Läser in
Audit-ready-garantin · juridiskt bindande
Tio kriterier, 60 dagar. Förlängning utan extra avgift eller hela avgiften tillbaka.
79 000 kr exklusive moms. Stripe-faktura. Alla 10 audit-ready-kriterier gröna på dag 60 ger audit-ready-bevis. Något fattas: 30 dagars förlängning utan extra avgift som standard. Vill ni hellre avsluta återbetalas hela avgiften automatiskt via Stripe.
Granskningsklar betyder att alla tio kriterier är dokumenterade, att varje underlag går att spåra i granskningsloggen och att allt kan lämnas ut om tillsynsmyndigheten begär det. Det är ingen certifiering, inget myndighetsgodkännande och inget skydd mot sanktioner.
- Avgift
- 79 000 kr
- Period
- 60 dagar
- Standard
- 30 d förlängning
- Reserv
- Återbetalning via Stripe
60dagar till granskningsklar
10kriterier måste vara gröna
30 dförlängning eller återbetalning vid miss
90 dyttersta gräns, sedan automatisk återbetalning
Hur det fungerar
Fyra punkter, en utfallspunkt.
Sprint-klockan börjar tickar i samma sekund som första fakturan går iväg. Hela perioden är observerbar i plattformen: ni ser vilka kriterier som är gröna, gula eller röda, och vad som krävs för att vrida om dem. Inga ändringar görs skarpt utan ert godkännande.
Dag 0
Signering och faktura
Sprint-avtalet signeras digitalt. Stripe-faktura går iväg på 79 000 kr exkl moms. Klockan startar samma dag, plattformen öppnas, kontaktperson utses.
Dag 30
Halvtidskoll
Nattliga utvärderingen har körts varje natt. Ni ser realtidsbilden i plattformen: vilka kriterier är gröna, gula, röda. Inget skarpt utan ert godkännande.
Dag 60
Låst resultat och utfall
Resultatet låses i assessment_runs och kan inte ändras i efterhand. 10 av 10 ger audit-ready-bevis och NIS2-samordnaren kan starta. Mindre än 10 ger automatisk förlängning, eller återbetalning om ni själva väljer det.
Dag 60+30
Förlängning eller återbetalning
30 dagars förlängning utan extra avgift kör samma kodväg mot kvarvarande kriterier. Ni kan när som helst klicka Avsluta och få återbetalning i plattformen.
- Dag 0
Signering och faktura
Sprint-avtalet signeras digitalt. Stripe-faktura går iväg på 79 000 kr exkl moms. Klockan startar samma dag, plattformen öppnas, kontaktperson utses.
- Dag 30
Halvtidskoll
Nattliga utvärderingen har körts varje natt. Ni ser realtidsbilden i plattformen: vilka kriterier är gröna, gula, röda. Inget skarpt utan ert godkännande.
- Dag 60
Låst resultat och utfall
Resultatet låses i assessment_runs och kan inte ändras i efterhand. 10 av 10 ger audit-ready-bevis och NIS2-samordnaren kan starta. Mindre än 10 ger automatisk förlängning, eller återbetalning om ni själva väljer det.
- Dag 60+30
Förlängning eller återbetalning
30 dagars förlängning utan extra avgift kör samma kodväg mot kvarvarande kriterier. Ni kan när som helst klicka Avsluta och få återbetalning i plattformen.
Tre vägar att starta
Inget säljsamtal. Välj själv hur ni kommer igång.
Stripe-faktura · 60-dagars-klocka · Audit-ready-garanti
Väg 1 · Anmäl intresse
Säkra plats i nästa Sprint-våg
Vi tar in Sprint-kunder stegvis. Lämna e-post så hör vi av oss när nästa start öppnar. Audit-ready-garantin gäller från dag ett när Sprinten startar.
Förtursanmälan
Väg 2 · Exempelrapport
Se exempelrapporten
En verklig granskningsklar rapport i fullstor format. Se exakt vad Sprint levererar innan ni bestämmer er.
/exempelrapport/nordhamn-energi
Väg 3 · Mejl
Mejla först
Skriv kort om sektor, NIS2-status och tidsfönster. Vi svarar inom 24 h på vardagar, inget säljsamtal.
support@cyberklar.se
Stripe-faktura79 000 kr exkl moms60-dagars-klockaFörlängning utan extra avgift
De 10 kriterierna i klartext
Mätbart, juridiskt förankrat, spårbart i efterhand.
Varje kriterium är formulerat som en SQL-fråga mot plattformsdatabasen. Själva utfallsbedömningen är deterministisk: samma data ger samma svar, utan skönsmässig granskning i efterhand. Antingen är raden grön eller så är den inte det. Definitionerna ligger i src/lib/billing/audit-criteria.ts och förändras inte under pågående Sprint.
- 01Cybersäkerhetslagen (SFS 2025:1506) 3 kap. 2 §, Art. 21.2(a) NIS2
Styrelsen har antagit cybersäkerhetspolicyn
Cybersäkerhetspolicy formellt antagen av styrelsen med dokumenterat beslutsdatum.
Vad som mätsEn policy med policy_type = "cybersecurity" har status = "adopted" och board_resolution_date är satt.
Hur evidens sparasPolicy-PDF, board_resolution_date och digital signatur sparas i policies-tabellen och hashas in i audit-loggen.
- 02Art. 21.2(a) NIS2, ISO 27005
Riskbedömning klar för kritiska system
Alla risker med likelihood × impact ≥ 12 har dokumenterad mitigation.
Vad som mätsInga risks-rader med risk_score ≥ 12 saknar mitigation_plan.
Hur evidens sparasRiskposter med score, mitigation_plan och ägare lagras i risks-tabellen. Score över 12 är spärrade tills mitigation finns.
- 03Art. 21.2(d) NIS2 — supply chain security
Leverantörsregister komplett
Minst 95 procent av aktiva leverantörer är klassificerade (inte status "unqualified").
Vad som mätsAndel aktiva suppliers med assessment_status ≠ "unqualified" är ≥ 95 procent.
Hur evidens sparasLeverantörsregister med assessment_status per leverantör; export som CSV och PDF för tillsyn.
- 04Art. 23 NIS2, Cybersäkerhetslagen om incidenthantering
Incidentprocess testad mot tidsfrister
Minst ett dokumenterat test av incidentprocessen mot rapporteringstidsfristerna (24/72 timmar och en månad) finns inom senaste 12 månaderna.
Vad som mätsincident_reports har minst en rad med is_test = TRUE inom senaste 12 månaderna.
Hur evidens sparasDokumenterat test av incidentprocessen mot rapporteringstidsfristerna (24/72 timmar och en månad) sparas i incident_reports med is_test = TRUE. Extern referens från NCSC:s cyberportal krävs inte, men kan registreras om utskicket även verifieras externt.
- 05Art. 20 NIS2 — styrelsens ansvar
Styrelseprotokoll undertecknat
Senaste styrelserapporten är undertecknad inom innevarande kvartal.
Vad som mätsboard_reports har minst en rad med signed_at inom de senaste 90 dagarna.
Hur evidens sparasStyrelseprotokoll med signed_at-tidsstämpel inom senaste 90 dagarna. Versionerat i board_reports-tabellen.
- 06AI Act Art. 4
AI-kompetensutlåtande genererat
AI-kompetensutlåtande (artikel 4) har genererats inom 90 dagar.
Vad som mätsaudit_log har minst en rad med action = "ai_literacy.statement_exported" inom 90 dagar.
Hur evidens sparasAudit-loggen får posten ai_literacy.statement_exported med PDF-hash. Utlåtandet undertecknas av styrelsen.
- 07AI Act Art. 26
AI-systemregister med baseline-klassificering
Minst ett AI-system inventerat och ≥ 80 procent av systemen är klassificerade.
Vad som mätsai_systems-tabellen har ≥ 1 rad och andelen rader med status ≠ "pending_classification" är ≥ 80 procent.
Hur evidens sparasAI-systemregistret i ai_systems-tabellen. Klassificeringshistorik sparas; omklassificering bevarar tidigare beslut.
- 08Art. 21.2(d) NIS2
Leverantörsbedömning genomförd
Minst 80 procent av aktiva leverantörer har vendor_assessment.status = "complete".
Vad som mätsAndel suppliers med vendor_assessments.status = "complete" är ≥ 80 procent.
Hur evidens sparasvendor_assessments-tabellen med status complete per leverantör. Bedömningsmall och svar sparas som JSON.
- 09Art. 21.2(c) NIS2
Kontinuitetsplan uppladdad
Affärskontinuitetsplan (BCP) är godkänd och har innehåll.
Vad som mätsbcp_plans-tabellen har minst en rad med status = "approved" och content är inte tom.
Hur evidens sparasBCP i bcp_plans-tabellen med status approved. Innehåll, krisroller, RTO och RPO lagras strukturerat.
- 10Cybersäkerhetslagen om säkerhetsåtgärder (NIS2 Art. 21.2) — incidenthantering, åtkomstkontroll, tillgångsförvaltning. Loggretention sätts riskbaserat.
Audit-logg utan kritiska luckor
Inga olösta kritiska incidenter äldre än 30 dagar; inga audit-luckor större än 24 timmar.
Vad som mätsIngen rad i incidents med severity = "critical" och status ≠ "resolved" är äldre än 30 dagar. audit_log har ingen lucka > 24h.
Hur evidens sparasaudit_log är append-only på databasnivå (trigger blockerar UPDATE och DELETE). Lucka över 24 timmar markeras som kritisk.
Lägg märke till kriterium 4: ett dokumenterat internt test av incidentprocessen mot tidsfristerna 24/72 timmar och en månad räcker, klockade mot detektion. Extern referens är inte ett villkor men kan registreras i cert_se_diary_id (historiskt fältnamn) om ni även rapporterar externt. Incidentrapporter lämnas sedan 1 juli 2026 till NCSC (Nationellt cybersäkerhetscenter, en del av FRA) via cyberportalen; CERT-SE ger operativt stöd vid pågående incidenter. Sektorvis tillsyn ligger på respektive sektorsmyndighet. Plattformen använder aldrig msb_diary_id.
Granskning på dag 60
Låst resultat, signering, utfall.
Den nattliga agenten utvärderar kriterierna under hela Sprint så att ni har en realtidsbild i plattformen. Det avgörande utfallet sker på dag 60. Då skrivs resultatet som en låst rad till tabellen assessment_runs. Raden kan inte ändras, bara läsas och refereras.
Resultatraden tidsstämplas och förses med en kryptografisk hash av alla kriteriers status. Den ligger i en logg där rader bara kan läggas till, aldrig ändras eller raderas. Vid 10 av 10 får ni audit-ready-bevis som tidsstämplad PDF med spårbart underlag mot granskningsloggen. Vid mindre än 10 aktiveras automatiskt 30 dagars förlängning utan extra avgift, och ni får en lista över kvarvarande kriterier, eller, om ni hellre avslutar, en återbetalningsbekräftelse via knappen Avsluta och få återbetalning i plattformen.
Vad som händer på dag 60 vid den nattliga körningen
- Nattliga utvärderingen kör en sista gång över alla 10 kriterier.
- Resultatet skrivs som ny rad i assessment_runs (append-only).
- Raden hashas och signeras med tidsstämpel.
- Audit-loggen får posten audit_ready.evaluation_completed.
- Beslutspunkten beräknas: passedCount === 10 eller inte.
- Vid 10 av 10: status sätts till passed och bevis-PDF genereras.
- Vid mindre än 10: status sätts till extended, 30-dagars-förlängning aktiveras automatiskt utan extra avgift.
- Återbetalning utlöses endast om kunden klickar Avsluta och få återbetalning i plattformen, då körs refund.ts.
Status-utfall
passedextendedrefundedmanual_review
Förlängnings- och återbetalningsmekanik
Hur förlängning och återbetalning fungerar tekniskt.
Standardutfallet på dag 60 är 30 dagars förlängning utan extra avgift, körd av samma agent som utvärderar kriterierna nattligt. Återbetalning väljer ni själva, knappen finns under Inställningar i plattformen, ingen mejlväxling, ingen säljreaktion. Logik ligger i src/lib/billing/refund.ts.
Standardutfall
30 dagars förlängning, klockan börjar om mot kvarvarande kriterier
Om passedCount är mindre än 10 på dag 60 sätts assessment till status extended. En ny evaluation-cykel triggas i 30 dagar utan extra avgift; nattliga utvärderingar fortsätter på samma kodväg, plattformsåtkomsten är oförändrad. Loggas som audit_ready.extension_started med kvarvarande kriterier som metadata.
Återbetalning på kundens initiativ
Kunden avslutar själv i plattformen
Vill ni hellre avsluta finns knappen Avsluta och få återbetalning i /installningar?section=abonnemang. Knappen anropar triggerSprintRefund() med anledning customer_opt_out. Standardflödet ovan (förlängning) avbryts. Ingen mejlväxling, ingen säljreaktion.
Stripe-anrop
stripe.refunds.create med idempotency-nyckel
Idempotency-nyckeln är sprint_refund:{org_id}:{assessment_id} vilket gör att omförsök inte resulterar i dubbla återbetalningar. Återbetalningen kopplas till payment_intent eller charge på fakturan via stripe.invoicePayments.list.
Belopp och tidslinje
Hela summan plus moms, 5 till 10 bankdagar
Beloppet på Sprint-fakturan i sin helhet återbetalas till samma betalningsmetod. Stripe-tidsfönstret är 5 till 10 bankdagar beroende på utfärdande bank. Ni får bekräftelsemejl direkt med Stripe-referens och en lista över vilka kriterier som inte var gröna.
Audit-logg
audit_ready.extension_started eller audit_ready.refund_triggered
Båda mekanismer skriver en post i audit_log med organisations-id, assessment-id, anledning och tidsstämpel. Återbetalningsposten innehåller dessutom refund_id och belopp i öre. Tabellen är append-only på databasnivå (migration 021_audit_log_append_only): trigger blockerar både UPDATE och DELETE.
Säkerhetsmekanismer
Cirkulärbrytare och 100 000-tröskeln.
Två mekanismer skyddar både kund och leverantör från att automatiken springer ifrån verkligheten. Båda är dokumenterade i koden och loggas i audit_log.
Cirkulärbrytare per organisation
PauslägeKolumnen organizations.refund_circuit_breaker_paused kan sättas till TRUE av admin via /agent-forslag. När den är aktiv blockeras automatisk återbetalning och bedömningen går till status manual_review. Allt loggas som audit_ready.refund_blocked_breaker.
Tröskel mot felutbetalning
Påverkar inte SprintÅterbetalningar över 100 000 kr går till manuell granskning innan utbetalning. Det är en intern säkerhetsmekanism mot felaktigt utlöst återbetalning vid datafel, inte ett kundvillkor. Sprint-avgiften 79 000 kr ligger under tröskeln, så en vanlig Sprint återbetalas automatiskt utan manuellt steg. Tröskeln kan endast aktualiseras om flera Sprintar körs samtidigt eller om särskilda paket köps. Loggas som audit_ready.refund_requires_approval. Full juridisk text: avsnitt 9 i villkorsbilagan.
Audit-logg för bägge mekanismer
Append-onlyVarje pausning eller manuell granskning skrivs som rad i audit_log med organisations-id, användar-id, anledning och tidsstämpel. Inga rader kan tas bort eller ändras i efterhand. Sektorsvis tillsynsmyndighet, PTS eller NCSC (vid incidentärenden) kan begära ut loggen som signerad CSV-fil.
Force majeure
Tre situationer som hanteras manuellt.
Plattformen pausar eller förlänger ingenting automatiskt vid force majeure. Ni anmäler situationen via support, vi bedömer ärendet med dokumenterad anledning och hanteringen bekräftas skriftligt. Avsnitt 10 i villkorsbilagan styr.
Situation 1
Nedtid i NCSC:s cyberportal
Om NCSC:s cyberportal inte tar emot incidentrapporter under en period blockeras den externa verifieringen av kriterium 4. Anmäls via support och bedöms manuellt tills NCSC bekräftar att kanalen är öppen igen.
Situation 2
Kundens egna dataavbrott
Längre IT-incident hos kunden som blockerar import av leverantörsdata, AI-systemkartläggning eller signering av styrelseprotokoll. Kräver incidentrapport från kunden som underlag för den manuella bedömningen.
Situation 3
Regulatoriskt klargörande
Tillsynsmyndighet (marknadskontrollmyndighet, IMY eller sektorsmyndighet) ger ut bindande klargörande som direkt påverkar något av kriterierna. Hanteras manuellt tills tolkningen är inarbetad i plattformen.
Kundens skyldigheter
Vad som krävs för att garantin ska gälla.
Garantin är ömsesidig. CyberKlar levererar plattform, och nattlig utvärdering. Kunden står för beslutsmandat och tillgång till underlag. Uteblivet eller försenat kund-input som hindrar att kriterierna stängs i tid hanteras inom den automatiska 30-dagarsförlängningen utan extra avgift.
- Tillhandahålla minst en utsedd kontaktperson med beslutsmandat på exekutiv nivå.
- Genomföra obligatoriska steg i plattformen: policy-antagande, riskbedömning, leverantörsregister, AI-systemregister, kontinuitetsplan och incidentprocesstest.
- Svara på underlag till risk- och leverantörsbedömningar inom 5 arbetsdagar så att 60-dagarsfönstret kan hållas.
- Inga avsiktliga blockeringar. Dröjer ert underlag hanteras kvarvarande kriterier inom den automatiska 30-dagarsförlängningen.
- Säkerställa att en styrelseledamot kan signera digitalt inom 10 arbetsdagar från utkast.
SLA under Sprint
Responstider och support.
Kritisk respons
24 timmar
Inom svensk arbetstid (08:00 till 17:00 vardagar).
Normal respons
72 timmar
Allt övrigt: frågor, dokumentutkast, kompletteringar.
Efter Sprint
Ingår i NIS2-samordnaren
Ingen separat support-avgift. SLA fortsätter i abonnemanget på NIS2-samordnaren.
Tre direkta listor
Det vi får frågor om innan signing.
Lista 1 av 3
Tre saker som aldrig bryter garantin från vår sida
- 01Modellen som kör nattliga utvärderingen blir långsammare eller billigare.
- 02Vi släpper en ny funktion mitt i er Sprint. Kriterierna fryses vid Sprint-start och ändras inte.
- 03En LLM-leverantör lägger till ett verktyg eller ändrar pris. Vår leverans är immun mot leverantörsbyten.
Lista 2 av 3
Anledningar till att garantin har utlöst återbetalning i pilot
Ingen återbetalning har utlösts under piloten ännu. Mekaniken är dock testad i testmiljö med syntetiska kunder och fungerar som beskrivet. Vi publicerar varje verkligt utfall här när det inträffar, anonymiserat per anledning.
Inga utfall hittills
Lista 3 av 3
Sex frågor en CFO bör ställa innan signering
- 01Hur snabbt behöver vi leverera underlag för att hålla 60-dagarsfönstret?
- 02Vilka säkerhetsmekanismer kan skjuta upp utbetalning?
- 03Vem äger bevis-PDF:en efter Sprint?
- 04Vilket Stripe-konto används för fakturan?
- 05Vad sker med data i plattformen efter återbetalning?
- 06Vad händer om vi inte hinner stänga kvarvarande kriterier på 30-dagars-förlängningen?
Vill ni ha svaren skriftligt innan signing räcker det med ett mejl till support@cyberklar.se. Vi svarar på alla sex frågorna inom 24 timmar och bifogar svaret i Sprint-avtalet som bilaga.
Nästa steg
Intresseanmälan eller demo. Inga säljsamtal däremellan.
Sprint startar när avtalet är signerat digitalt; intresseanmälan är första steget dit. Demon är en 3-minuters gap-bedömning ni kör själva i webbläsaren, utan inloggning och utan möte. Inget av valen kostar mer än Sprint-avgiften 79 000 kr exklusive moms; demon är kostnadsfri. Hela prislistan ligger öppet, och villkoren refererar denna garantitext direkt.
Pilotvåg pågår
Vi tar in nya bolag stegvis. Just nu öppnar vi inte direktköp publikt utan tar emot intresseanmälningar och hör av oss när nästa våg öppnar.Vanliga frågor
Sex frågor vi får oftast om garantin.
Vad är skillnaden mellan förlängning och återbetalning?
Standardutfallet om något kriterium inte är grönt på dag 60 är 30 dagars förlängning utan extra avgift. Klockan börjar om mot kvarvarande kriterier; de nattliga utvärderingarna fortsätter på samma kodväg, och de flesta saknade kriterier går att stänga inom 1 till 4 veckor. Återbetalning väljer ni själva: ni klickar Avsluta och få återbetalning i /installningar?section=abonnemang och hela Sprint-avgiften 79 000 kr återbetalas automatiskt via Stripe inom 5 till 10 bankdagar. Förlängningen är standardvalet eftersom den faktiskt levererar granskningsklart resultat, inte bara pengar tillbaka, men ni har alltid rätten att välja återbetalning i stället.
Vad händer om vi inte levererar avtalat underlag i tid?
60-dagarsfönstret förutsätter att ni levererar avtalat underlag i tid: svar på underlag till risk- och leverantörsbedömningar inom 5 arbetsdagar, genomförda obligatoriska steg i plattformen (policy-antagande, riskbedömning, leverantörsregister, AI-systemregister, kontinuitetsplan och incidentprocesstest) och en utsedd kontaktperson med beslutsmandat. Förseningar pausar inte klockan och flyttar inte utfallsbedömningen på dag 60. Kriterier som inte hunnit stängas på grund av sent underlag hanteras i stället inom den automatiska 30-dagarsförlängningen utan extra avgift, och er rätt att välja full återbetalning påverkas inte.
Hur ofta utlöses förlängning eller återbetalning under piloten?
Ingen återbetalning har utlösts under piloten ännu. Sprint är en ny resultatbaserad produkt och pilotfönstret är aktivt. Vi publicerar utfallet löpande på sidan när data finns. Att ingen återbetalning utlösts hittills är inte ett löfte om att ingen kommer att ske; mekaniken är konstruerad för att utfalla mot kund vid utebliven leverans, och 30-dagarsförlängningen är standardvalet för att maximera leverans, inte för att fördröja återbetalningen.
Får vi behålla plattformen efter återbetalning?
Nej. Sprint-avgiften 79 000 kr återbetalas i sin helhet. Prenumerationen på NIS2-samordnaren startar inte automatiskt vid återbetalning. Plattformsåtkomst stängs ned 14 dagar efter att återbetalningsbekräftelsen är skickad, och all kunddata exporteras som strukturerad JSON plus PDF-protokoll innan dess. Ni kan när som helst köra en ny Sprint senare om förutsättningarna ändras. Vid förlängning behåller ni full plattformsåtkomst utan avbrott.
Vilket Stripe-konto används?
CyberKlar (tjänst från Mindverk AB, org.nr 559582-5570) använder sitt svenska Stripe-konto. Återbetalningen går tillbaka till samma betalningsmetod som Sprint-fakturan betalades med, oftast bankkort eller företagskonto via Stripe Invoice. Stripes återbetalnings-id loggas i audit_log med posten audit_ready.refund_triggered, och ni får bekräftelsemejl med Stripe-referens samt vilka av de 10 kriterierna som inte var gröna på dag 60.
Är garantin juridiskt bindande i Sverige?
Ja. Garantin ingår i Sprint-avtalet som signeras innan första fakturan, och återbetalningsvillkoren refereras direkt i avtalstexten. Svensk konsument- och avtalslag tillämpas; tvist avgörs av allmän domstol med Stockholms tingsrätt som första instans. CyberKlar är en tjänst från Mindverk AB (org.nr 559582-5570), registrerat i Sverige och momsregistrerat. Hela avtalstexten finns i bilagan vid signering.
Kan vi köra Sprint igen efter återbetalning?
Ja. En ny Sprint kräver nytt avtal och ny faktura, men det finns ingen karenstid. Det vi rekommenderar är en kort avstämning per mejl innan ni signerar igen, så att de hinder som utlöste förra återbetalningen är åtgärdade. Vanligast är intern kapacitet, brist på beslutsmandat eller en ofärdig leverantörsstruktur som inte gick att rekonstruera på 60 dagar.
De juridiskt bindande villkoren, de tio kriterierna i klartext, mätmetod, återbetalningsfönster, kundens dataleveransansvar och eskaleringskanal, finns i bilagan Audit-ready-garantin: villkor i klartext. Den utgör en juridiskt bindande del av Sprint-avtalet och refereras i avsnitt 2.1 av användarvillkoren.
Mer kontext finns på startsidan, prislistan, NIS2-översikten, AI-förordningen (AI Act), DPA:n och säkerhetssidan.