Logga inEN
stöd för regelefterlevnad · ärlig avgränsning

Stöd för regelefterlevnad

Merula ger team löpande tekniskt underlag för de domänkontroller de är beroende av: DNS, TLS-certifikat, e-postautentisering, säkerhet i e-posttransporten, HTTP-huvuden, tillgänglighet, webbhygien, domänens livscykel och routning. Den här sidan förklarar hur iakttagelserna förhåller sig till erkända standarder, säkerhetsramverk och vägledningar – och var gränsen går.

Merula certifierar inte juridisk regelefterlevnad. Tjänsten övervakar kontinuerligt externt synliga tekniska kontroller som ofta stöder cyberhygien, revisionsberedskap, kundförtroende och NIS2-relaterad riskhantering. Genomgående betyder en mappning att Merula tillhandahåller tekniskt underlag som kan stödja en kontroll – aldrig en certifiering eller ett påstående om full regelefterlevnad.

OWASP Secure Headers

Kontrollen av HTTP-huvuden är i linje med den rekommenderade baslinjen i OWASP Secure Headers Project. Varje iakttagelse motsvarar en specifik rekommendation: saknad HSTS, saknad X-Content-Type-Options, saknat skydd mot inramning (X-Frame-Options eller CSP frame-ancestors), huvuden som avslöjar versionsnummer (Server, X-Powered-By, X-AspNet-Version) samt säkerhetsflaggor i Set-Cookie.

OWASP Top 10:2025

OWASP Top 10 är en katalog för riskmedvetenhet, inte ett regelverk att följa – därför är det här mappningar av riskrelevans, inte påståenden om överensstämmelse. Vi hänvisar till 2025 års utgåva. Bara ett fåtal kategorier har signaler som går att observera utifrån och som en domänövervakare verkligen kan belägga från utsidan av applikationen; resten kräver åtkomst på kodnivå, inloggad åtkomst eller åtkomst till applikationens inre, vilket vi inte har.

Observera: i 2025 års utgåva flyttades Security Misconfiguration upp från A05 (år 2021) till A02 – den näst mest kritiska kategorin enligt konsensus. Det är den kategori som Merulas iakttagelser om HTTP-huvuden, e-postautentisering och transport oftast hör till.

Mappningen görs på nivån av enskilda iakttagelser: en kontroll bidrar till en kategori bara när den visar den aktuella svagheten, inte per automatik. Listorna nedan anger de kontroller vars iakttagelser kan kopplas till respektive kategori.

CWE:er som de här externa kontrollerna kan visa, per kategori:

De här CWE-hänvisningarna beskriver de svagheter, observerbara utifrån, som Merula kan visa i dag. De är hänvisningar på iakttagelsenivå, inte ett påstående om full täckning av någon kategori eller CWE.

EU:s NIS2-direktiv – artikel 21.2

NIS2 kräver att väsentliga och viktiga entiteter vidtar lämpliga och proportionella åtgärder för att hantera cybersäkerhetsrisker. Merula avgör inte om du omfattas eller om du uppfyller kraven, men flera av temana i artikel 21.2 kan stödjas av externt tekniskt underlag från det offentliga domänlagret:

Det här täcker Merula inte under NIS2:

Merula ger löpande externt underlag för utvalda tekniska kontroller som hör till delarna om cyberhygien och kryptografi i artikel 21.2 i NIS2 – närmare bestämt (g), (h), upptäcktsdelen av (b), (c) genom övervakningen av när domänregistreringen löper ut, och kanalen för sårbarhetsrapportering i (e) genom security.txt.

Erkänd säkerhetsvägledning

Merulas kontroller av e-postautentisering och e-posttransport bygger på allmänt använda internetstandarder, och skälen till att övervaka dem löpande formuleras av erkända säkerhetsmyndigheter. Brittiska National Cyber Security Centre rekommenderar i sin vägledning Email security and anti-spoofing att organisationer inför SPF, DKIM och DMARC för att minska domänförfalskning, för en DMARC-policy mot tvingande läge i etapper – och följer rapporterna innan de skärper den – samt skyddar e-post under överföring med TLS. Det är samma kontroller som Merula övervakar och samma stegvisa väg som Merula hjälper dig att följa.

Referens: NCSC (Storbritannien) – Email security and anti-spoofing. Storbritanniens National Cyber Security Centre, vägledningen Email security and anti-spoofing.

Den europeiska hotbilden

ENISA:s Threat Landscape 2025 är en hotcentrerad analys av incidenter i EU – det externt dokumenterade skälet till att kontinuerlig domänhygien är värd uppmärksamheten. Den förstärker argumenten för kontinuerlig insyn: mönstret av överlappande, ihållande kampanjer som rapporten beskriver är precis det som gör kontroller vid enskilda tillfällen otillräckliga.

En iakttagelse från Merula är tekniskt underlag om det offentliga lagret av dina domäner – det som går att observera utifrån, och hur det har förändrats över tid.

Referens: ENISA Threat Landscape 2025 (på engelska) – referens för hotbilden. ENISA, Threat Landscape 2025 (oktober 2025) – en hotcentrerad analys av omkring 4 875 incidenter i EU, juli 2024 – juni 2025.

Standarder och RFC:er

Varje kontroll vilar på namngivna standarder, specifikationer eller erkänd säkerhetsvägledning. Vi undviker vaga formuleringar om ”bästa praxis” där det finns en mer precis hänvisning. Chipraden på varje kontroll i din instrumentpanel visar vilka standarder kontrollen ger underlag för.

IETF (RFC)

Webbplattformen (W3C / WHATWG)

Moderna huvuden för webbläsarplattformen standardiseras inte inom IETF. Kontrollen av HTTP-säkerhetshuvuden omfattar specifikationerna från W3C och WHATWG: CSP Level 3, Cross-Origin-Opener-Policy, COEP, CORP, Referrer Policy, Permissions Policy och Fetch (CORS). Den rekommenderade baslinje vi följer är OWASP Secure Headers Project.

Branschbaslinjer

Löpande underlag över tid

Varje kontroll körs i en takt som motsvarar hur snabbt dess signal förändras: de flesta varje timme för varje aktiverad domän, SMTP-transportkontrollerna (STARTTLS, DANE) var sjätte timme, kontrollerna av domänregistret och registrarlåset dagligen och ursprungsvalideringen av rutter (RPKI) veckovis – inom de gränser för anslutningar, register och externa källor som var och en har att förhålla sig till. Varje resultat sparas; varje statusövergång skriver en ändringshändelse. Revisionsspåret finns per standard, inte bara per kontroll – du kan besvara ”när slutade vår tillämpning av RFC 8461 att fungera?” med en specifik ändringshändelse, inte med en kriminalteknisk utredning.

Externa referenser och vidare läsning

Källorna nedan påverkar hur Merula är byggt och förklarar varför kontinuerlig hygien för domäner och e-postsäkerhet är värd uppmärksamheten – erkända, oberoende referenser från standardiseringsorgan, nationella säkerhetsmyndigheter och krav i e-postens ekosystem.

NIS2 föreskriver inte en viss DMARC-konfiguration för varje organisation, men direktivet höjer förväntningarna på hantering av cybersäkerhetsrisker, styrning och effektiva kontroller – Merula stöder en konkret del av det, som går att observera utifrån. Den detaljerade NIS2-mappningen finns tidigare på den här sidan; de fullständiga, automatiskt genererade tabellerna finns i ramverksmappningarna.

Var Merulas data finns – lagringsplats kontra suveränitet

Merula byggs och drivs enligt svensk lag av ett team i Stockholm, som en del av Adspace Nordic AB. Vår infrastruktur körs i AWS i Stockholmsregionen, med säkerhetskopior i samma region.

Det ger dig datalagring inom EU (EU data residency): kunduppgifter, kontrollhistorik, metadata om larm och DMARC-rapporter finns fysiskt i AWS-regioner inom EU. Vi replikerar inte till regioner utanför EU, och vi överför inte data till personuppgiftsbiträden utanför EES utom där det är avtalsmässigt nödvändigt (Stripe för fakturering).

Det ger dig inte full datasuveränitet. AWS är en leverantör med huvudkontor i USA. Enligt amerikansk lag, bland annat CLOUD Act, kan amerikanska myndigheter begära åtkomst till data som innehas av amerikanska leverantörer även när datan lagras utanför USA. Separata amerikanska befogenheter för underrättelseinhämtning, till exempel enligt Executive Order 12333, ingår i det bredare rättsliga sammanhang som beaktas i bedömningar av överföringsrisker inom EU. Schrems II-domen (EU-domstolen, C-311/18, 2020) och ramverket för dataskydd mellan EU och USA (EU–US Data Privacy Framework) hör till det rättsliga landskapet. Ramverket förändrar bedömningen av överföringsrisken men tar inte bort behovet för kunder med strikta krav på suveränitet att göra en egen bedömning.

Vad det betyder i praktiken:

Vi säger det rakt ut, så att den som överväger att bli kund kan göra bedömningen med de faktiska förhållandena framför sig.

Den strukturerade matrisen

Den strukturerade matrisen, kontroll för kontroll, finns under Standarder och ramverksmappningar.