> Källa: https://complior.se/compliance/

Compliance / Från krav till arbetssätt 

# Krav på papper. 
Kontroll i vardagen. 

Gör säkerhetskraven konkreta i er miljö. Vi hjälper er med teknik, avtalad drift och dokumenterade kontroller som går att följa upp. 

[Prata om era krav →](https://complior.se/contact/) 
- 01 / FÖRSTÅ Era krav och risker 

Utgå från informationen, verksamheten och de regelverk som berör er. 

- 02 / UTFORMA Tydliga kontrollpunkter 

Bestäm tekniskt skydd, ansvar och vilka aktiviteter som ska utföras. 

- 03 / FÖLJ UPP Underlag som går att granska 

Dokumentera arbetet och följ upp brister, förändringar och åtgärder. 

Här bidrar Complior 

## Tre områden. 
Konkreta kontroller. 

Samla kraven kring det ni behöver styra. Tjänsternas innehåll och ansvar fastställs för er miljö. 

- 01 

### Infrastruktur & drift 

Svensk plattform, härdning, uppdateringar, backup och uppföljning inom avtalad leverans. 
[Se Compliant Cloud →](https://complior.se/compliant-cloud/) 

- 02 

### Dataskydd & nycklar 

KMS och HSM för nyckelhantering och kryptografiskt skydd. Kontrollmodellen beror på integrationen. 
[Se KMS & HSM →](https://complior.se/key-management/) 

- 03 

### Identitet & åtkomst 

Identifiering, autentisering och behörigheter genom tjänsterna hos IDombud. 
[Förstå identitet & åtkomst →](https://complior.se/idp/) 

Compliors driftåtaganden gäller den egna infrastrukturen. För moln, SaaS och andra miljöer behöver integrationer och ansvar bedömas separat. 

Orientera er bland kraven 

## Olika krav. 
Ett strukturerat arbete. 

Reglerna har olika syften och omfattning. Börja med att fastställa vad som gäller för er och vilken dokumentation ni behöver. 

### GDPR 
Personuppgifter 

#### Vad handlar det om? 

Principer och ansvar för behandling av personuppgifter. Säkerhet är en del av arbetet, tillsammans med exempelvis rättslig grund, ändamål och registrerades rättigheter. 
[Vägledning hos IMY ↗](https://www.imy.se/verksamhet/dataskydd/det-har-galler-enligt-gdpr/grundlaggande-principer/) 

#### Ta med till leverantörsdialogen 

Vilka uppgifter behandlas, var sker behandlingen och vem får åtkomst? Gå igenom biträdesavtal, tekniskt skydd och eventuella tredjelandsöverföringar. 
[Dataskydd & nyckelkontroll →](https://complior.se/key-management/) 

### NIS2 
Cybersäkerhet 

#### Vad handlar det om? 

EU:s cybersäkerhetsdirektiv har införts i Sverige genom cybersäkerhetslagen. För verksamheter som omfattas ingår riskhantering, säkerhetsåtgärder och incidentrapportering. 
[Svensk vägledning hos NCSC ↗](https://www.ncsc.se/sv/radgivning-och-stod/cybersakerhetslagen-nis2/) 

#### Ta med till leverantörsdialogen 

Hur hanteras sårbarheter, kontinuitet och leverantörsberoenden? Bestäm kontaktvägar och underlag för er egen incidenthantering och uppföljning. 
[Säkerhetsarbete i Compliant Cloud →](https://complior.se/compliant-cloud/#cc-assurance) 

### DORA 
Finansiell sektor 

#### Vad handlar det om? 

EU-förordningen om digital operativ motståndskraft för finansiella företag. Den omfattar bland annat IKT-risker, incidentrapportering, tester och risker hos tredjepartsleverantörer. 
[Om DORA hos Finansinspektionen ↗](https://www.fi.se/sv/betalningar/it-risker-dora/om-dora/) 

#### Ta med till leverantörsdialogen 

Vilka beroenden finns till leverantören? Förankra avtal, kontinuitetsmål, testning, uppföljning och hur en framtida förändring av leveransen ska hanteras. 
[Driftåtaganden och ansvar →](https://complior.se/compliant-cloud/#cc-operations) 

### PCI DSS 
Kortinformation 

#### Vad handlar det om? 

En säkerhetsstandard för skydd av kortinformation. Vilka system och processer som ingår i granskningsomfattningen behöver vara tydligt definierat. 
[Standarden hos PCI SSC ↗](https://www.pcisecuritystandards.org/standards/pci-dss/) 

#### Ta med till leverantörsdialogen 

Begär aktuell Attestation of Compliance (AOC), en bekräftelse av efterlevnad inom angiven granskningsomfattning. Klargör vilka krav leverantören hanterar och vilka aktiviteter som ligger kvar hos er. 
[Svensk grund och granskningsunderlag →](https://complior.se/trust/) 

Detta är en orientering. Er regelefterlevnad behöver bedömas utifrån hela verksamheten. Varken en viss dataplacering, kryptering eller leverantörens certifikat innebär i sig att alla era krav är uppfyllda. 

Ett avtalat driftåtagande 

## Vad innebär tjänsten Compliance? 

I Compliant Cloud är Compliance också namnet på ett driftåtagande. Det omfattar fördjupat säkerhetsarbete och dokumenterad uppföljning på Compliors egen infrastruktur. 
[Jämför On Call, Premium och Compliance →](https://complior.se/compliant-cloud/#cc-operations) 

Exempel på avtalade aktiviteter 
- Härdning, kritiska systemuppdateringar och granskning av säkerhetsloggar. 

- Interna och externa sårbarhetskontroller. 

- Kvartalsunderlag för uppföljning och revision. 

Underlagen kan omfatta kritiska uppdateringar, sårbarhetsavvikelser, nätverksdiagram och granskning av brandväggsregler, enligt avtal. 

Verksamhetens samlade regelefterlevnad ligger kvar hos er. 

Börja med rätt frågor 

## Vad behöver ni 
kunna visa? 

Ta med era viktigaste krav och det ni behöver kunna visa. Tillsammans går vi igenom er miljö, möjliga kontroller och vem som ansvarar för vad. 

[Prata om era krav →](https://complior.se/contact/) [Se vår svenska grund →](https://complior.se/trust/) 
- Vilken information och vilka system gäller det? 

- Vilka krav och risker har ni identifierat? 

- Vilka kontroller gör ni själva, och var behövs stöd? 

- Vilka underlag behöver ledning, kunder eller revisorer?