Kontrollgraf: kontroller, krav och bevis i en struktur

Utan kontrollgraf lever kraven i ett kalkylark, kontrollerna i IT-verktygen och bevisen i mejltrådar. Vid revision eller tillsyn görs kopplingen manuellt, varje gång. En kontrollgraf gör kopplingen till data: varje kontroll bär referenser till kraven den täcker, och varje körning producerar bevis som ärver samma referenser.

För cybersäkerhetslagen är kopplingen konkret: minimiåtgärderna i 4 kap. och föreskrifterna om säkerhetsåtgärder anger områdena, och varje teknisk kontroll bör deklarera vilket område och vilken åtgärd den bevisar. När föreskrifterna om säkerhetsrevisioner träder i kraft 1 oktober 2026 blir det här skillnaden mellan en revision som tar dagar och en som tar veckor.

CyberKlar Controls kontrollkatalog är byggd som en enkel kontrollgraf: var och en av de tio kontrollerna deklarerar föreskriftsområde och minimiåtgärd (motsvarande NIS2 art. 21.2), och varje bevisobjekt bär kontrollens nyckel. Fullständiga grafer med beroenden mellan kontroller och delade bevis över flera regelverk är kategorins nästa steg.