RISE har certifierat Berget AI AB enligt SS-EN ISO/IEC 27001:2023. Certifikatet ger våra kunder en oberoende granskning av hur vi styr informationssäkerheten för våra tjänster. För organisationer som utvärderar en AI-leverantör är certifikatet ett bevis på att vi tar risker och informationssäkerhet på allvar.
Månader av förarbete, 29 dagar till certifikat
RISE utfärdade certifikatet den 11 november 2026, 29 dagar efter den första granskningen i steg 1, men vi har lagt grunden sedan början av 2026.
- Den 13 oktober 2026 genomförde RISE granskningen i steg 1.
- Den 15 oktober 2026 avslutades planeringsdialogen och vi bokade steg 2.
- Den 26–28 oktober 2026 besökte RISE våra lokaler för steg 2-granskningen. Resultatet blev 7 mindre avvikelser, och vi åtgärdade dem inom en vecka.
- Den 11 november 2026 utfärdade RISE certifikatet.
I resten av artikeln berättar vi var vi står idag och hur teamet arbetar med strukturerad riskhantering.
Ett agent-first-sätt att arbeta med ISMS:et
Vårt ledningssystem för informationssäkerhet (ISMS) bor i ett versionshanterat Git-arkiv där policys och levande register finns tillsammans som Markdown-dokument. Ramverksmappar kopplar enskilda standarder till de dokumenten, medan efterlevnadsregister sparar bevis för vad som hänt och när. Medarbetare, granskare och chefer har varsin ingång till samma material.
Git-arkivet ger oss spårbarhet, och rena textdokument i Markdown gör det enkelt för våra agenter att läsa igenom dokumentationen så att vi kan kontrollera att den är korrekt och aktuell. Vem som helst i teamet kan be en agent att hitta motstridiga uppgifter och peka ut den auktoritativa referensen.
Vi använder redan GitOps för att förhindra konfigurationsdrift mellan vårt infrastrukturarkiv och produktionsmiljön. Den idén har vi utvidgat till att omfatta ISMS:et. Automatiserade agentgranskningar validerar vår infrastruktur och identifierar luckor i våra policys och processer med jämna mellanrum.
Automatiserade efterlevnadskontroller håller oss ärliga
Git bevarar också spåret kring dokumentändringar: för godkända ISMS-dokument krävde en pull request som ändrade dokumentet ett chefsgodkännande på den aktuella head-commit, och en ny push krävde ett färskt godkännande. Av en människa. Medan agenterna hjälper oss med det tröttsamma arbetet att hålla dokumentationen uppdaterad, granskas och signeras alla ändringar fortfarande av någon av oss.
Utöver allt detta gör samma material också träning och stöd för medarbetare i vardagen enklare. Medarbetare kan be sin agent att förklara en process eller testa sin förståelse i sin egen takt, och få stöd i stunden då det spelar roll. Även under granskningen hjälpte våra agenter till att utarbeta uppdateringar och fynd, som vi kunde verifiera mot verkliga system för att bekräfta att dokumentationen stämde med verkligheten.
Vad vi lärde oss
Bygg grunden i tid. Vi ville inte skjuta upp riskhanterings- och efterlevnadsarbetet tills en större organisation eller en upphandlingstidsfrist tvingade fram det. Modellkatalogen är det kunderna ser, men förmågan att förklara och verifiera våra arbetssätt ligger under den.
Verifiera, anta inte. En policy kan finnas utan att stämma med systemet den beskriver, och en kontroll kan finnas i ett dokument utan tillräckliga belägg för sin status. Agenter genererar med glädje en fiktiv värld som ser bra ut men inte håller i verkligheten. Att kontrollera verkliga system och stämma av dokument mot auktoritativa referenser avslöjade luckor som en ren dokumentgranskning kunde missa.
Agenter godkänner inte. De kan söka, förklara, utarbeta och kontrollera, men en människa måste fortfarande avgöra om ett fynd är giltigt, om ett dokument är redo eller om en risk är acceptabel. Certifieringen avslutar inte det arbetet, för ett ISMS kräver fortsatt underhåll och förbättring även efter att certifikatet kommit.
Granska beläggen och prata med oss
Vår dataskyddsöverenskommelse (DPA) är offentlig. Du kan också begära det aktuella uttalandet om tillämplighet i en upphandlingsdialog, enligt den normala konfidentialitetsprocessen.
Kontakta säljteamet för att diskutera certifikatet, DPA:n eller uttalandet om tillämplighet.
Certifikatet redovisar resultatet av den externa granskningen, och våra arbetsregister fortsätter att följa de granskningar, belägg och godkännanden som håller systemet bakom våra tjänster vid liv.