De första 60 minuterna ur ett kommunikationsperspektiv

Det användbara med den absolut första tiden, oavsett om det är 60 minuter eller fyra timmar, är istället att behandla den som perioden då kommunikationsförmågan behöver kopplas in i incidenthanteringen. Annars är risken att organisationen två timmar senare upptäcker att tekniken har arbetat intensivt medan ingen samlat den information som medarbetare, kunder, ledning, partners eller media kommer att fråga efter.

NCSC:s (National Cyber Security Centre) återställningsvägledning från juli 2026 beskriver de första timmarna på ungefär det sättet. Organisationen behöver etablera en tydlig incidentledning, skapa en gemensam förståelse av nuläget, bedöma kommunikationskanalerna och tidigt få till en koordinerad kommunikation med centrala intressenter.

01Få in kommunikation i incidentledningen

Det första kommunikationsarbetet är oftast att bygga struktur och skapa tillgång till rätt information, inte att börja skriva. Självfallet ser förutsättningarna olika ut beroende på hur väl organisationen har förberett sig för den här typen av situation.

Kommunikationsansvarig behöver veta vem som leder incidenten, var lägesbilden finns, hur verifierade fakta fastställs och vilka beslut som redan har fattats. Om kommunikationen står utanför incidentledningen och får små informationspaket när någon från incidentteamet råkar hinna kommer varje budskap att ta längre tid och risken för missförstånd ökar.

Det betyder förstås inte att kommunikationsansvarig ska delta i varje teknisk diskussion, utan att det måste finnas en fungerande koppling mellan den tekniska lägesbilden, verksamhetspåverkan, juridiska bedömningar och det som kommuniceras. Det behövs en central ledningsstruktur som håller teknisk utredning, operativ respons, ledningsbeslut och kommunikationsbeslut samordnade.

Under den första tiden bör kommunikationsfunktionen därför etablera vem som ger verifierade fakta, vilka kommunikationskanaler som används internt och externt och vilket forum som fungerar som gemensam informationskälla.

Klargör också vem som får besluta vad. Vem får godkänna ett första driftmeddelande? Kräver ett medarbetarutskick samma godkännande som ett publikt uttalande? Vem fattar beslut om ordinarie beslutsfattare inte går att nå? Om varje uppdatering måste vänta på samma person kan godkännandet snabbt bli en flaskhals och det är därför bra att skilja mellan kommunikation som ryms inom ett förhandsgodkänt mandat och sådant som behöver eskaleras för särskilt beslut.

02Skapa en första kommunikationslägesbild, även om den är tunn

Kommunikationen behöver tidigt kunna skilja mellan tre saker; vad organisationen vet, vilka frågor som fortfarande är öppna och vad människor utanför incidentteamet redan kan se.

Den sista delen upplever jag lätt glöms bort. Teknikteamet kan exempelvis fortfarande diskutera om en störning beror på en illvillig aktör samtidigt som kunder redan ser att webbplatsen ligger nere och människor på sociala medier börjat spekulera. Kommunikationens lägesbild behöver därför inte bara spegla forensiken, utan också informationsmiljön runt incidenten.

En första anteckning kan innehålla verifierad påverkan, öppna frågor, vilka externa tecken som finns, vilka mottagare som sannolikt påverkas och om det redan kommit frågor från medier, kunder, medarbetare eller partners. Det behöver inte vara vackert. Det behöver vara gemensamt, begripligt och enkelt att hålla uppdaterat.

Organisationen bör också tidigt sätta upp en central, auktoritativ logg över vad som upptäckts, när det upptäcktes, vilka beslut som fattats och vilka åtgärder som pågår, så att olika arbetsströmmar arbetar från samma förståelse, och där bör även kommunikationsbeslut dokumenteras (även beslut om att inte kommunicera).

03Bedöm om de vanliga kommunikationskanalerna går att använda

Fungerar mail, intranät, Teams och andra interna kanaler som vanligt, och finns det skäl att lita på dem? Går det att publicera information på webben? Är identitetsmiljön påverkad? Finns det risk att angriparen kan se intern incidentkommunikation? Behöver incidentledningen flytta till en separat kanal?

Frågan handlar alltså både om tillgänglighet och tillit - en kanal kan tekniskt fungera men ändå vara olämplig att använda för känslig incidentkommunikation. Om ordinarie kanaler inte går att använda, antingen för att de är otillgängliga eller för att de inte kan betraktas som betrodda, behöver reservlösningen aktiveras innan kommunikationen blir tidskritisk.

04Identifiera vem som kan behöva höra något först

En vanlig reflex är att tänka "först internt, sen externt", men ordningen bör egentligen styras av påverkan och behov.

Om en kritisk kundtjänst ligger nere kan kunder behöva ett kort driftbesked omedelbart, även om den breda medarbetarkommunikationen kommer senare. Om medarbetare riskerar att förvärra incidenten genom att logga in, starta om datorer eller använda en komprometterad tjänst är däremot en snabb intern instruktion mer brådskande. Om incidenten ännu inte är synlig utåt kanske det första kommunikationsbehovet endast gäller ledning, juridik och vissa verksamhetsägare.

Kartlägg samtidigt om det finns regulatoriska, avtalsmässiga eller försäkringsrelaterade notifieringskrav som påverkar vem som behöver kontaktas, av vem och inom vilken tid. Det är inte något kommunikationsfunktionen ska bedöma på egen hand, men det behöver finnas med i kartan över kommunikationsbehov tillsammans med juridik och andra ansvariga funktioner.

Organisationen bör redan före incidenten ha kontaktvägar till centrala interna och externa intressenter, gärna med alternativa kontaktvägar om de ordinarie systemen inte går att använda.

Första timmens mål är därför inte "kommunicera till alla". Det är att veta vem som behöver något nu, vem som behöver något snart och vem som än så länge bara ska finnas med på kartan.

05Öppna vägen tillbaka in

Kommunikation under en incident handlar inte bara om vad organisationen ska säga. Redan under den första tiden behöver det finnas ett sätt att fånga upp vad mottagarna ser, frågar om och reagerar på.

Bestäm därför vart frågor från medarbetare, kunder och andra verksamhetsdelar ska gå och hur återkommande frågor eller nya signaler förs tillbaka till incidentorganisationen. Kundservice, chefer, säljare och andra verksamhetsnära funktioner kan tidigt fånga sådant som ännu inte syns i den tekniska lägesbilden.

Om fem kunder rapporterar samma symptom, flera medarbetare får oväntade MFA-förfrågningar eller en journalist ställer frågor om något incidentteamet trodde var okänt utanför organisationen kan det vara ny information om incidenten.

Kommunikationsfunktionen kan på det sättet bli en sensor för incidentorganisationen. Information behöver kunna röra sig åt båda hållen; från incidentledningen ut till människor som behöver den, och från organisationens olika kontaktytor tillbaka in till den gemensamma lägesbilden.

06Förbered ett första budskap innan ni nödvändigtvis behöver använda det

När lägesbilden börjar stabiliseras tillräckligt för att säga något bör kommunikationsfunktionen kunna förbereda ett första kort budskap. Det kan vara en intern instruktion, en driftuppdatering eller ett holding statement, alltså ett kort första besked som bekräftar situationen utan att försöka ge svar som organisationen ännu inte har.

Texten behöver inte säga särskilt mycket, utan framför allt det som går att säga korrekt. Vad har observerats? Vilken påverkan är känd? Vad gör organisationen? Behöver mottagaren göra något? När kommer nästa besked?

Det går med fördel att strukturera ett sådant underlag enligt samma enkla logik som i Known / Unknown / Doing / Next, alltså med det här vet vi, det här undersöker vi fortfarande, det här gör vi nu och det här händer härnäst.

Om organisationen ännu inte behöver publicera kan texten ligga redo, det viktiga är att inte börja från ett blankt dokument fem minuter efter att journalisten eller den viktigaste kunden ringt.

Samtidigt bör ni undvika den motsatta reflexen, att publicera snabbt bara för att visa handlingskraft. Tidiga budskap ska vara korrekta, och definitiva påståenden om exempelvis orsak, omfattning, angripare eller dataexponering bör undvikas innan organisationen faktiskt har tillräckligt underlag för dem.

07Sätt nästa kommunikationspunkt löpande

Oavsett om något har publicerats i ett tidigt skede bör incidentorganisationen tidigt bestämma när kommunikationsläget ska omprövas.

Kanske behövs en ny bedömning om trettio minuter eftersom kunder märker avbrottet och frågorna ökar, kanske räcker nästa koordinering om två timmar. Det kan vara så att något har förändrats som gör att medarbetarna behöver nya instruktioner, eller så finns ett regulatoriskt eller avtalsmässigt krav som innebär att en viss funktion behöver ha information före en bestämd tid.

Det viktiga är att kommunikationen inte går tillbaka till vänteläge och hoppas att någon hör av sig när det finns nyheter. Den behöver bli en aktiv arbetsström med egna deadlines, beroenden och beslutspunkter, med en ständig fråga på dagordningen: När behöver vi göra nästa kommunikationsbedömning, och vad behöver vi veta då?

Den första timmen är därför mindre dramatisk än rubriken kanske antyder - det viktigaste är sällan att hinna säga mest. Det är att etablera förmågan att förstå vad som händer, fånga upp vad olika mottagare behöver, föra information både ut och tillbaka in och vara redo att säga rätt saker när organisationen behöver göra det.