Risk- och sårbarhetsanalys: därför är RSA viktigare än någonsin

Artikeln i korthet

• Säkerhetsläget har förändrats, och en risk- och sårbarhetsanalys är i dag en grundsten i både krisberedskap och civilt försvar.
• Kraven skärps: analysen ska omfatta höjd beredskap, inte bara fredstida kriser som stormar och elavbrott [3] [4].
• Den största vinsten är insikten om vilka beroenden verksamheten faktiskt vilar på, och hur länge den klarar sig utan dem.
• En väl genomförd RSA ger underlag för prioriteringar, investeringar och övning, och gör beredskapen konkret i stället för abstrakt.

Tänk er att elen försvinner en tisdag i januari och inte kommer tillbaka på fyra dygn. Vad slutar fungera först, vem märker det och vad gör ni då? Det är frågor som en risk- och sårbarhetsanalys (RSA) ska ge svar på, och de har sällan varit så aktuella som nu.

Ett nytt säkerhetsläge

Under lång tid handlade beredskapsarbete i Sverige främst om fredstida påfrestningar: stormar, översvämningar, pandemier och tekniska haverier. Det perspektivet räcker inte längre. Det civila försvaret byggs upp igen, och det märks i både myndighetsstrukturen och lagstiftningen.

Sedan den 1 januari 2026 heter Myndigheten för samhällsskydd och beredskap (MSB) Myndigheten för civilt försvar. Namnbytet ska spegla myndighetens roll som toppnod i det civila försvaret [1]. Regeringen har också lagt fram en proposition om en ny lag om kommuners och regioners grundläggande beredskap, med nya och skärpta krav. Lagen föreslås träda i kraft den 1 januari 2027, under förutsättning att riksdagen antar förslaget [2]. För statliga myndigheter gäller redan att analysen ska omfatta både fredstida kriser och höjd beredskap [3], och enligt Svenska kraftnäts föreskrifter om elberedskap ska analysen upprättas varje år [4].

Budskapet är tydligt. Den som driver samhällsviktig verksamhet, oavsett om det är ett energibolag, ett vattenverk, en region eller en industri som andra är beroende av, förväntas veta var de egna svagheterna finns.

Vad en RSA egentligen handlar om

En risk- och sårbarhetsanalys är i grunden ett sätt att förstå sin egen verksamhet bättre. Den besvarar tre enkla men svåra frågor: vilka funktioner är viktigast att upprätthålla, vad kan slå ut dem och vilken förmåga finns att stå emot och återhämta sig?

Tyngdpunkten ligger på verksamhetens funktion, inte på enskilda olyckor. Det gör RSA till ett strategiskt verktyg snarare än ett tekniskt. Analysen ska kunna läsas av en ledningsgrupp och leda till beslut.

Beroenden: där sårbarheten gömmer sig

Det mest värdefulla en RSA brukar ge är en karta över verksamhetens kritiska beroenden, alltså de leveranser och resurser där ett avbrott snabbt leder till att verksamheten inte längre fungerar fullt ut [5]. Elförsörjning, kommunikation, drivmedel, kemikalier, reservdelar, IT-system och personal med nyckelkompetens är typiska exempel.

Många organisationer blir överraskade när beroendena väl ritas upp. Ett reservkraftaggregat är bara värt något om det finns diesel för mer än några timmar. Ett vattenverk klarar sig bara så länge fällningskemikalierna räcker. En driftcentral fungerar bara om det finns människor som kan ta sig dit. Insikten om hur länge verksamheten klarar sig utan en viss resurs är ofta värd mer än någon sannolikhetsbedömning.

Vinsterna med en väl genomförd RSA

En RSA som görs med engagemang, och inte bara för att uppfylla ett krav, ger nytta på flera sätt:

• Den ger ledningen en samlad bild av verksamhetens sårbarheter och ett underlag för att prioritera åtgärder och investeringar.
• Den gör beredskapen konkret genom att visa vad som behöver finnas på plats: reservkraft, lager, avtal, rutiner och utbildad personal.
• Den skapar ett gemensamt språk mellan drift, ledning och säkerhet och en gemensam förståelse för vad som är viktigast.
• Den ger ett naturligt underlag för övningar och för kontinuitetsplanering.
• Den stärker förtroendet hos ägare, myndigheter och de människor som är beroende av verksamheten.

Svenska kraftnät uttrycker samma tanke i sina föreskrifter för elsektorn: analysen ska hålla en sådan kvalitet att den kan ligga till grund för att identifiera och prioritera åtgärder som minskar sårbarheten eller ökar förmågan att motstå och hantera störningar [4]. En bra RSA slutar alltså inte i ett dokument, utan i en handlingsplan.

Så blir analysen användbar

Det som skiljer en användbar RSA från en pappersprodukt är sällan metoden. Det är förankringen. De bästa analyserna görs tillsammans med de människor som kan verksamheten, utgår från ett fåtal välvalda och realistiska scenarier, och följs upp med tydliga åtgärdsägare och tidsplaner. De uppdateras när verksamheten eller omvärlden förändras.

Hur ProSa kan hjälpa

ProSa leder RSA-arbete för energibolag, VA-verksamheter, industri och offentlig sektor, från workshoppar och kartläggning av kritiska beroenden till färdig analys och prioriterad åtgärdsplan. Läs mer om vår tjänst Riskanalys eller kontakta oss för ett första samtal om hur er RSA kan bli ett verktyg för verklig beredskap.

Slutsats

I ett förändrat säkerhetsläge är risk- och sårbarhetsanalysen viktigare än någonsin, och kraven på att den ska omfatta höjd beredskap skärps. Rätt genomförd ger den inte bara ett uppfyllt krav, utan en tydlig bild av verksamhetens beroenden och en plan för att göra den mer motståndskraftig.

Referenser:
[1] Regeringskansliet (2025). MSB blir Myndigheten för civilt försvar. Pressmeddelande. Regeringen.
[2] Regeringen (2026). Proposition 2026/27:5, Kommuners och regioners grundläggande beredskap inför kris och krig. Regeringen.
[3] Förordning (2022:524) om statliga myndigheters beredskap. Riksdagen.
[4] Svenska kraftnät (2023). SvKFS 2023:1, Affärsverket svenska kraftnäts föreskrifter om elberedskap. Svenska kraftnät.
[5] Myndigheten för samhällsskydd och beredskap (2015). MSBFS 2015:5 om kommuners risk- och sårbarhetsanalyser (upphävd). MCF.