Oberoende penetrationstest med

Ja, utan extra kostnad. Omtestet prövar åtgärden mot det ursprungliga beviset, kontrollerar att den träffar grundorsaken och inte bara den payload vi rapporterade, och letar efter regressioner. Varje fynd får ny status: åtgärdat, delvis åtgärdat eller accepterad risk, med bevis som stöd.

Ja. Ledningssammanfattningen är skriven för att läsas av en icke-teknisk mottagare på några minuter, och rapporten innehåller bekräftad omfattning och en sammanställning av fynden. Behöver du en version utan interna värdnamn tar vi fram den inom uppdraget, inte som ett tillägg.

Skanningen körs så att risken att destabilisera målsystemen hålls nere, särskilt mot produktion. PoC-kod testas i isolerad miljö innan den används mot era system. Varje teknik som kan störa driften godkänns uttryckligen när omfattningen sätts, och en rutin för att avbryta testet finns på plats innan vi börjar.

Uppstädning är en egen fas. Webshells, implantat, testkonton och konfigurationsändringar tas bort, uppladdade verktyg kontrolleras som borta och ni får en full lista över allt vi gjort, så att teamet kan verifiera att miljön är tillbaka i sitt ursprungsläge.

Då står det i rapporten, tillsammans med vad som testades och hur, vilket är det underlag din kund eller revisor behöver. Vi blåser inte upp allvarlighetsgrader för att motivera fakturan. Var omfattningen för snäv för att säga något säger vi det rakt ut.

Ja, som ett eget uppdrag med egna uppdragsregler. För de flesta organisationer i den här storleken rekommenderar vi ett avgränsat penetrationstest först, eftersom en målstyrd angreppssimulering utgår från att kända brister redan är stängda.

Startdatum bekräftas när omfattningen är påskriven. De flesta svenska leverantörer bokar fyra till åtta veckor framåt. Har du ett datum i tankarna, ta upp det på första samtalet så säger vi var vi kan få in det.

Ja, och de flesta uppdrag har ett. Ta med datumet till samtalet. Vi säger vad som hinner testas ordentligt på tiden och vad som då måste lyftas ur.

Omtestfönstret bestäms när omfattningen sätts, så att det passar er releaseplan. Väntar åtgärden på ett releaståg eller en leverantör, säg till, så offererar vi inte ett nytt uppdrag.

Nej. Du får ett fast pris för en överenskommen omfattning, redovisat i testardagar. Omtest, ledningssammanfattning och genomgång ligger i priset, inte utanför.

Ingår: avgränsning, testet, rapporten, genomgången och omtestet. Tillägg bara om ni utökar omfattningen under uppdraget och vi har det skriftligt innan vi agerar på det.

Nej. Kritiska fynd går till er namngivna kontakt så fort de är bekräftade. Eskaleringsvägen skrivs ned innan testet startar.

Ja. Rapporten avslutas med ett omtestintyg som anger vad som testades, när, av vem, metodiken och åtgärdsstatus vid avslut. Det är skrivet för att kunna skickas vidare till en kund eller en revisor.

I de flesta fall, ja. Rapporten anger omfattning, datum, metodik, fynd och omteststatus i klartext. Ta med formuläret till samtalet. Ibland pekar granskaren ut en viss standard, och då stämmer vi av den mot omfattningen.

MCFFS 2026:11 träder i kraft. Den kräver att organisationer som omfattas av Cybersäkerhetslagen genomför säkerhetstester och granskningar. De allmänna råden nämner både automatiserad och manuell testning, men inte penetrationstest. Ett avgränsat manuellt test med omtest är ett sätt att visa det, inte det enda.

MCFFS 2026:12 kommer samma dag men styr hur tillsynsmyndigheten gör sina egna granskningar. Den ålägger er inte att beställa något.

Ja till båda. Vi kan skicka utkast före scopingmötet så att juridiken granskar parallellt. Era egna mallar fungerar också.