Stöd för kundens NIS2-efterlevnad

Itha AB · Gäller Privera 0.9.0-beta22 · Senast uppdaterad: 2026-10-23

Beskriver hur Privera och Itha AB stöder en kund som omfattas av NIS2-direktivet, direktiv (EU) 2022/2555: vad produkten och Itha AB bidrar med, vad kunden själv behöver göra och vad som saknas i dag. Bilagan går igenom artikel 21.2 punkt för punkt och beskriver också artikel 20 och 23. Den gäller version 0.9.0-beta22 och ersätter inte kundens egen riskbedömning.

1. Utgångspunkt

NIS2-direktivet är genomfört i Sverige genom cybersäkerhetslagen (2025:1506), som trädde i kraft den 15 januari 2026. Kraven i lagen riktar sig mot kunden som verksamhetsutövare. Itha AB berörs som leverantör, främst genom direktivets artikel 21.2 d (säkerhet i leveranskedjan) och 21.3 (kundens bedömning av sina leverantörers sårbarheter och utvecklingsrutiner).

Itha AB bedömer att bolaget inte självt är verksamhetsutövare enligt lagen. Bedömningen är inte juridiskt prövad. Som tillverkare omfattas Itha AB i stället av EU:s cyberresiliensförordning, se Plan för CRA.

Kortfattat är läget detta: Privera har funktioner som stöder kundens arbete, till exempel lokal behandling, säkerhetslogg och central styrning, men flera av de krav som en kund kan ställa på en leverantör är inte uppfyllda i dag. Det står i kolumnen Begränsningar i avsnitt 3 och samlat i avsnitt 7.

2. Produkten i korthet

Egenskap	Uppgift
Produkt	Privera 0.9.0-beta22. Program för Windows 10 och 11 (x64) som maskerar personuppgifter i PDF- och Word-dokument. Version 1.0 är inte utgiven.
Tillverkare	Itha AB, org.nr 559282-3826, Bränningestrandsvägen 40b, 151 39 Södertälje
Behandling av dokument	Lokalt på kundens dator: analys, textigenkänning, språkmodell, maskering och export.
Dokumentdata till Itha AB eller någon annan	Inga dokument, filnamn, träffar eller användningsstatistik. Ingen telemetri och ingen felrapportering. Undantag: ett dokument som kunden själv lämnar för felsökning enligt ett särskilt personuppgiftsbiträdesavtal.
Delar	Programfönster byggt med Electron, en Python-motor som körs som en separat process, Tesseract för OCR och språkmodellen KB/bert-base-swedish-cased-ner.
Licens och uppdatering	Licensservern licens.privera.se hos Cloudflare.
Nätverk	Utgående HTTPS till licens.privera.se och, första gången språkmodellen behövs, till Hugging Face. Ingen inkommande port. Detaljer i Underlag för IT och informationssäkerhet.

3. Artikel 21.2 punkt för punkt

Kolumnen Privera och Itha AB anger vad produkten och leverantören bidrar med. Kolumnen Kunden anger vad som ligger kvar hos kunden.

Art. 21.2	Privera och Itha AB	Kunden	Begränsningar i dag
a) Riskanalys och säkerhetspolicy	Dokumenten lämnar inte datorn, så kundens riskanalys kan avgränsas till arbetsstationen och de två utgående flödena. Arkitektur, flöden och lagring beskrivs i säkerhetsunderlaget.	Klassa informationen, till exempel med KLASSA, och bestämma var original, exporter och loggar får lagras.	Itha AB har ingen dokumenterad cybersäkerhetsriskbedömning enligt CRA artikel 13.2, ingen skriftlig hotmodell och ingen samlad, beslutad säkerhetspolicy.
b) Incidenthantering	Säkerhetslogg från 0.9.0-beta20 till Windows händelselogg och till en hashkedjad fil: start, licens, export, stoppade exporter, läckkontroll, rensning, inställningar och uppdateringar, utan dokumentinnehåll eller filnamn. Från 0.9.0-beta22 står varje export i händelseloggen innan utfilen skrivs, och organisationen kan kräva det med policy. Exportlogg per export med SHA-256 för källfil och utfil. Licensservern skriver en säkerhetslogg med pseudonymer i stället för licensnyckel och IP-adress. Itha AB har en incidentrutin, rapporterar enligt CRA artikel 14 och underrättar berörda kunder (avsnitt 5).	Egen rapportering enligt cybersäkerhetslagen. Insamling av händelseloggen till SIEM, loggkatalog och rensningsförbud med registerpolicy, och append-only-behörighet på loggkatalogen. Se Säkerhetsloggning.	Loggen upptäcker manipulation men hindrar den inte. En vanlig användare kan fylla händelseloggen så att äldre poster skrivs över, och en administratör kan rensa den. I en installation per användare kan användaren ändra programmets filer och därmed kringgå registerpolicyn och skrivningen till händelseloggen. Insamlingen är inte provad med Windows Event Forwarding eller i något SIEM. Licensserverns säkerhetslogg sparas inte och når inte kundens SIEM. Säkerhetsärenden hanteras av en person utan ersättare och utan jour. Incidentrutinen är inte övad. Ingen kund har undertecknat säkerhetsbilagan.
c) Kontinuitet och krishantering	Programmet fungerar utan nät i upp till 14 dagar efter senaste lyckade licensförnyelse. Dokumenten ligger kvar hos kunden oavsett vad som händer med Itha AB. Om Itha AB upphör får kunderna en slutversion som fungerar utan licensserver (avvecklingsläge från 0.9.0-beta20). Säkerhetsrättningar ges till betan fram till version 1.0 och därefter i 5 år från utgivningen av 1.0. Varsel minst 6 månader före supportens slut. Se Livscykel och support.	Säkerhetskopiering av egna dokument och exporter, och en plan för vad som gäller om licensservern inte går att nå.	Avvecklingsläget är inte provat i ett installerat program på en ren dator. Avvecklingsnyckeln ska flyttas till förvaring offline; per 2026-10-23 är det inte gjort. Utan licensserver och utan avvecklingsbesked slutar programmet bearbeta dokument inom högst 14 dagar. Version 1.0 är inte utgiven, så supportperiodens slutdatum är inte fastställt. Bara den senaste versionen får rättningar.
d) Säkerhet i leveranskedjan	Underleverantörer, syfte, uppgifter, land och överföringsgrund redovisas i Underleverantörer. Ingen underleverantör har tillgång till kundens dokument vid vanlig användning. Komponenterna är versionslåsta, OCR-komponenterna kontrolleras mot SHA-256 och språkmodellen är låst till en bestämd revision. SBOM i CycloneDX 1.5 för 0.9.0-beta22, framtagen ur det byggda paketet i bygget, se SBOM.	Bedöma Itha AB enligt artikel 21.3.	SBOM:en har kända luckor och skannas inte mot någon sårbarhetsdatabas. Python-paketen är inte låsta med hashar. Automatisk bevakning av sårbarheter finns bara för npm-beroendena (Dependabot-larm sedan 2026-10-23). Med leverantörerna har Itha AB deras standardvillkor och kan inte visa att kundens krav gäller längre bak i kedjan. Att personuppgiftsbiträdesavtal gäller för one.com, Vercel och Neon är inte bekräftat. Lagring inom EU är inte garanterad hos Cloudflare.
e) Säkerhet vid anskaffning, utveckling och underhåll, inklusive sårbarhetshantering	Utvecklingen beskrivs i Säker utveckling och sårbarhetshanteringen, med fastställda tidsramar för åtgärd, i Sårbarhetshantering. Installer och programfiler signeras av Itha AB. Uppdateringar kontrolleras mot SHA-512, Itha AB:s hela utgivarnamn och den version som manifestet angav, och avvisas när kontrollen inte kan köras (från 0.9.0-beta22). Organisationen kan styra uppdateringarna centralt, se IT-drift.	Styra vilka versioner som körs, och rulla ut säkerhetsrättningar själv om automatiska uppdateringar är avstängda.	Ingen oberoende kodgranskning och inget penetrationstest. Offerter på ett externt penetrationstest av skrivbordsappen och licensservern tas in under hösten 2026; målet är ett genomfört test under Q1 2027. CI spärrar inte release. Uppdateringsmanifestet är inte signerat.
f) Utvärdering av åtgärdernas effektivitet	Kontroller som stoppar bygget, regressionstest för varje bekräftat exportfel och mätning av detektionens träffsäkerhet mot en låst baslinje, som körs för hand. Utkastet till säkerhetsbilaga ger kunden rätt till säkerhetsrevision, dokumentgranskning och intervju.	Egen uppföljning och revision.	Ingen extern granskning och ingen certifiering (ISO 27001, SOC 2). Det finns ingen tredjepartsgranskning att lämna ut.
g) Cyberhygien och utbildning	Programmet visar förslagen och låter användaren bestämma vad som maskeras. Säkerhetsunderlaget beskriver hur en exporterad fil kan kontrolleras.	Utbilda handläggare, särskilt i att granska dokumentet och den sparade filen före utlämnande.	Den automatiska detektionen hittar inte allt. Användaren måste granska filen.
h) Kryptografi	TLS 1.2 eller 1.3 mot licensservern. Sparade granskningar och licensfilen krypteras med AES-256-GCM under en nyckel som skyddas av Windows DPAPI. Licensnycklar lagras som SHA-256-summa på servern. Licensbevis signeras med Ed25519. licens.privera.se skickar HSTS. Se Kryptering och åtkomstkontroll.	Krypterad volym, till exempel BitLocker, för systemdisken och för mappar med original, exporter och loggar.	Exporter, exportloggar, säkerhetsloggen och motorns tillfälliga arbetsfiler, bland annat omaskerade kopior av dokumentet, skrivs okrypterade. Ingen inställning för krypteringsnivå efter informationsklass. Licensnyckeln och kassans session-id står i adressen vid nedladdningen av installern.
i) Personalsäkerhet, åtkomstkontroll och tillgångsförvaltning	Programmet har ingen egen inloggning. Åtkomsten följer Windows-kontot och därmed kundens AD- eller Entra-styrning. Exportloggen och säkerhetsloggen anger vilket Windows-konto som gjorde vad. Installation, uppdateringar och loggning kan styras med grupprincip, Intune och ADMX-mall.	Personliga Windows-konton, eftersom delade konton inte ger spårbarhet till person. Styra vem som får installera och köra programmet, till exempel med AD-grupper, AppLocker eller Intune.	Inga roller i programmet. Förvalt installeras programmet per användare utan administratörsrätt, så kunden behöver själv spärra egen installation. En utgivarregel för Itha AB i AppLocker eller WDAC släpper också in 0.9.0-beta21 och äldre, där den signerade programfilen kan köra annan kod. AppLocker behöver därför en nekande regel för de versionerna, se IT-drift avsnitt 4. Utrullningen är inte provad i Intune eller Configuration Manager. MSI finns inte.
j) Flerfaktorsautentisering och säkra kommunikationer	Programmet har inga egna konton, så kundens MFA vid Windows-inloggningen är det som skyddar programmet. Kommunikationen med licensservern går över TLS.	MFA vid inloggning i Windows eller Entra.	Ingen MFA i programmet. Webbens kundsida och nedladdningen öppnas med licensnyckeln som enda faktor. Vilka av Itha AB:s egna administrativa konton som har MFA är inte dokumenterat.

4. Artikel 20: ledningens ansvar

Ansvaret för cybersäkerheten i Privera ligger hos Itha AB:s ledning. Itha AB har en säkerhetsansvarig, som också är incidentansvarig enligt Incidentrutin. Någon ersättare är inte utsedd.

Kundens ledning ansvarar för kundens åtgärder enligt cybersäkerhetslagen och för att bedöma leverantören. Itha AB lämnar på begäran det underlag som kundens ledning behöver: det här säkerhetsunderlaget, SBOM:en, utkastet till säkerhetsbilaga och svar på frågor.

5. Artikel 23: kundens rapportering av incidenter

En kund som omfattas av lagen ska lämna en tidig varning inom 24 timmar från att den fått kännedom om en betydande incident, en incidentanmälan inom 72 timmar och en slutrapport senast en månad efter incidentanmälan. Så här stöder Itha AB det:

Underrättelse till kunden. Vid en aktivt utnyttjad sårbarhet eller en allvarlig incident som kan påverka kunden underrättar Itha AB berörda kunder utan onödigt dröjsmål, i steg som passar kundens rapportering: tidig varning, uppdatering och slutrapport. Den tidiga varningen ges senast 24 timmar efter att Itha AB fått kännedom, räknat under helgfria vardagar, och vid kännedom på en lördag, söndag, helgdag, midsommarafton, julafton eller nyårsafton senast klockan 12 närmast följande helgfria vardag. Uppdateringen ges senast 72 timmar efter kännedom, räknat på samma sätt. Se Incidentrutin avsnitt 5.
Följden för kunden. När kännedomen uppkommer nära eller under en helg kan Itha AB:s tidiga varning alltså komma senare än kundens egen frist på 24 timmar. Fristerna är satta efter vad en person utan jour kan hålla.
Underlag. Itha AB lämnar det underlag kunden behöver för sin egen anmälan: vad som har hänt, berörda versioner, vidtagna åtgärder och vad kunden kan göra.
Avtal. Fristerna blir avtalsvillkor först i säkerhetsbilagan till avtalet. Den finns som utkast för juristgranskning, och ingen kund har undertecknat den per 2026-10-23. Köpvillkoren nämner inte incidenter.
Kvarvarande uppgifter i en fil. Om kunden hittar en uppgift som skulle ha maskerats i en exporterad fil är det kunden som bedömer om det är en incident eller personuppgiftsincident hos kunden. Itha AB hjälper till att fastställa orsaken och meddelar om felet kan finnas i andra filer.
Itha AB:s egen rapportering. Itha AB rapporterar aktivt utnyttjade sårbarheter och allvarliga incidenter enligt CRA artikel 14, med tidig varning inom 24 timmar. Den fristen gäller alla dagar, men med en person och utan jour kan Itha AB inte garantera att en händelse som inträffar på en helg eller helgdag blir känd inom den tiden.

6. Kontaktvägar

Ärende	Kontakt
Säkerhet, sårbarheter och incidenter	[email protected], bevakas helgfria vardagar
Dataskyddsfrågor och begäran om underlag	[email protected]
Support	[email protected], helgfria vardagar klockan 09 till 18
Telefon	076 926 35 70 (besvaras i mån av möjlighet)

7. Det som saknas i dag, samlat

CE-märkning och EU-försäkran enligt CRA. Kravet gäller från 2027-12-11, se Plan för CRA.
Undertecknad säkerhetsbilaga om incidenter, revision och insyn. Utkast för juristgranskning finns.
Ersättare för säkerhetsärenden, bevakning på helger och övning av incidentrutinen.
Penetrationstest och oberoende kodgranskning. Offerter på penetrationstest tas in under hösten 2026, med mål att testet är genomfört under Q1 2027.
MFA och roller i programmet, och krypteringsnivå efter informationsklass.
Manipulationsskydd som hindrar ändringar, inte bara upptäcker dem, och insamling provad mot SIEM. Lagring av licensserverns säkerhetslogg.
Sårbarhetsskanning mot SBOM:en, och automatisk bevakning av motorns Python-paket och OCR-motorns bibliotek.
Signerat uppdateringsmanifest.
Garanterad lagring inom EU hos Cloudflare, och bekräftade personuppgiftsbiträdesavtal med one.com, Vercel och Neon.
MSI-paket och centralt förinstallerad språkmodell.
Prov av avvecklingsläget i ett installerat program på en ren dator, och avvecklingsnyckeln i förvaring offline.

Alla dokument finns också samlade i en PDF för e-post.