Kort sagt: VdS 10000 är en riktlinje från VdS Schadenverhütung för informationssäkerhet i små och medelstora företag. Den bygger enligt VdS på ISO 27001 och BSI:s grundskydd (IT-Grundschutz), men är betydligt smalare och skräddarsydd för medelstora företag. För webbplatser och webbservrar är framför allt förteckning, sårbarhetshantering, fjärråtkomst med flerfaktorsinloggning, datasäkerhetskopiering och hanteringen av säkerhetsincidenter viktiga.
Varför VdS 10000 är intressant för medelstora företag
Många företag vet att de borde gripa sig an informationssäkerhet mer strukturerat men skräms av arbetsinsatsen för en ISO 27001. Just för det är VdS 10000 tänkt. VdS beskriver den som en branschneutral åtgärdskatalog som varken ska överanstränga små och medelstora företag eller kommuner organisatoriskt eller ekonomiskt.
Två uppgifter från VdS hjälper vid inplaceringen. Arbetsinsatsen ligger enligt VdS på ungefär 20 procent jämfört med ISO 27001. Och BSI (tyska förbundskontoret för informationssäkerhet) bedömer kraven i VdS 10000 som en delmängd av baskydden i IT-Grundschutz. Riktlinjen är alltså ingen ersättning för de stora standarderna utan en realistisk ingång som enligt VdS är uppåtkompatibel.
För försäkringsgivare har VdS 10000 särskild tyngd, eftersom VdS är nära knutet till försäkringsbranschen. VdS framhåller att en certifiering kan skapa förtroende hos försäkringsgivare och hjälpa till att överföra restrisken. Vad det konkret betyder för ert försäkringsbrev klargör ni med försäkringsgivare eller mäklare; anvisningar om skadefallet står under Cyberförsäkring: vad som räknas vid skada.
Vad som är nytt i VdS 10000 version 2025
VdS har reviderat riktlinjen 2025. Enligt VdS har bland annat följande punkter tillkommit eller ändrats:
- Tydligare språk, så att även nybörjare förstår kraven.
- Bindande ansvar: Informationssäkerhetsansvariga och det tillhörande teamet måste utses officiellt.
- Flerfaktorsautentisering för fjärråtkomst blir obligatorisk.
- Datasäkerhetskopiering enligt flergenerationsprincipen, på olika platser och på olika medier.
- Omarbetad riskhantering med riktlinjer för bedömningskriterier och gränser från vilka en risk accepteras.
- Ett gemensamt kapitel ”Säkerhetsincidenter” som sammanför tidigare kapitel om störningar, bortfall och incidenter.
- Fysiska åtkomster som nycklar och passerbrickor regleras också i personalprocesserna.
Nyutgåvan beaktar dessutom riktlinjen VdS 10100, som beskriver NIS2-kraven. VdS ser VdS 10000 som en bas som dessa senare kan byggas ut på.
VdS 10000 och webbservern: vad som konkret ska göras
Riktlinjen talar inte om PHP eller enskilda webbservrar. Dess krav går dock att överföra direkt till webbinfrastrukturen. Följande tabell visar hur det kan se ut. Den är en tolkningshjälp, ingen officiell tolkning.
| Kravområde | Betydelse för webbplats och webbserver | Exempel från PHP2Shell-läget |
|---|---|---|
| Överblick över IT-system och risker | Webbplatser, webbshoppar, portaler och deras servrar är registrerade och bedömda | Direkt veta vilka system som använder PHP och i vilken version |
| Sårbarheter och uppdateringar | Säkerhetsuppdateringar installeras i god tid och dokumenteras | Patch till 8.5.12, 8.4.27, 8.3.36 eller 8.2.35, omstart av alla workers |
| Fjärråtkomst med flerfaktorsinloggning | SSH, hostingpanel och CMS-admin är extra skyddade | Stulna lösenord ensamma öppnar ingen administratörsåtkomst |
| Datasäkerhetskopiering | Flera generationer, åtskilda platser och medier | Återgång till en säkerhetskopia från före 17.10.2026 om det behövs |
| Säkerhetsincidenter | Rapporteringsväg, bedömning, dokumentation | Misstanke om webshell rapporteras och prövas, raderas inte i tysthet |
| Leverantörer | Hostingleverantör och byrå är avtalsmässigt inbundna | Skriftlig patchbekräftelse från hostingleverantören |
För datasäkerhetskopiering lönar sig en blick på Säkerhetskopior enligt 3-2-1-regeln, för fjärråtkomsterna på Tvåfaktorsinloggning för administratörsåtkomster. Båda delarna stämmer väl med de nya skyldigheterna i versionen 2025.
Hur går SMF realistiskt tillväga?
VdS 10000 går att använda som vägledning även utan certifieringsmål. En pragmatisk väg börjar med förteckningen, eftersom inget annat krav går att uppfylla rent utan överblick. Därefter följer punkterna med störst effekt per arbetsinsats: flerfaktorsinloggning, fungerande säkerhetskopior med återställningstest och en tydlig rapporteringsväg vid misstanke.
Först när dessa grunder är på plats lönar sig den formella sidan med riktlinjer, utsedda ansvariga och riskbedömning. Den som senare strävar efter en certifiering hittar förfarandet i VdS:s underlag; själva granskningen tar certifieringsorganet hand om, inte en leverantör som vi.
Ett vanligt snubbelsteg i medelstora företag är frågan om vem som tar rollen som informationssäkerhetsansvarig. Versionen 2025 kräver en officiell utnämning. I små företag hamnar uppgiften ofta hos IT-chefen eller hos ledningen själv. Det är möjligt så länge tid och befogenheter är realistiskt tilltagna. Viktigt är att personen också har koll på de webbplatser som marknadsföringen eller en byrå sköter. Just de faller gärna igenom rastret vid den första inventeringen eftersom de inte körs i det egna datacentret. En enkel regel hjälper: Varje domän som företaget äger har en ansvarig person och en post i förteckningen.
För webbservern innebär det: Härdning och patchdisciplin är ingen överkurs vid sidan av riktlinjen utan precis det den kräver i vardagen. Vad som hör dit beskriver Serverhärdning för PHP-webbservrar. Jämförelsen med de stora standarderna drar inlägget ISO 27001 och TISAX: vad som berör webbservrar.
Hur hjälper PHP SOS konkret?
- Vi tar tillsammans med er fram förteckningen över era webbplatser, servrar och PHP-versioner och markerar de kritiska systemen.
- Vi genomför de tekniska kraven vid webbservern: uppdateringar med underlag, flerfaktorsinloggning för fjärråtkomst, härdning och kontroll av säkerhetskopior.
- Vi dokumenterar det så att era informationssäkerhetsansvariga kan föra in det i VdS-underlagen.
- Vi lovar ingen certifiering. Om kraven är uppfyllda bedömer granskningsorganet.
Slutsats
VdS 10000 är en ram som ska tas på allvar men som är görbar för medelstora företag. Versionen 2025 skärper just de punkter som också räknas efter PHP2Shell: ansvariga, flerfaktorsinloggning, bra säkerhetskopior och ett reglerat sätt att hantera incidenter. Den som börjar vid webbservern får snabbt synliga framsteg och en solid grund för mer.
Vanliga frågor
Vem är VdS 10000 avsedd för?
Enligt VdS för små och medelstora företag samt kommuner och kommunala bolag. Den är branschneutral och ska varken överanstränga organisationen eller ekonomin. Enligt VdS kan även större organisationer tillämpa den.
Vad är skillnaden mellan VdS 10000 och ISO 27001?
VdS 10000 bygger enligt VdS på ISO 27001 och BSI:s grundskydd (IT-Grundschutz), men är skräddarsydd för SMF och betydligt smalare. VdS uppskattar arbetsinsatsen till ungefär 20 procent jämfört med ISO 27001 och beskriver riktlinjen som uppåtkompatibel, alltså som en möjlig ingång till ISO 27000-serien.
Hjälper VdS 10000 med NIS2?
VdS beskriver nyutgåvan 2025 som en bas som NIS2-kraven senare kan byggas ut på. För det finns den egna riktlinjen VdS 10100. Om ert företag omfattas av NIS2 och vad som i så fall gäller klargör ni separat.
Finns det en version för produktionsanläggningar?
Ja. För industriella automationssystem publicerar VdS vägledningen VdS 10020, som tolkar VdS 10000 för det området.