Instructure/Canvas-intrånget – Konsekvenserna för IT-leverantörer

Vad hände?

Den 2 maj 2026 bekräftade Instructure en säkerhetsincident i Canvas, där studentuppgifter som namn, e-postadresser, student-ID och meddelanden kan ha exponerats. Totalt 31 svenska lärosäten drabbades. Samtliga med Canvas levererat via SUNET.

Bakom attacken står ShinyHunters. En av de större cyberkriminella grupperna som är aktiva idag, med en systematisk "pay or leak"-modell. Säkerhetsanalytiker beskriver ShinyHunters som ett löst nätverk av tonåringar och unga vuxna baserade i USA och Storbritannien, men deras genomslagskraft är allt annat än amatörmässig.

Vem bär ansvaret?

Tre aktörer är inblandade: Instructure (mjukvaruleverantören), SUNET (svensk mellanhand och upphandlare) och lärosätena (slutkunder). Enligt cybersäkerhetslagen är det SUNET som bär det tyngsta ansvaret i Sverige:

Supply chain-ansvar: Cybersäkerhetslagen kräver att verksamheter ställer säkerhetskrav på leverantörer och underleverantörer som levererar digitala tjänster. SUNET kan granskas för om avtalet med Instructure innehållit tillräckliga sådana krav.

Incidentrapportering: Vid en betydande incident ska verksamhetsutövaren rapportera en tidig varning inom 24 timmar, en mer detaljerad anmälan inom 72 timmar, en lägesrapport om incidenten är pågående, och slutligen en slutrapport.

Sanktioner: Ledningen kan hållas personligt ansvarig vid brister, och organisationen riskerar betydande ekonomiska påföljder baserade på global omsättning.

MSP:er och samhällsviktiga IT-leverantörer hamnar i exakt samma sits

Det här är inte bara SUNETs problem. Som MSP eller IT-leverantör till offentlig sektor, dvs. till skolor, kommuner, regioner, myndigheter är du i precis samma roll. Du är länken mellan en bakomliggande plattform och en slutkund som omfattas av lagen.

Och här är det som verkligen bör väcka uppmärksamhet: intrånget skedde inte hos de svenska lärosätena – det skedde hos deras leverantör i USA. Ändå är det de svenska aktörerna i kedjan som bär rapporteringsskyldigheten, granskas och riskerar sanktioner. Som samhällsviktig IT-leverantör kan du alltså få stora böter för någon annans säkerhetsbrist om du inte har:

• Dokumenterade säkerhetskrav på dina underleverantörer i avtal
• En incidenthanteringsplan med de korta tidsfristerna (24/72 timmar) inbyggd
• Rutiner för att löpande övervaka och följa upp leverantörernas säkerhetsnivå

Verksamhetsutövaren ska dessutom själv identifiera att den omfattas och anmäla sig till Myndigheten för civilt försvar – ingen myndighet knackar på dörren, så om du missar detta kan tillsynsåtgärder vidtas redan där.

Böterna är inte symboliska

För väsentliga verksamheter kan sanktionsavgiften uppgå till 10 miljoner euro eller 2% av global årsomsättning. För viktiga verksamheter är taket 7 miljoner euro eller 1,4%. Canvas-fallet är en konkret illustration av hur regelverket slår och ytterligare en väckarklocka för hela den svenska IT-leverantörsbranschen.