Det gamla systemet håller fortfarande. Men det blir allt svårare att skydda.
Det börjar sällan med något dramatiskt. En tisdagsmorgon syns något i säkerhetsloggen som inte riktigt stämmer: några inloggningsförsök som sticker ut, trafik vid fel tidpunkt, ett mönster som någon reagerar på.
Systemet är tolv år gammalt. Det används varje dag och gör fortfarande sitt jobb. Men det har inte fått någon säkerhetsuppdatering på över ett år. Den här gången går det bra. Händelsen reds ut, några personer får lägga annat åt sidan och konsulter kopplas in. Men efteråt finns frågan kvar: vad händer nästa gång?
Många äldre system är inte dåliga system. Tvärtom kan de vara stabila, välkända och djupt anpassade efter verksamheten. Problemet är att omvärlden runt dem har förändrats.
Tekniken de bygger på är ofta känd. Sårbarheter finns dokumenterade. Ibland finns färdiga angreppsverktyg att utgå från. Samtidigt är det sällan enkelt att uppdatera ett legacysystem. En patch kan påverka integrationer, speciallösningar och arbetsflöden som vuxit fram under många år.
Därför skjuts uppdateringar ibland på framtiden. Inte för att någon struntar i säkerheten, utan för att varje förändring riskerar att störa något verksamheten är beroende av. I vissa fall finns det inte längre någon patch alls. Det vet angriparna också.
Med NIS2 – som i Sverige gäller genom den nya cybersäkerhetslagen sedan januari 2026 – ökar kraven på många organisationer att arbeta mer systematiskt med risker, incidenter och skydd av verksamhetskritiska system.
Det betyder inte att alla äldre system måste bytas ut direkt. Men det blir svårare att luta sig mot att “det har ju fungerat hittills”. För ett system som inte kan patchas, övervakas eller avgränsas på ett rimligt sätt behöver det finnas en genomtänkt plan. Annars blir det svårt att visa att risken är under kontroll.
Det går att göra mycket runt ett äldre system: begränsa åtkomst, förbättra loggning, sätta upp övervakning och se över integrationer. Ofta är det rätt sak att göra.
Men om systemet i grunden är svårt att uppdatera, om behörighetsmodellen är grov eller om varje liten förändring kräver veckor av testning, då finns grundproblemet kvar. Då handlar modernisering inte längre bara om teknikskuld, prestanda eller användarupplevelse. Det handlar om säkerhet.
Alla system behöver inte bytas ut. Ibland är rätt väg att kapsla in vissa delar, byta ut andra eller skapa bättre integrationer. Första steget behöver därför inte vara ett stort moderniseringsprojekt. Det kan vara att förstå läget: vad är mest sårbart, vilka beroenden finns och vad går att förändra utan onödig risk?
Vi erbjuder ett kostnadsfritt migrerbarhetstest under NDA, där vi tittar på systemets tekniska förutsättningar, beroenden och möjliga vägar framåt.
Säkerhet och användbarhet – reflektioner från NSSS 2026
När du bokar ett möte med oss kan du förvänta dig: