Är ni redo för AI?
Copilot läser allt den får åtkomst till, även det ni har glömt att det ligger där. Vi kontrollerar vad det är, innan ni släpper lös den.
Förhandsversion
Beställning öppnar snart
Vissa delar av tjänsten är ännu inte översatta, så beställning på svenska öppnar inom kort. Boka gärna 30 minuter med oss under tiden.
Boka 30 minuterSå här ser rapporten ut
Det här är första sidan i en riktig rapport, som den ser ut. Ett svar på om ni är redo, siffrorna bakom och hur varje område står. Siffrorna kommer från en anonymiserad körning hos en norsk verksamhet.
Utdraget är rapportens egen första sida, hämtad från en anonymiserad körning. Er egen rapport bygger enbart på mätningar i er egen miljö.
Fyra steg. Ni gör två av dem.
Nils Martin Egge
Nils Martin leder cyberavdelningen i Enora. Han har bred erfarenhet av säkerhet som CISO, konsult och ansvarig för tjänsteområdet i Enora, med Microsoft 365 som specialområde. Hans filosofi är att göra komplex säkerhet begriplig. Lösningen, principerna och kontrollpunkterna i den här tjänsten är resultatet av just det.
Vad vi får se, och vad vi inte får se För IT
Behörigheten är läsande och tas bort med ett klick i ert eget administrationscenter. All aktivitet loggas hos er.
| Område | Vad vi använder det till |
|---|---|
| Användare och roller | Vem har administratörsrättigheter, vem saknar tvåfaktorsautentisering |
| Delning | Vad som delas med alla, med vem utanför, och hur mycket som delas anonymt |
| Klassificering | Om ni har känslighetsetiketter, och om de faktiskt används |
| Licenser och appar | Copilot-licenser ni har och använder, och AI-verktyg som redan används |
| Innehåll | Hur mycket som inte har rörts på över två år, och vad som saknar ägare |
Vi läser aldrig innehållet i e-post, dokument eller filer.
Väljer IT att ge utökad åtkomst till e-postsäkerhet finns det en behörighet i Microsofts lista som heter «Manage Exchange As Application». Namnet är Microsofts, och missvisande. Den låter vårt program ansluta till Exchange, och rollen vi får är Global Reader, som bara kan läsa. Försök att ändra något avvisas av Microsoft, inte av oss.Vanliga frågor
Varför är det kostnadsfritt? För att de flesta som ser rapporten vill ha hjälp att städa innan AI tas i bruk. Det är det arbetet vi lever av.
Måste vi ha Copilot-licenser? Nej. Bedömningen handlar om miljön AI ska arbeta i, inte om licensen.
Vad händer om vi inte är kund hos Enora? Det behöver ni inte vara.
Kan vi dra tillbaka behörigheten? När som helst, med ett klick hos er själva. Den finns kvar tills ni gör det, även efter att rapporten har levererats.
Personuppgiftsbiträdesavtalet, version 1.4 Hela texten
Version 1.4, 10 oktober 2026. Gäller Security Assessment och AI Readiness Assessment.
1. Parterna
Den verksamhet som beställer tjänsten, företrädd av den som bekräftar avtalet vid beställningen, är personuppgiftsansvarig enligt GDPR artikel 4.7.
Enora AS, organisationsnummer 935 701 430, som utför tjänsten för beställarens räkning, är personuppgiftsbiträde enligt GDPR artikel 4.8.
Avtalet ingås elektroniskt vid beställningen. Beställaren bekräftar samtidigt sin behörighet att ingå avtalet för verksamhetens räkning. Enora loggar avtalsversion, tidpunkt, namn och e-postadress för bekräftelsen och kan på begäran visa upp denna dokumentation.
2. Behandlingens ändamål, art och varaktighet
Ändamålet är att genomföra en teknisk bedömning av den personuppgiftsansvariges Microsoft 365-miljö och leverera en rapport med iakttagelser och rekommendationer.
Behandlingen består av:
- insamling av inställningar och metadata med hjälp av läsbehörighet som den personuppgiftsansvarige själv ger,
- automatisk bedömning av dessa uppgifter mot fasta kontrollpunkter,
- formulering av rapportens textavsnitt med hjälp av en språkmodell, se punkt 7,
- kvalitetssäkring av en rådgivare hos Enora Cyber,
- leverans av rapporten till den personuppgiftsansvarige.
Behandlingen pågår från det att behörighet ges till dess att rådata och rapport har raderats enligt tidsfristerna i punkt 9.
3. Kategorier av registrerade och personuppgifter
Registrerade: den personuppgiftsansvariges anställda och andra med användarkonto i den personuppgiftsansvariges Microsoft 365-miljö, inklusive gästanvändare, samt den som besvarar frågeformuläret.
Kategorier av personuppgifter:
- användarkontots identifierare (e-postadress eller användarnamn) och visningsnamn
- tilldelade roller, behörigheter och licenser
- tidpunkt, klienttyp och land för inloggning
- uppgifter om enheter kopplade till kontot, till exempel enhetsnamn, operativsystem och status för kryptering och uppdatering
- konfiguration kopplad till det enskilda kontot, till exempel om tvåfaktorsinloggning är registrerad, regler för vidarebefordran av e-post och medgivanden som lämnats till applikationer
- svar som lämnats i frågeformuläret, inklusive uppgifter som den som svarar väljer att lämna i fritext
- om den personuppgiftsansvarige har valt läckagekontroll: uppgift om huruvida en e-postadress förekommer i allmänt kända dataläckor, och vilka läckor det gäller
Innehållet i e-post, dokument och filer behandlas inte. Den behörighet som ges är läsbehörighet till inställningar och metadata. Om den personuppgiftsansvarige frivilligt laddar upp dokumentation behandlas innehållet i de uppladdade dokumenten.
Enora begär inte, och har inte behov av, särskilda kategorier av personuppgifter enligt GDPR artikel 9. Den personuppgiftsansvarige ska inte lämna sådana uppgifter i fritextfält eller i uppladdad dokumentation.
4. Instruktioner
Enora behandlar personuppgifter endast enligt dokumenterade instruktioner från den personuppgiftsansvarige.
Den personuppgiftsansvarige ger Enora AS följande instruktion: Enora samlar in, läser, sammanställer, bedömer och på annat sätt behandlar personuppgifter i den utsträckning det är nödvändigt för att utföra den avtalade tjänsten och leverera rapporten, inklusive de behandlingar som beskrivs i punkt 2, 5, 6 och 7.
Om Enora anser att en instruktion strider mot dataskyddsregelverket ska Enora utan onödigt dröjsmål underrätta den personuppgiftsansvarige.
5. Valfria tillägg
Följande behandlingar sker endast när den personuppgiftsansvarige aktivt har valt dem vid beställningen. De är inte förvalda.
5.1 Ekstern kartlegging
Enora hämtar in offentligt tillgängliga uppgifter om de domäner som är registrerade i den personuppgiftsansvariges Microsoft 365-miljö och om domäner som den personuppgiftsansvarige eventuellt har angett: inställningar för e-postskydd i DNS, tjänster som svarar på internet, kända sårbarheter registrerade i offentliga index, underdomäner registrerade i certifikatloggar samt uppgifter från det norska Enhetsregisteret. Enora skannar inte själv, loggar inte in och testar inte sårbarheter.
Uppgifterna avser domäner, adresser och tjänster, inte enskilda personer. Skulle en personuppgift ändå förekomma, till exempel ett namn i en offentligt registrerad post, behandlas den enligt detta avtal.
5.2 Lekkasjesjekk
Enora undersöker om de anställdas e-postadresser i Microsoft 365 förekommer i allmänt kända dataläckor. Sökningen görs mot tjänsten Have I Been Pwned.
E-postadresserna skickas till tjänsten över en krypterad förbindelse för sökning. Inga lösenord, namn eller andra uppgifter skickas. Tjänsten drivs från Australien, se punkt 7 om överföring. En träff innebär att adressen förekommer i en läcka som redan är allmänt känd.
Syftet är att klarlägga vilka av verksamhetens konton som är exponerade, så att lösenord kan bytas och tvåfaktorsinloggning kontrolleras. Rapporten visar antal och tidpunkt samt de administratörskonton som berörs, eftersom dessa måste åtgärdas omedelbart. Den fullständiga listan över berörda konton lämnas ut till den personuppgiftsansvarige på begäran.
Väljs läckagekontrollen inte skickas inga uppgifter till tjänsten.
6. Tystnadsplikt och begränsad åtkomst
Kretsen av personer som har åtkomst till uppgifterna är begränsad till de medarbetare hos Enora som har ett tjänsterelaterat behov av att utföra tjänsten och bistå den personuppgiftsansvarige med den.
Var och en som får åtkomst omfattas av tystnadsplikt, både beträffande personuppgifter och beträffande övriga uppgifter som framkommer vid bedömningen. Tystnadsplikten gäller även efter att uppdraget har avslutats och efter att anställningen hos Enora eventuellt har upphört.
7. Underbiträden och överföring utanför EES
Den personuppgiftsansvarige ger Enora ett allmänt skriftligt förhandstillstånd att anlita underbiträden, jfr GDPR artikel 28.2. Enora ska se till att underbiträden åläggs samma skyldigheter som följer av detta avtal.
Följande underbiträden används i tjänsten:
| Underbiträde | Ändamål | Plats för behandling |
|---|---|---|
| Microsoft Ireland Operations Ltd. (Microsoft Azure) | Drift av tjänsten, lagring av insamlade uppgifter och rapporter | Europeiska unionen, lagring i Sverige |
| Microsoft Ireland Operations Ltd. (Azure AI Foundry) | Språkmodell som formulerar rapportens textavsnitt | Kan behandlas utanför EES, se nedan |
| Superlative Enterprises Pty Ltd (Have I Been Pwned) | Sökning mot allmänt kända dataläckor, endast vid vald läckagekontroll | Australien |
Överföring utanför EES. Rapportens textavsnitt formuleras av en språkmodell i Azure AI Foundry. Tjänsten använder distributionstypen Global Standard, vilket innebär att den enskilda förfrågan kan behandlas i Microsofts datacenter utanför EES. Uppgifterna lagras inte hos modelleverantören och används inte för att träna modeller.
Microsoft Corporation är certifierat enligt EU-US Data Privacy Framework. Sker behandlingen i USA är grunden för överföringen kommissionens beslut om adekvat skyddsnivå för detta ramverk. Sker behandlingen i ett land utanför ramverkets tillämpningsområde är grunden EU:s standardavtalsklausuler (SCC) såsom de ingår i Microsofts villkor för personuppgiftsbehandling (Microsoft Products and Services Data Protection Addendum). Enora arbetar för att begränsa behandlingen till datacenter inom EU så snart Microsoft gör det möjligt för den aktuella modellen.
Om den personuppgiftsansvarige har valt läckagekontroll överförs e-postadresser till Have I Been Pwned i Australien. Australien omfattas inte av något beslut om adekvat skyddsnivå, och överföringen sker på grundval av EU:s standardavtalsklausuler i leverantörens personuppgiftsbiträdesavtal. Enora har genomfört en bedömning av överföringen (transfer impact assessment), se Bilaga B.
Enora ska skriftligen underrätta den personuppgiftsansvarige minst 30 dagar innan nya underbiträden anlitas eller byts ut. Den personuppgiftsansvarige kan inom denna tid skriftligen invända mot ändringen.
8. Säkerhet för personuppgifter
Enora vidtar lämpliga tekniska och organisatoriska åtgärder för att uppnå en säkerhetsnivå som är lämplig i förhållande till risken, jfr GDPR artikel 32. Åtgärderna omfattar bland annat:
- Åtkomst. Insamlingen sker med läsbehörighet genom en applikation som den personuppgiftsansvarige själv godkänner och när som helst kan återkalla. Applikationen har ingen skrivbehörighet.
- Lagring. Uppgifterna lagras krypterade i Microsoft Azure i Sverige, både vid överföring och vid lagring.
- Behörighetsstyrning hos Enora. Åtkomst ges endast till namngivna medarbetare genom personliga konton med tvåfaktorsinloggning, styrd genom grupper och rollbaserad åtkomst. Delade konton används inte.
- Pseudonymisering. Identifierare pseudonymiseras i den automatiska behandlingen. Klartext används endast där rapporten måste namnge det enskilda kontot för att den personuppgiftsansvarige ska kunna åtgärda iakttagelsen, och i den interna översikten över konton som berörs av läckor.
- Rapportens tillgänglighet. Rapporten är tillgänglig endast för användare i den personuppgiftsansvariges egen Microsoft 365-miljö, med ett slutdatum för åtkomsten. Varje öppning av rapporten loggas.
- Loggning. Insamling, bedömning, ändringar som gjorts av rådgivare och utskick av rapport loggas med tidpunkt och vem som utförde åtgärden.
- Radering. Automatiska rutiner för radering enligt tidsfristerna i punkt 9.
9. Radering och återlämnande
Rådata, det vill säga insamlade uppgifter, mellanresultat och eventuella dokument som den personuppgiftsansvarige har laddat upp, raderas automatiskt 14 dagar efter att rapporten har levererats.
Den personuppgiftsansvariges åtkomst till rapporten gäller i 30 dagar från leveransen. Åtkomsten kan förlängas av Enora på begäran av den personuppgiftsansvarige.
Enoras eget exemplar av rapporten sparas i högst 6 månader efter leveransen. Rapporten innehåller vissa personuppgifter, främst användarnamn på konton som berörs av en iakttagelse. Lagringen är nödvändig för att dokumentera vad som levererades, för att kunna besvara frågor från den personuppgiftsansvarige om iakttagelserna och för att ge fortsatt rådgivning under den tid iakttagelserna fortfarande är aktuella. Därefter raderas rapporten automatiskt.
Den personuppgiftsansvarige kan när som helst begära att rapporten raderas tidigare. Raderingen sker då inom 30 dagar och bekräftas skriftligen.
Efter radering behåller Enora inga personuppgifter från uppdraget. Enora behåller anonym statistik enligt punkt 10.
10. Anonym statistik
Enora sammanställer anonym statistik från genomförda bedömningar för att kunna visa den personuppgiftsansvarige hur verksamheten ligger till jämfört med andra verksamheter.
Statistiken innehåller endast status per kontrollpunkt, det vill säga om kontrollen är på plats, delvis på plats eller saknas, samt antalet verksamheter bakom varje siffra. Den innehåller inte verksamhetsnamn, organisationsnummer, referensnummer, personuppgifter eller text från rapporten och kan inte härledas till den enskilda verksamheten eller personen. Jämförelsesiffror visas endast när minst fem verksamheter ligger bakom siffran.
Eftersom statistiken inte innehåller personuppgifter omfattas den inte av raderingsskyldigheten i punkt 9.
11. Bistånd till den personuppgiftsansvarige
11.1 Enora ska, i den mån det är möjligt, bistå den personuppgiftsansvarige med att fullgöra skyldigheten att besvara begäranden från registrerade om utövande av deras rättigheter enligt GDPR kapitel 3. Vänder sig en registrerad direkt till Enora vidarebefordras begäran till den personuppgiftsansvarige utan onödigt dröjsmål.
11.2 Enora ska bistå den personuppgiftsansvarige med att fullgöra skyldigheterna enligt GDPR artiklarna 32 till 36, med beaktande av behandlingens art och de uppgifter som Enora har tillgång till.
11.3 Enora ska ge den personuppgiftsansvarige tillgång till all information som krävs för att visa att skyldigheterna enligt GDPR artikel 28 har fullgjorts, samt möjliggöra och bidra till granskningar, inbegripet inspektioner, som genomförs av den personuppgiftsansvarige eller av en revisor som har bemyndigats av denne. Den personuppgiftsansvarige meddelar sådan granskning minst 30 dagar i förväg. Enoras kostnader för granskning utöver ordinarie dokumentation bärs av den personuppgiftsansvarige.
12. Personuppgiftsincidenter
Enora ska utan onödigt dröjsmål skriftligen underrätta den personuppgiftsansvarige om personuppgiftsincidenter som berör den personuppgiftsansvariges uppgifter. Underrättelsen skickas så snart Enora har tillräcklig överblick för att den ska ge den personuppgiftsansvarige ett underlag att agera på, och kompletteras i takt med att händelsen har kartlagts.
Underrättelsen ska så långt det är möjligt beskriva incidentens art, vilka kategorier av och ungefärligt antal registrerade och uppgifter som berörs, sannolika konsekvenser samt åtgärder som har vidtagits eller föreslås. Enora ska bistå den personuppgiftsansvarige med den information som behövs för att bedöma anmälan till Datatilsynet och eventuell information till de registrerade.
Enora anmäler inte incidenter till Datatilsynet för den personuppgiftsansvariges räkning om inte detta särskilt har avtalats.
13. Avtalets giltighetstid och upphörande
Avtalet gäller så länge Enora behandlar personuppgifter för den personuppgiftsansvariges räkning i samband med tjänsten.
Vid upphörande raderas uppgifterna enligt tidsfristerna i punkt 9. Bestämmelserna om tystnadsplikt i punkt 6 gäller även efter upphörandet.
14. Förhållandet till Enoras standardvillkor
Detta avtal reglerar behandlingen av personuppgifter. Övriga förhållanden mellan parterna, inklusive ansvar och ansvarsbegränsning, immateriella rättigheter, lagval och forum, regleras av Enoras standardvillkor. Vid motstridighet mellan detta avtal och standardvillkoren har detta avtal företräde i frågor om behandling av personuppgifter.
Bilaga A: Vad som hämtas från Microsoft 365
Översikten visar vilka uppgifter Enora hämtar och på vilken behörighetsnivå. Nivå 1 är standardläsbehörighet. Nivå 2 är utökad behörighet som den personuppgiftsansvarige kan välja som tillägg och som när som helst kan återkallas.
| Område | Vad som hämtas | Personuppgifter | Nivå |
|---|---|---|---|
| Organisation och licenser | Uppgifter om klientorganisationen (tenant), domäner, köpta och tilldelade licenser | Nej | 1 |
| Användare och grupper | Användarkonton, visningsnamn, roller, gäster, grupper, senaste inloggning | Ja | 1 |
| Autentisering | Om tvåfaktorsautentisering är registrerad per konto, metoder som används, självbetjänad lösenordsåterställning | Ja | 1 |
| Administratörer | Rolltilldelningar, om de är permanenta eller tidsbegränsade, aktivitet | Ja | 1 |
| Villkorsstyrd åtkomst | Principer, tillstånd, undantag | Nej | 1 |
| Enheter | Registrerade och hanterade enheter, operativsystem, kryptering, uppdateringsstatus, antivirusstatus | Ja, kopplat till enhet och ägare | 1 |
| Applikationer | Registrerade appar, tjänsthuvudnamn, medgivanden som användare har lämnat, autentiseringsuppgifter som löper ut | Ja, vem som lämnade medgivandet | 1 |
| Delning och lagring | Inställningar för SharePoint och OneDrive, delningsomfång, offentliga grupper | Nej | 1 |
| Aktivitetslogg | Omfattning av extern och anonym delning de senaste 90 dagarna, inloggning från okända länder | Ja | 1 |
| Inkorgsregler | Regler som vidarebefordrar, omdirigerar eller raderar e-post | Ja, vilket konto regeln tillhör | 1 |
| Säkerhetsaviseringar | Aviseringar från Microsoft Defender och Entra ID Protection de senaste 30 dagarna, om de är stängda | Ja, där aviseringen gäller ett konto | 1 |
| E-postskydd i DNS | SPF, DKIM och DMARC för verifierade domäner | Nej | 1 |
| Säkerhetspoäng | Microsoft Secure Score och rekommendationer | Nej | 1 |
| E-postsäkerhet | Anti-phishing, Safe Links, Safe Attachments, transportregler, kopplingar, utgående skräppost, granskningsinställningar för postlådor | Ja, där inställningen gäller ett konto | 2 |
| Dataskydd | Känslighetsetiketter, DLP-principer, bevarandeprinciper | Nej | 2 |
| Extern kartläggning | Offentligt tillgänglig information om de domäner som är registrerade i den personuppgiftsansvariges Microsoft 365-miljö och domäner som den personuppgiftsansvarige eventuellt har angett: DNS, tjänster mot internet, underdomäner i certifikatloggar, det norska Enhetsregisteret | Ja | Ja |
| Läckagekontroll (valfri) | Om anställdas e-postadresser förekommer i allmänt kända dataläckor | Ja | Valfri |
| Frågeformulär | Svar från ledningen om rutiner, ansvar, beredskap och kompetens | Ja, där den som svarar anger det | Valfri |
Innehållet i e-post, dokument, filer, chatt och möten hämtas inte på någon nivå.
Bilaga B: Bedömning av överföring till Australien
Bedömningen av överföringen till Have I Been Pwned (transfer impact assessment) bifogas som ett separat dokument: «Bedömning av överföring till tredjeland: Have I Been Pwned», version 1.0. Den sammanfattar vad som överförs, på vilken grund, hur australisk rätt har bedömts och vilka kompletterande åtgärder som gäller. Bedömningen ses över årligen.