en bedömning av just din verksamhets regelefterlevnad. Regler, branschkrav och skyddsåtgärder ska kontrolleras i sitt konkreta sammanhang.
