Evidenslager: efterlevnadsbevis som infrastruktur

Dokumentbaserad efterlevnad svarar på frågan "har ni en rutin?". Ett evidenslager svarar på frågan "var kontrollen uppfylld natten till den 14 oktober?". Varje kontrollkörning producerar ett bevisobjekt med tidsstämpel, underlag och en kryptografisk hash av underlaget, lagrat så att raden inte kan ändras i efterhand. Vid revision visas serien av bevis, inte en ögonblicksbild.

För svenska verksamhetsutövare blir skillnaden konkret 1 oktober 2026, när föreskrifterna om säkerhetsrevisioner och säkerhetsskanningar enligt cybersäkerhetslagen träder i kraft. Revisioner förutsätter underlag, och underlag som skapas löpande är både billigare och mer trovärdigt än underlag som rekonstrueras i efterhand.

I CyberKlar finns evidenslagret i två delar: granskningsloggen (append-only på databasnivå, kan inte ändras ens av systemleverantören) och CyberKlar Controls bevisobjekt, där varje nattlig teknisk kontroll mot Entra ID lagras med SHA-256-hash över underlaget. Bevisobjekten kedjas dessutom per organisation, med kedjans huvud signerat varje natt med en asymmetrisk nyckel i Google Cloud KMS, så att även radering eller omordning av bevis blir upptäckbar. Sedan juli 2026 exporteras kedjan som ett signerat bevispaket som revisor eller myndighet verifierar helt utan CyberKlar, mot den publicerade verifieringsnyckeln på cyberklar.se. Bevisen mappas mot föreskrifterna och cybersäkerhetslagens minimiåtgärder, så att varje rad går att spåra till ett krav.

Bevisen används även vid incidenter: i incidentvyns bevisrum kopplas kontrollresultat, discovery-fynd och leverantörssignaler till incidenten och paketeras som färdigt underlag för rapporteringen, med hash-referenser ur beviskedjan där de finns. Kommer larmet in automatiskt (via webhook från ett SIEM-system eller via mejl) förseglas själva larmet med en SHA-256-hash över den mottagna payloaden och blir första posten i incidentens tidslinje, så att det går att visa exakt vad som togs emot och när. NIS2-underlaget följer cyberportalens struktur (upplysning, incidentanmälan, slutrapport) och Art. 73-underlaget riktar sig till marknadskontrollmyndigheten.