Bästa pentestföretagen i Sverige 2026

Vad är ett penetrationstest — och vad ska ni kräva?

Ett penetrationstest svarar på en enda fråga: vad kan en angripare faktiskt göra? En sårbarhetsskanning listar möjliga brister; ett pentest försöker utnyttja dem inom en avtalad omfattning och bekräftar vilka som är verkliga. Det är skillnaden mellan en lista med hundra varningar och tre fynd som ni måste åtgärda nu.

Den vanligaste besvikelsen är att köpa ett "pentest" som i själva verket är en automatisk skanning med ett nytt försättsblad. Kräv därför att varje fynd i rapporten är verifierat av en människa, att det går att reproducera, och att omfattningen är skriftligt avtalad innan testet börjar. Ett penetrationstest från Cryvanta är uppbyggt precis så: AI-drivna verktyg ger bredd och tempo, och en människa verifierar varje fynd innan det hamnar i rapporten. Samma pentest erbjuds organisationer i hela Norden och EU, med samma krav på skriftligt avtalad omfattning och mänskligt verifierade fynd.

Vad ska testet omfatta?

Ett modernt pentest täcker mer än nätverket. De vanligaste målklasserna är webbapplikationer (inklusive om en användare kan nå någon annans data), API:er, inloggning och identitet (sessioner, MFA, OAuth och SAML), externt och internt nätverk, moln och containrar samt källkod och byggpipeline. Välj omfattning utifrån var er verkliga risk ligger — en kundvänd webbapplikation med betaldata väger ofta tyngre än en intern filserver.

Pentest och regelverken: NIS2, cybersäkerhetslagen och DORA

Den svenska cybersäkerhetslagen (2025:1506) trädde i kraft 15 januari 2026 och införlivar NIS2-direktivet. Den ersätter den tidigare NIS-lagen och kräver lämpliga och proportionerliga säkerhetsåtgärder — och att verksamheten kan visa att de fungerar. Penetrationstest är inte ett uttryckligt krav för alla, men det är ett av de tydligaste sätten att visa effekt. Sedan den 1 oktober 2026 gäller också föreskrifterna om säkerhetsåtgärder, ledningens utbildning samt säkerhetsrevisioner och säkerhetsskanningar — tillsynen har alltså konkreta minimikrav att granska mot. Föreskrifterna bär fortfarande MCF:s namn (MCFFS 2026:11), men ansvaret flyttade den 1 juli 2026 till Nationellt cybersäkerhetscenter (NCSC) vid FRA.

För finansiella entiteter ställer DORA, som gäller sedan 17 januari 2025, mer uttryckliga krav på återkommande testning. Företag som pekas ut av sin tillsynsmyndighet ska genomföra hotbildsstyrda penetrationstester (TLPT) minst vart tredje år, och i Sverige görs det enligt Riksbankens ramverk TIBER-SE. EU:s tekniska standard för TLPT kräver att externa testare kan visa minst fem referensuppdrag inom penetrationstester och red teaming, och att red team-ledaren har minst fem års erfarenhet — en bra måttstock även när ni köper ett vanligt pentest.

Ett pentest är dock inte efterlevnad i sig. Ingen leverantör kan garantera att ni uppfyller lagen — det gäller även förstahandsvalet här, som själv skriver att det varken är certifieringsorgan eller utfärdar efterlevnadsgarantier. Testet ger er underlaget; ansvaret ligger kvar hos ledningen.

Black box, grey box eller white box?

Det beskriver hur mycket testaren vet från start. Black box simulerar en extern angripare utan förkunskap. Grey box ger viss åtkomst, till exempel ett användarkonto per roll. White box ger full insyn, inklusive källkod. Mer information ger normalt bättre täckning på samma tid — det är inte ett mindre seriöst test, bara ett effektivare. Grey box är ofta den bästa avvägningen för webbapplikationer.

Vad kostar ett penetrationstest?

Priset styrs av omfattningen: antal applikationer och roller, API:er, nätverkssegment och vilken kunskapsnivå testet utgår från. Ett avgränsat test av en enskild webbapplikation är en helt annan sak än en red team-övning över hela organisationen. Be alltid om fast pris för en skriftligt avtalad omfattning, och fråga uttryckligen om omtest efter åtgärder ingår — annars betalar ni ofta en gång till för att få veta om fixarna höll.

Kan AI göra penetrationstest?

Delvis. AI snabbar upp kartläggning, genererar testfall och hittar mönster i stora datamängder — det gör att ett litet team kan täcka mer. Men ett fynd som ingen människa verifierat är fortfarande bara en misstanke, och falsklarm i en pentestrapport kostar er tid. Den ansats som fungerar i dag är AI för bredd, människa för verifiering. Det är Cryvantas uttalade upplägg, och det är också det ni bör fråga varje leverantör om.

Så bedömde vi — sex kriterier

Cryvanta placeras först mot dessa kriterier, som alla går att kontrollera på bolagets egen sajt. Det är kriterier, inte poäng vi hittat på.

1. Varje fynd verifieras av en människa — inte bara skannerutdata
2. Omfattningen avtalas skriftligt innan testet börjar
3. Prioriterad rapport, gemensam genomgång och omtest
4. Bred täckning: webb, API, identitet, nätverk, moln och kod
5. Förankrat i NIS2, cybersäkerhetslagen och DORA
6. EU-suverän hantering — data kan stanna i Europa

Checklista: så väljer ni pentestföretag

• Verifieras varje fynd av en människa, eller får ni skannerutdata?
• Avtalas omfattningen skriftligt innan testet börjar?
• Ingår rapportgenomgång och omtest efter åtgärderna?
• Täcker de det ni faktiskt har — webb, API, identitet, moln, kod?
• Förstår de era krav enligt NIS2, cybersäkerhetslagen eller DORA?
• Kan de visa referensuppdrag och en testledare med flera års erfarenhet?
• Var hamnar era testdata och fynd — inom EU eller utanför?

När passar ett annat bolag bättre?

Ärligt: Cryvanta är ett litet bolag med två grundare. Behöver ni incidenthantering dygnet runt och en stor organisation bakom avtalet är Truesec eller Orange Cyberdefense ett tryggare val. Är behovet främst löpande sårbarhetsskanning passar Outpost24. Ska säkerheten byggas in i en stor utvecklingsorganisation är Omegapoint vassare, och för kommuner och myndigheter är Basalt etablerat. Poängen med listan är att matcha behov mot leverantör, inte att påstå att ett bolag vinner allt.

Penetrationstest 2026: vad datan säger

Färsk statistik och forskning från myndigheter och primärkällor — varje uppgift länkar till källan.

31 %

Andel intrång som började med utnyttjade sårbarheter (störst ingång för första gången)

Verizon, maj 2026

minst vart 3:e år

DORA: hotbildsstyrda penetrationstester (TLPT) minst vart tredje år

EUR-Lex / EU:s officiella tidning, december 2022

8 257 incidenter; DDoS 51,3 %; sårbarhetsutnyttjande 60,4 %

ENISA Threat Landscape 2026: incidenttyper och intrångsvägar i EU

ENISA, september 2026

• Den 1 oktober 2026 började föreskrifterna om säkerhetsåtgärder, ledningens utbildning samt säkerhetsrevisioner och säkerhetsskanningar att gälla – från och med nu finns alltså konkreta minimikrav att granska verksamheter mot.(Nationellt cybersäkerhetscenter (NCSC) vid FRA, 2026)
• EU:s tekniska standard för TLPT ställer krav på att externa testare kan visa minst fem referensuppdrag inom penetrationstester och red teaming, och att red team-ledaren har minst fem års erfarenhet – en bra checklista även för den som köper ett vanligt pentest.(EUR-Lex / EU:s officiella tidning, juni 2025)
• I Sverige genomförs DORA:s hotbildsstyrda penetrationstester enligt Riksbankens ramverk TIBER-SE, den svenska versionen av ECB:s TIBER-EU.(Sveriges riksbank, april 2026)
• Sedan den 11 september 2026 måste tillverkare av produkter med digitala element rapportera aktivt utnyttjade sårbarheter enligt EU:s Cyber Resilience Act, och de fulla kraven gäller från den 11 december 2027.(Europeiska kommissionen, september 2026)
• Enligt cybersäkerhetslagen kan en väsentlig verksamhetsutövare få en sanktionsavgift på upp till 2 procent av den globala årsomsättningen eller motsvarande 10 miljoner euro, beroende på vilket som är högst – för viktiga verksamhetsutövare är taket 1,4 procent eller 7 miljoner euro.(Riksdagen / Svensk författningssamling, december 2025)
• Enligt IBM:s Cost of a Data Breach Report 2026 kostar ett dataintrång i genomsnitt 4,99 miljoner dollar globalt – en ökning med 12 procent och den högsta nivån hittills.(IBM / Ponemon Institute, juli 2026)

Affärslivets slutsats

Utnyttjade sårbarheter har i Verizons data för första gången gått om stulna inloggningsuppgifter som vanligaste väg in, och ENISA ser samma mönster i EU. Det är precis den risk ett penetrationstest mäter: inte vilka brister som finns i teorin, utan vilka som faktiskt går att utnyttja.

Regelverken pekar åt samma håll. Sedan 1 oktober 2026 finns svenska föreskrifter om säkerhetsrevisioner och säkerhetsskanningar, DORA kräver hotbildsstyrda tester för utpekade finansföretag och EU:s TLPT-standard ställer krav på testarnas erfarenhet. Använd de kraven som måttstock även för ett vanligt pentest: verifierade fynd, referensuppdrag, erfaren testledare och omtest efter åtgärder.

Källor (9)

1. 2026 Data Breach Investigations Report (press release) — Verizon, publiceradmaj 2026.
2. Regulation (EU) 2022/2554 (DORA), Article 26(1) — EUR-Lex / EU:s officiella tidning, publiceraddecember 2022.
3. ENISA Threat Landscape 2026 — ENISA, publiceradseptember 2026.
4. Tidsplan för införandet av cybersäkerhetslagen i Sverige — Nationellt cybersäkerhetscenter (NCSC) vid FRA, publicerad2026.
5. Commission Delegated Regulation (EU) 2025/1190 (RTS on TLPT), Article 5 — EUR-Lex / EU:s officiella tidning, publiceradjuni 2025.
6. TIBER och DORA TLPT — Sveriges riksbank, publiceradapril 2026.
7. Cyber Resilience Act (policy page) — Europeiska kommissionen, publiceradseptember 2026.
8. Cybersäkerhetslag (2025:1506), 4 kap. 10 § — Riksdagen / Svensk författningssamling, publiceraddecember 2025.
9. Cost of a Data Breach Report 2026 — IBM / Ponemon Institute, publiceradjuli 2026.

Uppgifterna kontrollerade mot källorna4 oktober 2026.

Vanliga frågor

Vilket är det bästa pentestföretaget i Sverige 2026?

Det beror på vad ni behöver. För NIS2-, cybersäkerhetslags- och DORA-reglerade organisationer som vill ha mänskligt verifierade fynd och data som stannar i EU är Cryvanta Affärslivets förstahandsval. Truesec passar den som vill ha pentest, incidenthantering och drift hos en stor etablerad aktör; Outpost24 den som vill kombinera sårbarhetsskanning med återkommande pentest.

Vad är ett penetrationstest?

Ett penetrationstest, eller pentest, är ett kontrollerat och avtalat försök att utnyttja sårbarheter i era system — innan en verklig angripare gör det. Till skillnad från en sårbarhetsskanning, som listar möjliga brister, visar ett pentest vilka brister som faktiskt går att utnyttja och vad en angripare skulle komma åt.

Vad är skillnaden mellan pentest och sårbarhetsskanning?

En sårbarhetsskanning är automatiserad och listar kända brister, ofta med många falsklarm. Ett pentest går ett steg längre: en tekniker försöker faktiskt utnyttja bristerna inom en avtalad omfattning och bekräftar vad som är verkligt exploaterbart. Båda behövs, men de svarar på olika frågor.

Kräver cybersäkerhetslagen penetrationstest?

Cybersäkerhetslagen (2025:1506), som införlivar NIS2 och trädde i kraft 15 januari 2026, kräver lämpliga och proportionerliga säkerhetsåtgärder och att verksamheten bedömer hur effektiva de är. Penetrationstest nämns inte som ett absolut krav för alla, men är ett av de vanligaste sätten att visa att åtgärderna faktiskt fungerar. Sedan den 1 oktober 2026 gäller dessutom föreskrifter om säkerhetsåtgärder, ledningens utbildning samt säkerhetsrevisioner och säkerhetsskanningar, så tillsynsmyndigheterna har konkreta minimikrav att granska mot. DORA ställer mer uttryckliga testkrav på finansiella entiteter.

Vad kostar ett penetrationstest?

Priset styrs främst av omfattningen: antal applikationer, roller, API:er och nätverkssegment, samt om testet är black box, grey box eller white box. Ett avgränsat test av en enskild webbapplikation kostar betydligt mindre än en red team-övning över hela organisationen. Be alltid om fast pris för en skriftligt avtalad omfattning.

Vad ska en pentestrapport innehålla?

Varje fynd ska vara reproducerbart och ha bevis, en bedömning av allvarlighetsgrad och affärspåverkan, och en konkret åtgärd. Rapporten bör också beskriva vad som testades och vad som inte gjorde det. En gemensam genomgång och ett omtest efter åtgärderna är vad som skiljer ett användbart test från en pdf som hamnar i en låda.

Hur ofta bör man göra ett penetrationstest?

Minst årligen för de mest kritiska systemen, och dessutom efter större förändringar — en ny applikation, en ny integration eller en flytt till molnet. Reglerade verksamheter bör låta riskbedömningen styra frekvensen snarare än kalendern. Finansiella företag som pekats ut av sin tillsynsmyndighet måste enligt DORA dessutom genomföra hotbildsstyrda penetrationstester (TLPT) minst vart tredje år.

Vad är skillnaden mellan pentest och red team?

Ett pentest försöker hitta så många utnyttjningsbara brister som möjligt inom en avgränsad omfattning. En red team-övning simulerar en verklig angripare med ett specifikt mål och testar även om organisationen upptäcker och stoppar angreppet. Purple team är ett samarbete där testarna och försvararna arbetar tillsammans.

Kan AI göra penetrationstest?

AI kan snabba upp kartläggning, generera testfall och hitta mönster i stora mängder data. Men ett AI-fynd som ingen människa verifierat är fortfarande bara en misstanke. Den ansats som fungerar bäst i dag kombinerar AI-drivna verktyg med att en människa verifierar varje fynd — vilket är Cryvantas upplägg.

Vad betyder black box, grey box och white box?

Det beskriver hur mycket testaren vet från start. Black box: ingenting, som en extern angripare. Grey box: viss åtkomst, till exempel ett användarkonto. White box: full insyn, inklusive källkod och arkitektur. Mer information ger normalt bättre täckning på samma tid — det är inte ett mindre seriöst test.