Information är inte kommunikation

Föreställ dig en måndag i en medelstor organisation. Säkerhetsfunktionen har tagit fram en ny rutin för att rapportera misstänkta mejl. Rutinen är genomtänkt, förankrad i ledningsgruppen och publicerad på intranätet. Ett mejl går ut till alla medarbetare med länk till dokumentet. Uppdraget är utfört, kryssrutan är ibockad.

Tre månader senare klickar en ekonomihandläggare på en länk i ett välgjort bedrägerimejl. Hon hade aldrig läst rutinen. Hon visste inte att den fanns. När hon får frågan varför hon inte rapporterade svarar hon ärligt att hon inte ville verka dum och att hon inte visste vem hon skulle ringa. Det sista är ett kunskapsproblem och går att lösa med en instruktion. Det första är något annat och betydligt svårare, eftersom det handlar om vad hon trodde skulle hända om hon hörde av sig.

Var brast det? Inte i rutinen. Inte heller hos henne. Det brast i kommunikationen.

Petra Jonsson arbetar med just den frågan. Hennes metodik för säkerhetskommunikation utgår från mottagaren i stället för avsändaren, och från effekt i stället för aktivitet. Ett av hennes webbinarier inspirerade innehållet i bokens kapitel om säkerhetskommunikation. Tre av hennes perspektiv har fastnat hos mig.

Avsändaren bär ansvaret

Petras utgångspunkt är enkel och obekväm. Det är avsändarens ansvar att mottagaren förstår. Ett budskap är inte kommunicerat för att det har skickats, publicerats eller presenterats. Det är kommunicerat först när det har landat hos den det var avsett för.

Det låter självklart, men det utmanar hur säkerhetsarbete ofta bedrivs. Vi mäter antal utskick, antal genomförda utbildningar och andel som klickat sig igenom en e-kurs. Allt det mäter att vi har sänt. Inget av det mäter att någon har förstått.

Petra drar skiljelinjen mellan information och kommunikation just här. Information är det vi skickar ut. Kommunikation är det som händer när mottagaren tar emot, tolkar och kan agera. Den som stannar vid information har gjort sin del av jobbet på pappret, men inte i verkligheten. Det är samma skiljelinje jag drar i bokens kapitel om säkerhetskommunikation, där den ser ut som en språklig finess men visar sig vara den avgörande punkten i hela resonemanget.

För en säkerhetsansvarig innebär det ett skifte i fråga. Från "har vi informerat?" till "har de förstått, och kan de göra rätt?". Det senare är svårare att svara på. Det är också den enda frågan som spelar roll när ett bedrägerimejl landar i inkorgen.

Ansvaret sträcker sig dessutom längre än till förståelsen. Det omfattar också vad mottagaren tror kommer att hända när hon följer budskapet. En säkerhetsfunktion som huvudsakligen uppträder som kontrollant får en organisation som undviker den, eftersom det som rapporteras riskerar att bli ett ärende med den som rapporterade i mitten. En säkerhetsfunktion som uppträder som medskapare får i stället rapporter, och rapporterna är ofta det som ger den tidigaste upptäckten. Skillnaden syns aldrig i utskicksstatistiken. Den syns i hur lång tid som går mellan misstanken och samtalet.

Börja i effekten och planera baklänges

Det andra perspektivet är att vända på planeringen. De flesta kommunikationsinsatser inom säkerhet börjar i budskapet. Vi vet vad vi vill säga och letar sedan efter en kanal. Petras råd är att börja i andra änden.

Börja i den effekt du vill uppnå för verksamheten. Fråga sedan vilket beteende som krävs för att nå dit. Fråga därefter vad som måste vara sant hos medarbetarna för att beteendet ska uppstå, alltså vad de behöver veta, kunna och tycka. Först då är det dags att bestämma vad som ska kommuniceras, och hur.

I boken beskriver jag detta som en effektkedja, där insatsen påverkar attityden, attityden påverkar beteendet och beteendet ger effekt i verksamheten. Poängen är att kedjan planeras bakifrån men verkar framifrån. Den som börjar i budskapet vet sällan vilket beteende det ska leda till. Den som börjar i effekten vet exakt vad budskapet måste åstadkomma.

Tillbaka till måndagsexemplet. Den önskade effekten var att bedrägeriförsök upptäcks och stoppas tidigt. Beteendet som krävs är att medarbetare rapporterar misstänkta mejl direkt. För att det ska ske måste de veta hur, uppleva att det är enkelt och känna sig trygga i att det är rätt att göra det även när de är osäkra. Ett mejl med en länk till ett dokument uppfyller inget av det.

Kedjan ger dessutom något att mäta som inte är utskick. Andelen misstänkta mejl som faktiskt rapporteras, och tiden från att det första exemplaret landade till att någon hörde av sig, säger något om huruvida kommunikationen nått fram. De siffrorna är dessutom begripliga för en ledningsgrupp på ett sätt som en genomförandegrad i ett utbildningssystem aldrig blir.

Samma organisation, olika logiker

Det tredje perspektivet förklarar varför budskap så ofta går förbi varandra. Petra beskriver hur ledning, verksamhet och IT utgår från olika logiker. Ledningen tänker i risk, affär och ansvar. Verksamheten tänker i leverans, tempo och kunder. IT tänker i system, sårbarheter och drift. Alla har rätt utifrån sitt perspektiv, och alla talar förbi varandra.

Säkerhetsbudskap formuleras oftast i IT-logiken. De handlar om hot, sårbarheter och tekniska åtgärder. För den som ska hinna med tjugo kundärenden före lunch landar det som ännu ett hinder. Inte för att medarbetaren är ovillig, utan för att säkerhet konkurrerar med allt annat i en pressad vardag, och förlorar.

Lösningen är inte att förenkla budskapet utan att översätta det. Koppla säkerheten till det mottagaren redan värderar. För verksamheten handlar det om stabil leverans och förtroende hos kunderna. För ledningen om kontinuitet och ansvar. När säkerhet uppfattas som ett stöd för det man redan vill åstadkomma, i stället för som ett krav utifrån, förändras mottagandet.

Översättningen har en förutsättning som lätt glöms bort. Den kräver att avsändaren faktiskt vet vad mottagaren värderar, och den kunskapen finns sällan i säkerhetsfunktionen. Den finns hos den som gör jobbet. Därför är de mest verkningsfulla säkerhetsbudskapen ofta skrivna tillsammans med verksamheten snarare än till den. Det är också ett av skälen till att cybersäkerhet är en ledningsfråga och inte en funktionsfråga. Bara ledningen kan ge säkerhetsfunktionen tillträde till de samtalen.

Det finns en fjärde logik som sällan räknas in, och det är säkerhetsfunktionens egen. Den tänker i krav, kontroll och avvikelse, eftersom det är så arbetet är uppbyggt och så tillsynen kommer att fråga. Den logiken är lika partiell som de tre andra, men den har en egenskap som gör den mer förrädisk. Den som talar den tror oftast att den är neutral. Första steget i varje översättning är därför att inse att man själv talar en dialekt.

Så hänger det ihop med boken

Kapitlet om säkerhetskommunikation ligger i bokens andra del, den som vänder sig till ledningen. Där kopplar jag kommunikationen till cybersäkerhetslagens krav på ledningens ansvar och utbildning, och till kraven på kommunikation i ISO 27001. Jag använder COM-B-modellen för att förklara att beteende kräver förmåga, möjlighet och motivation samtidigt, och att kunskap ensam sällan räcker. Ofta är svaret på varför någon inte gör rätt helt enkelt att det rätta beteendet är krångligare än det felaktiga.

Kapitlet beskriver också en kommunikationsarkitektur, alltså hur kommunikationen kan se ut över tid i stället för som en serie kampanjer. Petras perspektiv ger den helheten en stark praktisk ingång, eftersom de gör det abstrakta till något man kan börja med redan på måndag.

Kapitlet lägger också stor vikt vid ledningens eget beteende. Det är den starkaste signalen i organisationen och går inte att kompensera med kampanjer. En ledningsgrupp som ber om undantag från flerfaktorsautentiseringen har sagt något om säkerhetens plats i verksamheten som inget utskick tar tillbaka. Avsändarens ansvar gäller alltså inte bara det som formuleras i ord.

Varför det här spelar roll nu

Cybersäkerhetslagen trädde i kraft den 15 januari 2026. Den ställer krav på säkerhetsåtgärder, på ledningens ansvar och på utbildning. Många organisationer svarar på kraven med dokument, policyer och e-kurser. Det är nödvändigt, men det är information.

Kraven har dessutom blivit mer precisa under året. Den föreskrift om säkerhetsåtgärder och ledningens utbildning som träder i kraft den 1 oktober 2026 ställer utbildningskravet utan behovsprövning, alltså utan möjlighet att bedöma sig ur det. Utbildningen ska ge ledningen kunskap nog att fastställa mål och inriktning, att bedöma vilka åtgärder verksamheten behöver utifrån identifierade risker, och att övervaka att åtgärderna genomförs. Jag har skrivit om den föreskriften i en egen artikel. Här räcker det att konstatera att lagstiftaren inte nöjer sig med att ledningen har informerats.

Lagen frågar i förlängningen efter något annat. Den frågar efter en organisation som faktiskt agerar säkert. Det kräver att budskapen landar hos rätt personer, i rätt form, vid rätt tillfälle och med ett tydligt beteende som mål. Den som styr sitt säkerhetsarbete mot förmåga i stället för mot dokumentation behöver därför ta kommunikationen på lika stort allvar som tekniken.

Det syns tydligast när något går fel. En incidenthantering börjar i praktiken inte när larmet går, utan när någon bestämmer sig för att säga till. Den som har övat rapporteringen vinner de första timmarna. Den som bara har publicerat en rutin får veta först när skadan är synlig.

En policy som ingen förstått skyddar ingen.

Tre frågor att ta med till nästa möte

Om du ansvarar för säkerhetsarbete i din organisation, prova att ställa tre frågor innan nästa utskick.

1. Vilken effekt i verksamheten ska det här leda till, och vilket konkret beteende krävs för att nå dit?
2. Vilken logik lever mottagarna i, och hur kopplar jag budskapet till det de redan värderar?
3. Hur vet jag att det har landat, och inte bara att det har skickats?

Ingen av dem är svår att ställa. Den tredje är den som brukar avslöja mest.

Följ Petras arbete

Säkerhet som inte når fram är bara en avsikt.