Penetrationstest pris: Vad kostar en säkerhetsgranskning i Sverige 2026?

Att köpa penetrationstest är som att köpa en husbesiktning – du vet att du behöver det, men prislappen varierar kraftigt och det är svårt att veta vad som ingår. 2026 är penetrationstest en standardtjänst för de flesta svenska bolag som hanterar känslig data eller är föremål för reglering som NIS2, ISO 27001 eller SOC 2. Den här guiden reder ut prismodellerna, typiska kostnader och vad du faktiskt får för pengarna.

Jag har både köpt in penetrationstest som kund och utfört dem som konsult. Min erfarenhet är att priset sällan är det viktigaste – kvaliteten på rapporten, testarnas kompetens och uppföljningen är avgörande för värdet. Ett billigt test som missar kritiska sårbarheter är dyrt i längden.

Prismodeller för penetrationstest

Det finns tre huvudsakliga prismodeller på den svenska marknaden 2026. Fastpris per test är vanligast – du betalar en överenskommen summa för ett definierat scope och får en rapport efter avslutat test. Timpris är ovanligare men förekommer för mindre tester eller återtestning. Retainer/prenumeration blir allt vanligare där du betalar en månadsavgift för löpande säkerhetstestning.

Fastpris är oftast bäst för båda parter när scopet är tydligt. För ett webbapplikationstest med 5–10 endpoints, en API-genomgång och autentiseringsflödet är ett fast pris på 80 000–150 000 SEK rimligt. För en större infrastrukturgranskning med flera nätverkssegment, molnmiljö och Active Directory kan fastpriset landa på 200 000–400 000 SEK.

Prenumerationsmodeller där du betalar 20 000–50 000 SEK per månad för löpande testning växer 2026. Du får då kontinuerlig scanning, återkommande manuella tester och en fast kontaktperson. Modellen passar organisationer som utvecklar kontinuerligt och behöver testa nya funktioner löpande snarare än en gång per år.

Webbapplikationstest – priser och omfattning

Penetrationstest av webbapplikationer är den vanligaste typen. Testet granskar applikationens säkerhet ur ett angripares perspektiv: SQL-injektion, XSS, CSRF, autentiseringsbrister, auktorisationsfel och session management. Ett webbapplikationstest delas ofta upp i black box (testaren har ingen förhandsinformation) och white box (testaren får tillgång till källkod och arkitektur).

För en standard webbapplikation med inloggning, användarhantering och ett API på 10–15 endpoints är priset 80 000–150 000 SEK. För en komplex applikation med flera användarroller, avancerad logik och tredjepartsintegrationer 150 000–300 000 SEK. White box-test är 20–30 procent dyrare men ger djupare resultat eftersom testaren kan följa datat genom hela stacken.

Mobilapplikationstest

Mobilapplikationstest är dyrare än webbapplikationstest eftersom de kräver både statisk analys av app-kod, dynamisk testning av körbar app och granskning av API:et som appen kommunicerar med. iOS- och Android-appar testas separat och har olika sårbarhetsprofiler.

Priset för ett mobilapplikationstest ligger på 100 000–250 000 SEK per plattform. För både iOS och Android i samma test (samma backend) är priset 150 000–350 000 SEK. Den största kostnadsdrivaren är antalet funktioner i appen och komplexiteten i offline-funktionalitet, lokal lagring och tredjeparts-SDK:er.

Infrastrukturtest – nätverk, moln och AD

Infrastrukturtest granskar era nätverk, servrar, molnmiljöer och katalogtjänster. Det inkluderar extern och intern nätverksscanning, test av brandväggsregler, VPN-konfiguration, molnsäkerhetsinställningar och Active Directory-säkerhet. Detta är ofta det mest omfattande och därmed dyraste testet.

Ett infrastrukturtest för en medelstor organisation (50–200 användare, hybridmoln, AD, 10–20 servrar) kostar 150 000–350 000 SEK. För större organisationer med flera kontor, komplex nätverksarkitektur och omfattande molnmiljö kan priset nå 400 000–600 000 SEK. Interna tester (där testaren placeras i nätverket) är billigare än externa (där testaren angriper utifrån) eftersom de inte kräver lika mycket rekognosering.

Black box vs white box – skillnad i pris och värde

Black box-test innebär att testaren angriper systemet utan förhandsinformation. Det simulerar en verklig extern attack och testar både systemets säkerhet och den omgivande infrastrukturen. White box-test ger testaren tillgång till källkod, arkitekturdiagram och konfiguration, vilket möjliggör djupare analys.

White box-test är 20–40 procent dyrare än black box på grund av den extra tid som krävs för att sätta sig in i systemets arkitektur och läsa kod. Men white box-test hittar generellt fler och allvarligare sårbarheter, särskilt i komplexa applikationer med egenutvecklad logik. För de flesta organisationer rekommenderar jag en kombination: black box för yttre ytan och white box för de kritiska funktionerna.

NIS2 och ISO 27001 – krav på penetrationstest

Både NIS2-direktivet och ISO 27001 ställer krav på regelbunden säkerhetstestning. NIS2, som infördes i svensk lag under 2025, kräver att verksamhetskritiska system penetrationstestas minst årligen eller vid större förändringar. ISO 27001 kräver återkommande säkerhetsgranskningar men specificerar inte frekvens – det är organisationens riskbedömning som avgör.

För organisationer som omfattas av NIS2 är penetrationstest inte längre frivilligt. Samtliga tillståndspliktiga verksamheter inom samhällsviktiga sektorer måste kunna visa upp genomförda tester. Kostnaden för utebliven testning – i form av sanktionsavgifter och skadestånd – är betydligt högre än testet i sig.

Urvalskriterier – välj rätt testleverantör

Att välja leverantör av penetrationstest är minst lika viktigt som priset. Kvaliteten på testet avgörs av testarens kompetens, erfarenhet och verktyg. Certifieringar som OSCP, OSWE, CREST och CHECK är kvalitetsindikatorer men garanterar inte en bra rapport.

Begär referenser från liknande uppdrag och be att få se exempel på rapporter. En bra pentest-rapport är tydlig, prioriterar fynd efter risk och ger konkreta åtgärdsförslag. En dålig rapport är en checklista av sårbarheter utan sammanhang eller prioritering. Skillnaden är ofta värd 50–100 procent i pris.

Vad ingår i priset?

Ett pris för penetrationstest bör specificera: antal testdagar, testarnas kompetensnivå, typ av test (black/white box), scopets omfattning, återtestning av kritiska fynd, rapportens format och leveranstid. Priset inkluderar normalt en inledande genomgång, själva testningen, rapportskrivning och en avslutande presentation.

Återtestning av kritiska fynd ingår sällan automatiskt men är värt att förhandla in. Ett uppföljningstest 30–60 dagar efter initialt test för att verifiera att sårbarheter åtgärdats kostar normalt 30–50 procent av grundpriset. Många leverantörer erbjuder paketpris för initialt test plus återtest.

Vill du veta mer?

Behöver du hjälp med att välja rätt penetrationstest för din organisation? Jag erbjuder rådgivning inom säkerhetstestning och compliance. Boka ett kostnadsfritt samtal så diskuterar vi era behov och budget.