Vad kräver egentligen Cyber Essentials?
Cyber Essentials är ett brittiskt regeringsstödt system som administreras av IASME på uppdrag av National Cyber Security Centre (NCSC). Det definierar fem tekniska kontrollområden som, när de implementeras korrekt, är utformade för att stoppa cirka 80 % av de vanligaste internetbaserade cyberattackerna. Cyber Essentials-hubben förklarar systemet på en övergripande nivå; den här sidan går in på vad systemet faktiskt kräver av din miljö.
Kraven är avsiktligt praktiska. Istället för att be dig skriva policyer testar systemet om dina brandväggar, enheter, konton, försvar mot skadlig kod och programuppdateringar är konfigurerade enligt en försvarbar baslinje. Varje certifieringscykel fyller dina ISMS.online- kunder och andra sökande i ett självbedömningsformulär (SAQ) som bekräftar att kontrollerna finns på plats i hela omfattningen. För Cyber Essentials Plus verifierar en oberoende bedömare samma kontroller genom praktisk teknisk testning – se vår kravguide för Cyber Essentials Plus för testdetaljer. För den praktiska, rad-för-rad-beredskapsguiden till dessa krav, se vår checklista för Cyber Essentials.
De fem kontrollområdena är brandväggar och routrar, säker konfiguration, användaråtkomstkontroll, skydd mot skadlig kod och hantering av säkerhetsuppdateringar. Den nuvarande frågeställningen, som uppdateras årligen med 2026 års uppdatering och inför starkare förväntningar på moln- och flerfaktorsautentisering, tillämpar samma fem kontroller på bärbara datorer, stationära datorer, servrar, mobila enheter, nätverksutrustning och molntjänster som ingår.
Vilka krav ställs på brandväggar och routrar?
Brandväggar sitter vid gränsen mellan ditt betrodda interna nätverk och det obetrodda internet. Kontrollområdet kräver att varje enhet som ansluter till internet, plus själva nätverksgränsen, skyddas av en korrekt konfigurerad brandvägg (eller motsvarande nätverksenhet).
Mer specifikt förväntar sig programmet att du:
- Ändra standardlösenordet för administratörer på alla brandväggar eller routrar med internetanslutning till ett starkt och unikt alternativ.
- Blockera oautentiserade inkommande anslutningar som standard
- Dokumentera och godkänn alla inkommande brandväggsregler som tillåter tjänster att passera, med ett dokumenterat affärsnyttigt scenario.
- Ta bort eller inaktivera inkommande regler som inte längre behövs
- Använd en programvarubrandvägg på enheter som används utanför företagets nätverk (bärbara datorer hemma, på hotell-Wi-Fi eller på ett kafé)
- Inaktivera fjärradministrativ åtkomst till brandväggen från internet, såvida det inte skyddas av MFA eller en IP-tillåtelselista och ett dokumenterat affärsbehov
De vanligaste luckbedömare som flaggar här är hemarbetare vars internetleverantörslevererade router fortfarande har standardlösenordet för administratörer tryckt på baksidan, och SaaS-tunga organisationer som antar att de inte har några brandväggar i omfattning när i själva verket alla anställdas bärbara datorer behöver den värdbaserade brandväggen aktiverad.
Bevis som bedömaren kommer att begära inkluderar vanligtvis en skärmdump eller intyg som visar brandväggsversionen och ändringen av administratörslösenordet, en lista över inkommande regler med deras affärsmässiga motivering och en bekräftelse på att värdbaserade brandväggar är aktiverade över hela enhetsområdet.
Vad innebär säker konfiguration i praktiken?
Säker konfiguration handlar om att ta bort de säkerhetsbrister som är inbyggda i enheter och programvara direkt: standardkonton, exempellösenord, onödiga tjänster, demoinnehåll och alltför tillåtande delningsinställningar. Varje enhet, server och molntjänst som omfattas måste konfigureras för att minimera exponering innan den tas i bruk.
För att uppfylla detta kontrollområde måste du:
- Ta bort eller inaktivera användarkonton och programvara som du inte behöver (inklusive förinstallerad bloatware, oanvända användarkonton och standardadministratörskonton där det är möjligt)
- Ändra alla standardlösenord eller lösenord som går att gissa på enheter, konton och tjänster
- Inaktivera automatiska funktioner som automatiskt kör kod från flyttbara medier
- Kräv att användare autentiserar sig innan åtkomst till organisationsdata eller tjänster beviljas
- Tillämpa flerfaktorsautentisering (MFA) på alla administrativa konton i molntjänster och på alla standardanvändare där molntjänsten stöder det.
- Använd en kompatibel lösenordspolicy – minst 12 tecken, eller minst 8 tecken med MFA, eller minst 8 tecken plus automatisk blockering av vanliga lösenord – och skydda konton mot brute force-försök med begränsning eller utelåsning.
Frågeställningen för 2026 har skärpt förväntningarna på MFA, särskilt för molntjänster. Om din organisation använder Microsoft 365, Google Workspace, AWS, Azure eller någon annan molnplattform är MFA för alla administrativa konton nu icke-förhandlingsbart och bedömare kommer att förvänta sig att se bevis.
Vanliga luckor inkluderar äldre domänadministratörskonton utan MFA, delade tjänstkonton med statiska lösenord lagrade i kalkylblad och Wi-Fi-gästnätverk bryggade till företagets lokala nätverk. Gå igenom din självbedömning av Cyber Essentials med säker konfiguration i åtanke tidigt i projektet – det är kontrollområdet där de flesta organisationer hittar oväntat arbete.
Hur fungerar användaråtkomstkontroll under Cyber Essentials?
Detta kontrollområde begränsar vem som kan göra vad på era system. Cyber Essentials vill se till att användarkonton endast skapas med godkännande, att administratörsbehörigheter är begränsade och att konton tas bort när folk lämnar.
De specifika kraven är:
- Ha en dokumenterad process för att skapa och godkänna användarkonton
- Autentisera användare med starka, unika inloggningsuppgifter innan åtkomst beviljas
- Ta bort eller inaktivera användarkonton när de inte längre behövs (processen för anslutna, flyttade, avgångar)
- Implementera flerfaktorsautentisering på molntjänster för alla användare där plattformen stöder det, och ovillkorligen för alla administratörskonton
- Separera administrativa konton från vanliga användarkonton – administratörer får inte surfa på webben eller läsa e-post med sitt privilegierade konto.
- Granska vilka användare som har administratörsbehörighet minst en gång per år och ta bort de som inte längre är motiverade
Bevisbedömare begär vanligtvis: er procedur för anslutning/flyttning/avgång, en lista över administrativa användare med affärsnyttan för var och en, skärmdumpar av MFA-konfigurationer från era huvudsakliga molnplattformar och ett urval av nyligen inaktiverade avgångskonton.
Den klassiska bristen är den anställde med lång tjänstgöring vars roll har ändrats tre gånger och som fortfarande har administratörsrättigheter som ärvts från ett tidigare jobb. Den andra stora bristen är delade inloggningar för ekonomi, marknadsföring eller sociala medieverktyg – systemet förbjuder inte alla delade konton, men förväntar sig att de är noggrant motiverade, MFA-skyddade och spårbara.
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
Hur fungerar kraven för skydd mot skadlig kod?
Skydd mot skadlig kod kräver att alla enheter inom skyddsområdet skyddas mot skadlig kod med minst en av tre godkända metoder: programvara mot skadlig kod, lista över tillåtna program eller sandlådehantering. De flesta organisationer uppfyller kravet med hjälp av det inbyggda antiskadliga programmet i sina operativsystem (Microsoft Defender på Windows, XProtect på macOS) kompletterat med en EDR-produkt på enheter med högre risk.
För att klara måste du:
- Använd en av de tre godkända mekanismerna på varje enhet inom området (anti-skadlig programvara, tillåtelselista för applikationer eller sandlådefunktion)
- Håll programvaran mot skadlig kod uppdaterad, helst automatiskt, så att signaturer och sökmotorer är aktuella
- Konfigurera anti-malware för att skanna filer vid åtkomst och för att skanna webbsidor
- Blockera anslutningar till kända skadliga webbplatser där anti-malware-produkten erbjuder den funktionen
- Om du använder en lista över godkända program, upprätthåll en lista över godkända program och förhindra att andra körs
- Om du använder sandboxing, se till att varje applikation körs i en sandbox och inte kan komma åt data från andra sandbox-appar utan uttryckligt tillstånd.
Mobila enheter (telefoner, surfplattor) omfattas uttryckligen. Både iOS och Android använder sandlådeteknik som underliggande metod, vilket är acceptabelt, men du får bara installera appar från de officiella butikerna (Apple App Store, Google Play eller en hanterad företagsbutik).
Den vanligaste bristen är ohanterade BYOD-enheter: en anställds personliga Mac som används för arbetsmejl, utan registrering, utan centralt tillämpad policy mot skadlig kod och utan insyn för IT. Antingen ska enheten inkluderas i MDM eller så ska arbetet flyttas till en hanterad enhet.
Vad kräver hantering av säkerhetsuppdateringar?
Detta kontrollområde kräver att all programvara inom ramen stöds, licensieras och uppdateras. Systemet är strikt gällande vad som räknas som "stöds": det måste vara en version som leverantören fortfarande publicerar säkerhetsuppdateringar för. Uttjänta operativsystem, webbläsare, plugin-program, firmware och applikationer är inte acceptabla, och deras närvaro kommer att misslyckas med en bedömning.
De specifika kraven är:
- Alla operativsystem och applikationer på enheter inom ramen måste vara licensierade och stödjas av leverantören.
- Ta bort eller ersätt all programvara som leverantören inte längre stöder med säkerhetsuppdateringar
- Aktivera automatiska uppdateringar där leverantören erbjuder dem
- Installera säkerhetsuppdateringar med "hög" eller "kritisk" säkerhet inom 14 dagar efter lansering (14-dagarsregeln)
- Detta gäller operativsystem, applikationer, firmware på routrar och brandväggar, samt plugin-program eller tillägg.
14-dagars patchfönstret är den enskilt vanligaste anledningen till att organisationer misslyckas med Cyber Essentials Plus-testningen. Bedömare kommer att skanna dina enheter och flagga allt som saknas i en höggradig patch efter att fönstret har gått ut. Servrar som bara patchas under ett månatligt underhållsfönster missar ofta deadline.
Programvara som omfattas avser allt som används för att komma åt organisationsdata eller tjänster. Det inkluderar operativsystem, produktivitetssviter, webbläsare, webbläsartillägg, PDF-läsare, videokonferensverktyg, lösenordshanterare och alla affärsappar. Inbyggd programvara på routrar, brandväggar och åtkomstpunkter omfattas också.
Sammanfattningstabell: de 5 kontrollerna i korthet
Tabellen nedan sammanfattar de fem kontrollområdena för Cyber Essentials, vad vart och ett kräver och de brister som bedömare oftast hittar.
| Kontrollområde | Viktiga krav | Vanliga luckor |
|---|---|---|
| 1. Brandväggar och routrar | Ändra standardlösenord för administratörer; blockera oautentiserad inkommande trafik; dokumentera regler för inkommande trafik; aktivera värdbaserade brandväggar på roaming-enheter; skydda fjärradministratörsåtkomst med MFA eller IP-tillåtelselista. | Standardlösenord på internetleverantörsroutrar som används av hemarbetare; inaktiverade brandväggar på bärbara datorer; odokumenterade eller inaktuella regler för inkommande trafik. |
| 2. Säker konfiguration | Ta bort oanvända konton och programvaror; ändra standardlösenord; inaktivera automatisk körning; tillämpa MFA på molntjänster och alla administratörskonton; minsta lösenordslängd på 12 tecken. | Äldre administratörskonton utan MFA; standardinloggningsuppgifter på nätverksenheter; bloatware och oanvända tjänster på standardversioner. |
| 3. Användaråtkomstkontroll | Godkänd process för kontoskapande; ta bort lämnande användare omedelbart; separata administratörs- och standardkonton; MFA för alla molnanvändare där det stöds; årlig granskning av administratörsbehörigheter. | Administratörsrättigheter som ackumulerats över tid; administratörer som surfar på webben med privilegierade konton; delade inloggningar utan motivering. |
| 4. Skydd mot skadlig kod | Använd anti-malware, tillåtna program eller sandlådesystem på alla enheter; håll definitionerna uppdaterade; begränsa mobilappar till officiella butiker; skanna filer vid åtkomst. | Ohanterade BYOD-enheter; anti-malware föråldrat eller inaktiverat på servrar; tillåt listning implementerad utan en godkänd applista. |
| 5. Hantering av säkerhetsuppdateringar | Kör endast programvara som stöds och är licensierad; ta bort uttjänta operativsystem, appar och firmware; installera kritiska patchar inom 14 dagar; aktivera automatiska uppdateringar där det är möjligt. | Missat 14-dagars patchfönster på servrar; äldre Windows eller webbläsare som inte stöds används fortfarande; föråldrad routerfirmware. |
Kom igång enkelt med en personlig produktdemo
En av våra introduktionsspecialister kommer att guida dig genom vår plattform för att hjälpa dig komma igång med självförtroende.
Hur passar molntjänster in i kraven?
Molnet behandlas nu som en förlängning av din miljö snarare än ett undantag. Om din organisation använder en molntjänst för att bearbeta eller lagra organisationsdata omfattas den tjänsten och du ansvarar för att konfigurera den så att den uppfyller kraven. Schemat skiljer mellan tre molntjänstmodeller, med något olika delade ansvarsområden för var och en:
- Programvara som en tjänst (SaaS) — t.ex. Microsoft 365, Google Workspace, Salesforce, Xero. Du ansvarar för användaråtkomstkontroll, säker konfiguration av konton och hyresgästinställningar samt MFA. Leverantören hanterar skydd mot skadlig kod på den underliggande plattformen, men du ansvarar fortfarande för all konfiguration på klientsidan.
- Plattform som en tjänst (PaaS) — t.ex. AWS App Runner, Azure App Service, Heroku. Du ansvarar dessutom för hantering av säkerhetsuppdateringar för det applikationslager du distribuerar, plus samma säkra konfigurations- och åtkomstkontrolluppgifter som SaaS.
- Infrastructure as a Service (IaaS) — t.ex. AWS EC2, virtuella Azure-maskiner, Google Compute Engine. Du ansvarar för operativsystemet, all programvara som körs på det, brandväggar (säkerhetsgrupper), patchar, skadlig kod och åtkomstkontroll. I praktiken behandlas en IaaS-server nästan identiskt med en lokal server.
Den viktigaste slutsatsen: du kan inte påstå att en molntjänst inte omfattas av plattformen bara för att leverantören hanterar infrastrukturen. Data i den, och de konton som har åtkomst till den, är alltid ditt ansvar att skydda.
Hur gäller BYOD och hemarbete?
Att ta med din egen enhet (BYOD) är en vanlig förvirringspunkt. Regeln är enkel: alla enheter som används för att komma åt din organisations data eller tjänster omfattas, oavsett vem som äger den. Det inkluderar personliga telefoner som används för arbetsmejl, entreprenörers bärbara datorer och en hemdator som används för att komma åt molnappar.
Det finns begränsade undantag: enheter som endast har åtkomst till röst- eller textmeddelanden (ingen e-post, inga appar, inga dokument) och enheter som enbart används för tvåfaktorsautentisering omfattas inte. I alla andra fall måste enheten uppfylla alla relevanta kontroller: ett operativsystem som stöds, aktuella patchar, antivirusprogram (eller motsvarande), ett lösenord och möjligheten att låsas eller raderas på distans.
Hemarbetare omfattas som standard. Standardförväntningen är att företagets bärbara dator har en egen värdbaserad brandvägg aktiverad (som inte är beroende av hemroutern) och att allt känsligt molnadministrationsarbete skyddas av MFA. Hemroutrar i sig omfattas inte om inte organisationen har tillhandahållit eller konfigurerat dem, men företagets enhet beter sig som om den alltid är på ett fientligt nätverk.
Hur avgör man vad som ligger inom respektive utanför ramen?
Omfattning är det enskilt viktigaste tidiga beslutet i ett Cyber Essentials-projekt. Om du gör fel, certifierar du antingen en för snäv del av verksamheten (och certifikatet har begränsad trovärdighet) eller så tar du på dig för mycket (och bedömningen blir svårare än den behöver vara).
Schemat tillåter två huvudsakliga tillvägagångssätt:
- Hela organisationens omfattning — Alla användare, enheter, nätverk och molntjänster i hela organisationen omfattas av certifieringen. Detta är den rekommenderade metoden och ger det starkaste certifikatet. Kunder, försäkringsbolag och myndighetsuppdragstagare tenderar att anta att det är detta du har.
- Delmängdsomfattning — En namngiven avdelning, affärsenhet eller miljö omfattas av omfattningen, med allt annat undantaget. För att använda delmängdsomfattningen måste du upprätthålla en tydlig teknisk gräns – vanligtvis ett separat hanterat nätverk, en separat användarkatalog och en separat molnklient – så att miljön inom omfattningen inte kontamineras av den utanför omfattningen.
Oavsett var du drar gränsen gäller samma fem kontroller för allt inom den. Planera din omfattning innan du fyller i SAQ:n; att ändra omfattningen senare kostar tid och pengar. Prissättningen anpassas till storleken på den aktuella miljön, så granska vår kostnadssida för Cyber Essentials när du dimensionerar ditt projekt.
Vad är nytt i 2026-versionen?
Schemat utvecklas årligen. Den nuvarande frågeställningen behåller de fem kontrollområdena men skärper ett antal krav för att återspegla förändringar i angriparnas beteende och molnets ökande dominans. De mest anmärkningsvärda uppdateringarna som påverkar sökande är:
- Flerfaktorautentisering — MFA är nu obligatoriskt för alla administrativa konton för molntjänster och obligatoriskt för vanliga molnanvändare där plattformen stöder det. MFA endast via SMS avråds till förmån för autentiseringsappar eller hårdvarutokens.
- Förtydligande av molnomfattning — SaaS, PaaS och IaaS tas uttryckligen upp, med tydligare vägledning om vilket ansvar som ligger hos leverantören och vilket hos kunden. Molnadministratörskonton granskas på samma sätt som lokala domänadministratörer.
- Lösenordslös och biometrisk autentisering — Systemet erkänner nu moderna autentiseringsmetoder (lösenord, Windows Hello, Touch ID) som acceptabla alternativ till traditionell lösenord plus multifunktionell autentisering.
- Förväntningar på kapitalförvaltning — Du förväntas ha en aktuell inventering av enheter och programvara, eftersom du inte på ett tillförlitligt sätt kan uppdatera eller skydda sådant du inte känner till.
- Sårbarhetsåtgärder — 14-dagars patchfönstret täcker nu uttryckligen firmware på routrar, switchar och åtkomstpunkter, inte bara operativsystem och applikationer.
När ditt certifikat ska förnyas gäller den senaste frågeställningen. Se vår förnyelseguide för Cyber Essentials för information om vad du kan förvänta dig när du omcertifierar dig enligt uppdaterade kriterier.
Varför välja ISMS.online för cyberkunskaper?
- Förmappade kontroller — Varje kontrollområde för Cyber Essentials är kartlagt i ISMS.online, så du bedömer mot hela schemat utan att bygga din egen checklista från grunden.
- En enda beviskälla — Bifoga skärmdumpar, konfigurationsexporter, anslutnings-/avgångsregister och policydokument till relevant kontroll en gång, och återanvänd dem sedan för förnyelser, Plus-bedömningar och andra ramverk.
- Verktyg för omfång — Registrera dina användare, enheter, nätverk och molntjänster inom området i ett strukturerat tillgångsregister så att områdets gränser är dokumenterade, granskningsbara och enkla att uppdatera.
- Spårning av mellanrum till handling — Varje lucka som identifieras under er beredskapsgranskning omvandlas till en tilldelad åtgärd med en ägare och ett förfallodatum, så att ingenting slinker igenom.
- Hävstångseffekt från flera ramverk — Bevis om cyberessentiella ämnen i ISMS.online matar också ISO 27001 , SOC 2 och NIS 2 arbete, vilket är anledningen till att kunder som går bortom Cyber Essentials stannar kvar på plattformen.
- Förnyelseklar — Plattformen håller dina bevis aktuella mellan årscyklerna, så att du aldrig börjar om när nästa certifikat ska vara inne.
- Betrott av tusentals organisationer - ISMS.online stöder företag av alla storlekar på deras efterlevnadsresa, från förstagångsansökare till Cyber Essentials till globala ISO-certifierade grupper.
Relaterade guider om cyberessentiella ämnen
Fortsätt din Cyber Essentials-resa med de andra guiderna i den här serien:
- Kostnad för cyberessentiella saker — IASME-prisnivåer, pluskostnader, dolda kostnader och 3-årssummor för brittiska företag.
- Är cyberessentiella saker värda det? — En ärlig bedömning av fördelar, nackdelar och vem som faktiskt behöver certifiering.
- Krav för Cyber Essentials Plus — Den tekniska revisionen, sårbarhetsskanningar och vad Plus levererar utöver grundcertifieringen.
- Självbedömning av cyberessentiella ämnen — SASQ-arbetsflödet, omfattning, bevis och vanliga fallgropar.
- Hur lång tid tar det att undersöka cyberessentiella ämnen? — Typisk tidslinje för Storbritannien, snabbspårsalternativ och vad som saktar ner processen.
- Förnyelse av cyberessentiella tjänster — 12-månaderscykeln, kontrollförändringar 2026 och hur man förbereder sig 60 dagar i förväg.
- Cyberviktigheter för småföretag — SMB-specifik prissättning, omfattning och kostnads-nyttoförhållande.
- Cyber Essentials jämfört med ISO 27001 — Omfattning, kostnad, tid och erkännande jämfört.
Vanliga frågor
Vad täcker Cyber Essentials i enkel text?
Cyber Essentials omfattar fem tekniska kontrollområden: brandväggar och routrar, säker konfiguration, användaråtkomstkontroll, skydd mot skadlig kod och hantering av säkerhetsuppdateringar. Varje kontrollområde anger specifika, praktiska krav för de enheter, användarkonton och molntjänster som din organisation använder. Tillsammans är de utformade för att stoppa majoriteten av vanliga internetbaserade attacker.
Gäller Cyber Essentials molntjänster?
Ja. Alla molntjänster som används för att bearbeta eller lagra organisationsdata omfattas. SaaS, PaaS och IaaS omfattas alla, med något olika delade ansvarsområden. Du ansvarar alltid för användaråtkomst, MFA på administratörskonton och säker konfiguration av din hyresgäst; för IaaS hanterar du även patchar, skadlig kod och värdbrandväggar.
Ingår hemarbetare och BYOD?
Ja. Alla enheter som används för att komma åt din organisations data eller tjänster omfattas av detta, inklusive bärbara datorer hemma och privata telefoner som används för arbetsrelaterad e-post. Enheter som enbart används för röstsamtal, sms eller tvåfaktorsautentisering omfattas inte av detta. Företagsbärbara datorer som används hemma måste ha en egen värdbaserad brandvägg aktiverad.
Vilken programvara ingår i Cyber Essentials?
All programvara som används för att komma åt organisationsdata eller tjänster. Det inkluderar operativsystem, webbläsare, webbläsartillägg, produktivitetssviter, affärsapplikationer och firmware på routrar och brandväggar. Allt detta måste vara licensierat, leverantörsstödt och uppdaterat inom 14 dagar för viktiga uppdateringar. Programvara som är uttjänt är inte acceptabel.
Vilka bevis vill bedömaren se?
För självbedömningen lämnar du svar och intyg för varje fråga. För Cyber Essentials Plus utför bedömaren praktiska tester: skannar exempelenheter för saknade patchar, kontrollerar konfigurationen mot skadlig kod, verifierar MFA på molnkonton och bekräftar brandväggsregler. Dokumenterade anslutnings-/avgångsprocedurer, listor över administratörskonton och patchregister efterfrågas ofta.
Vad är nytt i 2026 års version av Cyber Essentials?
Den nuvarande frågeställningen stärker kraven för moln- och flerfaktorsautentisering, förtydligar ansvarsområden för SaaS, PaaS och IaaS, erkänner lösenordsfri och biometrisk autentisering och utökar explicit 14-dagars patchfönstret till firmware. Förväntningarna på tillgångsinventering har också gjorts tydligare.
