Art. 26-paket
Sektor
Hälso- och sjukvård
Klassning
Väsentlig entitet
Tillsyn
IVO
Läser in
Plattform
Tre kärnmoduler. En svensk
stomme för NIS2 plus AI-förordningen.
Sprint på 60 dagar gör er granskningsklara och pengarna tillbaka om inte, och Sprint-avgiften avräknas mot första årets paket vid tecknande inom 90 dagar. Sedan löpande efterlevnad via NIS2 + AI-paketet, som samlar NIS2-samordnaren, AI-kompetensregister och AI-systemregister i ett abonnemang. Behöver ni tekniska bevis ger Komplett dessutom regelverksmodulerna Motståndskraft (CER), Säkerhetsskydd och Produktregister (CRA) samt CyberKlar Control. AI-systemregister säljs även som separat tillägg.
Definition
Vad är CyberKlar?
CyberKlar är en svensk plattform för Cybersäkerhetslagen (SFS 2025:1506) och AI‑förordningen. Den bevakar 18 svenska sektorer med respektive tillsynsmyndighet, håller incidentrapportering mot NCSC:s cyberportal inom 24 timmar, 72 timmar och en månad, och gör verksamheter granskningsklara på 60 dagar mot tio kriterier, annars återbetalas avgiften. Sanktionerna når 10 miljoner euro eller 2 procent av omsättningen för väsentliga entiteter.
SFS 2025:1506EU 2024/1689 (AI Act)CERT-SE-flödenData i EU · IrlandDPA art. 28
Hur det ser ut i drift
En översikt, ett ställe.
NIS2-status, AI-förordningen-efterlevnad, prioriterade åtgärder och aktiva incidenter i samma vy. NIS2-samordnaren håller den uppdaterad nattligt; ni godkänner alla skarpa förändringar manuellt.
Vad ni får levererat
Konkret leverans, inte en mappstruktur.
Sprint slutar med två underlag som tillsynen känner igen: Art. 26-paket med sektor, klassning och rätt tillsynsmyndighet, samt incidentrapport-mall för NCSC:s cyberportal för tidskedjan T+0 till T+24 timmar. Allt sparas som PDF och i granskningsloggen.
Flaggskepp
NIS2-samordnaren
NIS2-samordnaren kombinerar nattlig automation och mänsklig prövning. Plattformen kör schemalagda kontroller varje natt klockan 02:00 (policy, risk, leverantör, incident, styrelseprotokoll, kontinuitetsplan) plus tätare specialkontroller dagtid: incident-deadlines var 30:e minut, externa leverantörsbevis 03:15, kvartalsvis styrelserapport. Förslag landar i en åtgärdskö på /agent-forslag. Inga ändringar i ert riskregister, era policyer eller mot tillsynsmyndighet utan att en namngiven användare godkänner.
Läs hela modulbeskrivningen- Cybersäkerhetspolicy enligt Art. 21.2(a) med versionshistorik och styrelse-signering
- Riskregister med score 1 till 25, kopplat till NIS2 minimiåtgärder
- Leverantörsregister med automatisk TLS-bevakning och CERT-SE-RSS-matchning
- Incidentprocess mot NCSC:s cyberportal, deadlines 24 timmar, 72 timmar, 1 månad
- Bevisrum per incident: koppla kontrollresultat, upptäckta AI-system och leverantörssignaler till incidenten och ladda ned ett underlagspaket byggt för cyberportalens struktur (upplysning 24 timmar, incidentanmälan 72 timmar, slutrapport en månad)
- Kontinuitetsplan (BCP) med RTO, RPO och årligt test
- Styrelserapport som genereras kvartalsvis och kan undertecknas digitalt
- Sektorjämförelse i styrelseunderlaget: egen NIS2-mognad mot sektorgenomsnitt och median. Aggregat beräknas först när minst 5 organisationer deltar (k-anonymitet), deltagandet kan stängas av i inställningarna, och saknas underlag visas det i stället för fabricerade siffror
- Granskningslogg som är append-only på databasnivå (PTS-spårbarhet)
- NIS2-samordnaren kör nattligt och föreslår nästa åtgärder, incidentutkast och styrelseunderlag
- Leverantörsanalys-agenten triagerar leverantörssignaler (TLS, avtal, regulator-mention) till åtgärdsförslag med utpekad ägare (CISO, DPO, inköp)
- Publik trust-sida per kund (cyberklar.se/trust/[orgnr]) med nedladdningsbara dokument, aktivitetsrapport och valbar transparens av kritiska underleverantörer enligt Art. 21(2)(d)
AI-förordningen Art. 4
AI-kompetensregister
Roll-mappning per användare och AI-system, sex grundkurser, quiz med frågebank, internt AI-kompetensutlåtande (AI Literacy Statement) som ledningen undertecknar. Sammanställer bevisunderlag för Art. 4 i AI-förordningen (skarp sedan 2 februari 2025) som tillsynsmyndighet kan begära ut. Sveriges marknadskontrollmyndighet är ännu inte slutligt beslutad. SOU 2025:101 föreslår PTS.
Läs hela modulbeskrivningen- Roll-och-system-matris kopplad till AI-systemregister
- Sex grundkurser: AI för icke-tekniska, prompt-hygien, datasekretess, AI-förordningen för beslutsfattare, AI för utvecklare, AI för styrelse
- Quiz med frågebank per nivå (basnivå, fördjupad, expert)
- Låst kopia av frågor och svar för PTS-spårbarhet
- AI-kompetensutlåtande som internt bevisunderlag som ledningen undertecknar och kan delas med tillsynsmyndighet vid begäran
- Påminnelser när giltighetstiden löper ut per användare
AI-systemregister
Inventarium plus skugg-AI-upptäckt plus FRIA
Hitta AI-system ni redan kör utan att veta om det. Uppkopplad upptäckt mot Microsoft Entra ID, Google Workspace, Okta och JumpCloud, plus CSV-import av bokföringsunderlag som ni laddar upp manuellt. Klassificering enligt Bilaga III, FRIA enligt Art. 27, Art. 26 deployer-checklista per högrisk-system.
Läs hela modulbeskrivningen- Uppkopplad skugg-AI-upptäckt mot Microsoft Entra ID, Google Workspace, Okta och JumpCloud: läsande OAuth eller API-nyckel plus nattlig synk
- CSV-import av bokföringsunderlag. Manuell uppladdning av en exportfil. Kolumnformaten från Fortnox, Visma eEkonomi, Bokio och Hogia känns igen automatiskt. Ingen uppkoppling mot bokföringssystemet sker
- 80+ leverantörer i fingeravtrycksregister: M365 Copilot, ChatGPT Enterprise, Claude for Work, GitHub Copilot, Cursor, Notion AI, Slack AI, Mistral, Salesforce Einstein och fler
- Klassificering enligt Bilaga III, fyra risknivåer (förbjuden/högrisk/begränsad/minimal)
- Art. 26 deployer-checklista som skapas automatiskt vid högriskklassning
- FRIA enligt Art. 27 för offentliga organ och bilaga-III-deployers
- Manuell bekräftelse av varje upptäckt, ingen automatisk åtgärd
- Klassificeringshistorik: varje beslut sparas med datum, beslutsfattare och regelversion, visas som tidslinje och följer med i PDF-underlaget
- AI-agentregister: dokumenterad agentprofil per AI-system med modell och modellversion, verktyg, MCP-servrar, datakällor, approvalgränser, ägare och kill switch-rutin med senast testad-datum; luckor flaggas varje natt i åtgärdskön
- Registret tar även emot tekniska utvärderingsresultat från externa verktyg (robusthet, bias, drift) och en passiv körningslogg per agent som bevis, och jämför dem mot den dokumenterade profilen. CyberKlar kör, stoppar eller blockerar aldrig agenten
- Leverantörsportal för Art. 13-underlag: engångslänk där AI-leverantören lämnar in dokumentationen utan konto, med status och giltighetsdatum per dokument
- Underlagspaket för Art. 73 till marknadskontrollmyndigheten, byggt från samma bevisrum som NIS2-incidenterna
- Rollanpassad onboarding-enkät för AI-förordningen: respondenten svarar utifrån sin funktion (ledning, IT och säkerhet, juridik eller verksamhet) och poängen normeras mot rollens frågeurval
Komplett · CyberKlar Control
Tekniska kontroller med kedjade bevis
Tolv nattliga tekniska kontroller mot Microsoft Entra ID, mappade mot föreskrifterna om säkerhetsåtgärder respektive säkerhetsrevisioner och säkerhetsskanningar (i kraft 1 oktober 2026) och minimiåtgärderna. Manipulation i efterhand blir upptäckbar, aldrig tyst. Ingår i paketet Komplett och i full plattformstillgång under pågående Sprint; säljs inte separat.
Läs hela modulbeskrivningen- MFA på privilegierade konton, MFA-registreringsgrad och villkorsstyrd åtkomst med MFA-krav
- Administratörshygien: antal globala administratörer, inaktiva administratörskonton, avstängda konton kvar i roller, gäster med privilegier
- Loggtäckning samt läsbar historik för gransknings- och inloggningsloggen
- Varje resultat lagras som tidsstämplat bevisobjekt med SHA-256-hash, kedjat mot föregående bevis per organisation; kedjans huvud signeras varje natt
- Fallerad kontroll blir automatiskt ett åtgärdsförslag i åtgärdskön, med spårbarhet till bevisobjektet
- Read-only: kontrollerna läser er Microsoft-katalog med behörighet som er administratör godkänner, inget ändras i er miljö
Pilot · Agentstyrning
Svit, grind och attest för AI-agenter
Utvärderingsgrind (release gate) för AI-agenter: kedjan svit, grind, attest och bevis. Ni definierar vilka utvärderingar en agent måste klara, er pipeline rapporterar resultaten och frågar före varje driftsättning, konfigurerade roller attesterar, och varje beslut förseglas som bevis. Vi svarar, er pipeline beslutar. Pilot som tillhandahålls efter överenskommelse per mejl och kräver AI-systemregister. Ingår inte i paketen, men i full plattformstillgång under pågående Sprint.
Läs hela modulbeskrivningen
- Versionerad utvärderingssvit per AI-agent: namngivna krav med numeriska trösklar för till exempel robusthet, hallucination och prompt injection; ändrad svit kräver ny godkänd körning
- Grinden är en svarstjänst före driftsättning: er pipeline rapporterar utvärderingsresultat via API och frågar om agenten får driftsättas; svaret är godkänd eller blockerad med maskinläsbara skäl och certifierings-id
- Ändrad modell- eller promptversion blockerar automatiskt tills en ny körning godkänts mot aktuell svitversion
- Rollattester före första produktionssättning och efter omcertifiering: konfigurerade roller, till exempel ägare och compliance-ansvarig, attesterar aktuell svitversion i plattformen
- Varje grindbeslut och attest förseglas med SHA-256-hash som append-only-bevis (kan aldrig skrivas över i efterhand) och följer automatiskt med i Art. 26-paketet och Art. 73-underlaget
- Referensexempel för GitHub Actions och GitLab CI i API-dokumentationen; er pipeline fattar beslutet enligt er konfiguration, CyberKlar kör, stoppar eller blockerar aldrig era agenter i drift
Inkluderat i alla planer
Plattforms-grund som följer med oavsett modul.
AI-assistent-åtkomst via MCP
Anslut Claude Desktop, ChatGPT eller egen agent till er CyberKlar-data. Tenant-scopad, Bearer-auth, audit-log per skriv-tool. Läs mer.
API-tillgång till alla register
REST-API under /api/v1/* för incidenter, risker, leverantörer, AI-system, policyer och compliance-status. Samma scope-modell som MCP-app, samma audit-log.
Granskningslogg som append-only på databasnivå
Varje skrivning loggas i audit_log med actor, request-id och tidsstämpel. Append-only enforce:as i Postgres, inte i app-koden. Exporteras som CSV eller PDF inför tillsyn.
Språkval per användare i inloggat läge
Svenska är standard. Varje användare kan byta till engelskt gränssnitt: i dag navigeringen och onboarding-enkäten för AI-förordningen, fler ytor byggs ut löpande. De publika sidorna är svenska.
Publik trust-sida per kund
Aktiveras i inställningar och blir tillgänglig på cyberklar.se/trust/[orgnr]. Visar NIS2-poäng, nedladdningsbara dokument, valbar subprocessor-transparens och en aktivitetsrapport bara ni ser. Se exempel.
Tre principer
Pris för utfall, inte per användare.
Riskfri Sprint: granskningsklar på 60 dagar
Engångsavgift 79 000 kr exklusive moms. Tio mätbara kriterier utvärderas nattligt under hela perioden. På dag 60: alla gröna ger audit-ready-bevis och ett löpande paket kan ta vid, med Sprint-avgiften avräknad mot första årsavgiften vid tecknande inom 90 dagar. Något kriterium fattas: 30 dagars förlängning utan extra avgift som standard, eller full återbetalning via Stripe om ni hellre avslutar.
Plattform, fristående eller efter Sprint
NIS2 + AI-paketet är ett löpande årsabonnemang på 60 000 kr per år som samlar NIS2-samordnaren, AI-kompetensregister och AI-systemregister, och kan köpas helt fristående utan Sprint. Komplett (132 000 kr per år) ger dessutom regelverksmodulerna och CyberKlar Control. AI-systemregister (30 000 kr per år) är det enda separata tillägget.
Inga konsultprojekt utöver Sprint
Plattformen levererar dokumentation, risk, leverantör och incident i samma yta. Många kunder kör en konsult parallellt för specifika riskbeslut, men det är inte ett krav.
Varför en plattform, inte en utredning
Underlag som tål svensk tillsyn. Utan konsultnota.
| Konsultutredning | Generisk GRC-plattform | CyberKlar | |
|---|---|---|---|
| Kostnad år 1 | 200 000 till 800 000 kr | Från ca 150 000 kr | 79 000 kr (Sprint 79 000 kr plus NIS2 + AI-paketet med Sprint-avgiften avräknad) |
| Resultat | Engångsrapport i PDF | Ramverk på engelska | Levande underlag, svensk lagtext |
| Efter leverans | Inaktuell inom månader | Egen administration | Nattlig uppföljning, två agenter |
| Garanti | Ingen | Ingen | Granskningsklar dag 60 eller pengarna tillbaka |
Priser
Vad det kostar.
Sprint (engång)
79 000 kr
60 dagar / pengarna tillbaka. Avräknas mot första årets paket inom 90 dagar
NIS2 + AI-paketet
60 000 kr/år
NIS2-samordnaren, AI-kompetensregister och AI-systemregister
Bästa värde
Komplett
132 000 kr/år
Samtliga moduler inklusive CyberKlar Control
AI-systemregister (tillägg)
30 000 kr/år
Register med skugg-AI-upptäckt, enda separata tillägget
Alla siffror exklusive moms; de löpande beloppen gäller mellanbandet och följer organisationens storlek. Enskilda moduler säljs inte separat utan ingår i paketen. Detaljer och storlekstrappa på /priser. Garantitexten på /cyberklar-sprint.
Vanliga frågor
De vi får oftast.
01Är detta en konsulttjänst eller en plattform?
Är detta en konsulttjänst eller en plattform?
Det är en plattform. Sprint inkluderar 60 dagars åtkomst till plattformen där ni i egen takt fyller i policyer, riskbedömning, leverantörsregister, AI-systemregister, kontinuitetsplan och incidentprocess. Paketen (NIS2 + AI-paketet och Komplett) och tillägget AI-systemregister är rena prenumerationer; konsultstöd ingår inte utom on-demand med separat avtal.
02Kan vi köra AI-systemregister utan NIS2-samordnaren?
Kan vi köra AI-systemregister utan NIS2-samordnaren?
Ja. AI-systemregister är det enda separata tillägget och kostar 30 000 kr per år. Övriga moduler säljs inte var för sig utan ingår i paketen: NIS2 + AI-paketet (60 000 kr per år) eller Komplett (132 000 kr per år). Alla siffror exklusive moms. Sprint är en riskfri uppstart (79 000 kr som engångsavgift) med audit-ready-garanti och krävs inte för att köpa de löpande paketen.
03Vad händer om Cybersäkerhetslagen ändras?
Vad händer om Cybersäkerhetslagen ändras?
Cybersäkerhetslagen (SFS 2025:1506) är i kraft sedan 15 januari 2026. Eventuella ändringar i sekundärlagstiftning, föreskrifter (som MCFFS 2026:8) eller myndighetsvägledning sprids till plattformens mallar utan extra kostnad. Det är en del av de löpande paketabonnemangen.
04Hur ofta uppdateras AI-systemkatalogen?
Hur ofta uppdateras AI-systemkatalogen?
Globala fingeravtrycksregistret (80+ leverantörer) uppdateras månadsvis baserat på nya AI-system som dyker upp på marknaden. Sektormallar (NIS2 minimiåtgärder per sektor) uppdateras vid lagändring, nya föreskrifter eller myndighetsvägledning.
05Stödjer plattformen flera organisationer eller koncernstruktur?
Stödjer plattformen flera organisationer eller koncernstruktur?
Ja, men med begränsningar. Varje juridisk person har egen tenant och RLS-isolering. Koncerngemensamma rapporter kräver NIS2 + AI-paketet plus tilläggsavtal med separat pris (kontakta oss). En enskild tenant kan inte se en annan tenants data, det är framtvingat i arkitekturen.
06Var lagras data?
Var lagras data?
Allt i EU (Irland, eu-west-1). Stripe-transaktioner går via Sverige och EU. Inga personuppgifter eller dokument lämnar EU. Underbiträden listas i DPA:n. Vid uppsägning exporteras allt som JSON plus PDF inom 30 dagar.
07Vad är skillnaden mot Vanta eller OneTrust?
Vad är skillnaden mot Vanta eller OneTrust?
Vanta och OneTrust är globala GRC-plattformar med bredare integrationsutbud; vi är byggda för svensk lagtext (Cybersäkerhetslagen, sektorvisa myndigheter, CERT-SE-flöden). CyberKlar erbjuder motsvarande arbetsflöden för namngivna AI-agenter och löpande leverantörsövervakning i mindre skala, med svensk juridisk koppling och resultatbaserad prismodell. Detaljerad jämförelse på /vs/vanta-ai-act och /alternativ/onetrust.
08Får vi en publik trust-sida vi kan dela med upphandlare?
Får vi en publik trust-sida vi kan dela med upphandlare?
Ja, ingår i NIS2 + AI-paketet och Komplett. Aktiveras i inställningar och blir tillgänglig på cyberklar.se/trust/[orgnr]. Visar NIS2-poäng per Art. 21(2)-bokstav, antal policyer, aktiva risker, nedladdningsbara dokument (audit-ready-status, cybersäkerhetspolicy, AI-kompetensutlåtande) och valbar transparens av era kritiska underleverantörer enligt Art. 21(2)(d). Allt är avstängt tills ni själva publicerar.
09Kan bevisen från de tekniska kontrollerna manipuleras i efterhand?
Kan bevisen från de tekniska kontrollerna manipuleras i efterhand?
Varje bevisobjekt hashas med SHA-256 och kedjas mot föregående bevis per organisation, och kedjans huvud signeras varje natt med en asymmetrisk nyckel i Google Cloud KMS som driftmiljön inte kan läsa ut. Ni exporterar ett signerat bevispaket som revisor eller myndighet verifierar helt utan CyberKlar, mot den publicerade verifieringsnyckeln på cyberklar.se. Garantin är att manipulation efter signering är upptäckbar av utomstående, inte att den är tekniskt omöjlig.
10Finns plattformen på engelska?
Finns plattformen på engelska?
Svenska är primärspråk. Varje användare kan välja engelskt gränssnitt i inloggat läge: i dag gäller det navigeringen och onboarding-enkäten för AI-förordningen, och fler ytor byggs ut löpande. De publika sidorna är svenska.
11Kan vi exportera data om vi byter plattform?
Kan vi exportera data om vi byter plattform?
Ja. Allt exporteras som strukturerad JSON plus PDF-protokoll med tidsstämpel. Granskningsloggen exporteras separat som CSV eller PDF med tidsstämpel och kryptografisk hash mot databasens låsta loggrad. Ingen inlåsning av er data.
Nästa steg
Testa gratis eller direkt till Sprint.
Diagnosen klassificerar er mot NIS2 och AI-förordningen på 90 sekunder utan inloggning, och demon visar plattformen med exempeldata. Sprint startar direkt i plattformen: granskningsklar på 60 dagar eller pengarna tillbaka.