Vad ett dataintrång kostar ett mindre företag – och var kostnaderna sitter

Frågan ”vad kostar ett dataintrång?” besvaras oftast med ett stort genomsnittsbelopp som inte säger något om ett företag med tjugo anställda. Verkligheten är att kostnaden sällan är en enda stor post. Den är en rad mindre poster som alla förfaller samtidigt — och precis när verksamheten har sämst förmåga att hantera dem.

Här är var kostnaderna sitter, i den ordning de brukar bli synliga.

1. Stilleståndet

Det första som händer vid ett ransomware-angrepp eller en allvarlig kompromiss är att system stängs av. Order kan inte tas emot, fakturor kan inte skickas, produktionen stannar. För en verksamhet med tunna marginaler är två dagars stillestånd ofta den största enskilda posten — större än själva återställningsarbetet.

Räkna på det innan det händer: vad kostar en dag utan era två viktigaste system? Beloppet brukar vara obehagligt konkret.

2. Utredning och återställning

Att förstå vad som hänt kräver tid av någon som kan det. Det innebär ofta extern hjälp: forensisk analys, återställning från backup, byte av komprometterade konton, rotation av nycklar och certifikat. Även när backupen fungerar tar återställningen i anspråk intern tid som annars hade gått till kunder.

Kontrollfråga: när testade ni senast att återställa från backup, och hur lång tid tog det?

3. Kundtapp och förtroende

Kunder som inte får svar under en vecka börjar leta alternativ. Företagskunder med egna compliance-krav kan behöva eskalera er som leverantörsrisk — vilket i praktiken innebär granskningar, avtalsändringar eller i värsta fall uppsagda avtal.

Förtroende är den post som är svårast att sätta siffra på och svårast att bygga tillbaka. Det är också därför säkerhetsarbete som går att visa upp har ett kommersiellt värde, inte bara ett riskvärde.

4. Regulatoriska krav

Beroende på verksamhet och incident kan rapporteringsskyldigheter aktiveras — till tillsynsmyndighet, till drabbade individer och i vissa fall till partners. Rapportering har deadlines (inom NIS2 exempelvis 24 timmar för tidig varning och 72 timmar för anmälan) och kräver att ni kan beskriva vad som hänt. Kan ni inte det blir utredningen både längre och dyrare.

Lägg till juridisk hjälp, kommunikationsarbete och eventuella sanktioner eller ersättningskrav.

5. Det som sällan räknas med

• Ledningens tid. Veckor av fokus som hade gått till affärsutveckling.
• Personalens tid. Samma personer som ska hålla verksamheten igång ska också hantera incidenten.
• Försäkringsvillkor. Försäkringar täcker sällan allt, och premier påverkas efter en anmälan.
• Uppskjutna projekt. Allt annat stannar.

Vad som faktiskt minskar kostnaden

Ingen åtgärd gör er osårbara. Men några få saker förändrar hur en incident utvecklas:

1. MFA på administrativa konton och e-post. Stänger den vanligaste vägen in.
2. Testad backup med känd återställningstid. Förvandlar ett ransomkrav till ett irritationsmoment.
3. Inventering av publika tillgångar. Gör att ni vet vad som är exponerat innan någon annan berättar det.
4. En incidentplan på en sida. Med namn, nummer och första tre åtgärder.
5. Loggning som räcker för att svara på ”vad hände?”. Utan den blir varje utredning dyrare.

Perspektivet som brukar avgöra

De flesta företag lägger mer pengar på att hantera konsekvenserna av en incident än på att förebygga den. Det är inte ett tekniskt problem — det är en prioritering. Kontinuerlig säkerhet handlar om att flytta en liten, jämn kostnad till rätt sida av strecket, i stället för att betala en stor och ojämn kostnad efteråt.

Börja med att räkna på en dags stillestånd. Siffran brukar göra resten av diskussionen ganska enkel.