Lön som Etisk Hacker 2025: Hur Mycket Tjänar Man?
CyberLord HR Team Författarprofil
Cybersäkerhet är en av världens snabbast växande branscher. Med hot som Ransomware, AI-bedrägerier och statssponsrade attacker, skriker företag efter kompetens. Det råder en enorm "kompetensbrist" i Sverige.
Enligt branschrapporter saknas det över 3 miljoner säkerhetsexperter globalt.
När efterfrågan är hög och utbudet lågt, händer en sak: Lönerna skjuter i höjden.
Men hur mycket tjänar man egentligen som "hacker" i Sverige 2025? Är det värt att sadla om? Vi har analyserat datan.
Del 1: Löner i Sverige (Månadslön i SEK)
Sverige har generellt höga löner inom IT, och säkerhet ligger i toppen, strax över mjukvaruutvecklare och AI-specialister.
Junior Penetrationstetare (0-2 års erfarenhet)
Du kan grunderna i nätverk, Linux och har kanske tagit certifikatet eJPT eller Security+. Du jobbar i ett team under handledning.
- Lön: 38 000 - 48 000 kr / månad.
- Arbetsuppgifter: Köra sårbarhetsskanningar, skriva enklare rapporter, testa webbapplikationer.
Senior IT-säkerhetskonsult (3-5+ års erfarenhet)
Du är självgående. Du har tunga certifikat som OSCP (Offensive Security Certified Professional). Du kan skriva egen kod (Python/Go) för att utnyttja sårbarheter.
- Lön: 60 000 - 95 000 kr / månad.
- Bonus: Många konsultbolag har provisionsmodeller där du kan tjäna betydligt mer om du debiterar mycket.
CISO (Chief Information Security Officer)
Du är chef med ansvar för hela företagets strategi.
- Lön: 110 000 - 250 000 kr / månad.
- Marknad: Storbanker (SEB, Swedbank), telekom (Ericsson, Telia) och myndigheter betalar bäst.
Fast lön eller fakturerade timmar: två olika affärsmodeller
Inte alla löner inom säkerhetsbranschen är månadslöner. I Sverige finns i praktiken två affärsmodeller, och deras ekonomi fungerar på helt olika sätt.
Anställd konsult med fast lön. Du får samma belopp varje månad, oavsett hur många projekt som rullar. Arbetsgivaren står för sociala avgifter, tjänstepension (oftast enligt kollektivavtal, till exempel ITP) och semesterersättning. Uppehåll mellan uppdrag, sjukfrånvaro och svaga kvartal är arbetsgivarens risk, inte din.
Egenföretagare med timfakturering. Du driver ett eget bolag och säljer dina timmar antingen direkt till kunden eller via en mellanhand – den modell som i branschen ofta kallas storkonsult. Här pratas lönen inte i kronor per månad utan i timtaxa. I offentliga upphandlingar av penetrationstest och i statistik över konsulttimmar syns ofta intervall i storleksordningen cirka 1 000–2 000 kr per debiterad timme för erfarna konsulter, med betydande spridning åt båda håll beroende på senioritet och nisch. Använd sådana siffror enbart som riktmärke: de varierar mellan upphandlingar och publiceras sällan som exakta, personsäkra tal.
En timtaxa går heller inte att jämföra rakt av med en månadslön. Av en fakturerad timma går sociala avgifter (drygt 30 procent i ett aktiebolag), försäkringar, pension, utrustning och administration. Dessutom blir de verkligt debiterbara timmarna färre än månadens arbetstimmar: förberedelse, rapportering, sälj och egen träning tar tid, och semestrar finns inte med i faktureringen. En konsult som fakturerar schablonerat – till exempel ett avtal om ett fast antal timmar per månad – har därför lättare att planera privatekonomin än en som förlitar sig på behovsstyrd timfakturering, och schablonavtal är ofta det första som egenföretagare förhandlar fram.
Vill du jämföra erbjudanden ska du därför alltid omvandla dem till samma enhet: helårsekonomi inklusive pension, semester och risk. Det är den siffran, inte timtaxan i sig, som talar om vad modellen faktiskt ger dig.
Del 2: Den Globala Marknaden (Remote Work)
Det fina med hacking är att det är gränslöst. Du kan sitta i en stuga i Dalarna och jobba för ett företag i Silicon Valley.
Om du lyckas landa ett "remote job" för ett amerikanskt eller schweiziskt bolag, förändras kalkylen totalt.
USA (Remote)
- Junior: $90,000 / år (ca 75 000 kr/månad).
- Senior: $160,000+ / år (ca 135 000 kr/månad).
- Amerikanska löner är brutala jämfört med svenska, men konkurrensen är global.
Schweiz / London
- Finanscentrumen i Europa betalar också extremt bra. En säkerhetsarkitekt i Zürich kan lätt tjäna 12 000 CHF (ca 140 000 SEK) i månaden.
Offentlig sektor, konsultbolag eller in-house: tre arbetsgivartyper
Samma yrkestitel kan betala olika beroende på vem som skriver lönespecifikationen. Den svenska marknaden delar sig grovt i tre arbetsgivartyper, och de premierar olika saker.
Offentlig sektor – myndigheter, regioner och kommuner. Löneläget ligger enligt lönestatistiken vanligtvis i den lägre delen av spännvidden, men kollektivavtalen ger förutsägbara lönetrappor och trygghet vid sjukdom och därför ofta lägre personalomsättning. Notera också att vissa operativa miljöer och övningsformer – till exempel nationella krishanteringsövningar – finns bara här.
In-house, alltså säkerhetsteamet internt hos ett företag: banker, teleoperatörer, energibolag och större handelskedjor. Fast lön plus bonus, ofta i den högre delen av spannet för seniora roller. Innebär tjänsten ett SOC eller en incidentlinje? Då tillkommer ofta beredskapsjour, vilket ger lönetillägg men också kvällar och helger i schemat.
Konsultbolag – den vanligaste vägen in i yrket som penetrationstestare. Spännvidden är bredast: baslönen ligger ungefär på in-house-nivå, men provisionsmodeller kan lyfta totalkompensationen betydligt för den som debiterar mycket. Priset är högre krav på resor, presentationer och en kontinuerlig ström av kunduppdrag.
Valet påverkar också vilka certifikat som rimmar bäst: gränsdragningen mellan certifierad etisk hackare och penetrationstestare och vad varje roll faktiskt förutsätter tas upp separat i artikeln Certifierad Etisk Hackare vs. Penetrationstestare.
Del 3: Bug Bounty – Det Moderna Guldgrävarlivet
Vill du inte ha en chef? Vill du jobba när du vill, varifrån du vill? Då är Bug Bounty vägen.
Vad är det?
Företag som Spotify, Klarna, Google och Tesla säger: "Om du hittar ett fel i vårt system, betalar vi dig." Du anmäler dig på plattformar som HackerOne, Bugcrowd eller Intigriti.
Hur mycket betalar det?
Det finns ingen fast lön. Allt beror på hur allvarligt felet är.
- Låg nivå (XSS etc): $100 - $500 per bugg.
- Medium: $500 - $2,000.
- Kritisk (SQL Injection, RCE): $5,000 - $50,000+ per bugg.
Svenskt exempel: En svensk säkerhetsforskare hittade 2024 en kritisk bugg i ett kryptobörs-system och fick en utbetalning på 2,5 miljoner kronor ($250k) för en veckas jobb.
Detta är dock eliten. En "duktig" bug bounty-jägare tjänar kanske 20 000 - 50 000 kr i månaden vid sidan av sitt vanliga jobb.
Del 4: Hur maximerar du din lön?
Vad skiljer en som tjänar 40k från en som tjänar 90k?
1. Certifieringar (Viktigare än examen)
I IT-säkerhet är "papper" viktiga, men inte från universitetet.
- OSCP: Guldstandarden. Klarar du den 24-timmars långa tentan (där du måste hacka 5 datorer) bevisar du att du är praktiskt kunnig.
- CISSP: För management/chefer.
2. Nischad Kunskap
Att vara "generell hacker" är bra. Att vara expert på något specifikt är lönsamt.
- Blockchain Security: Att granska Smart Contracts (Solidity) betalar bäst just nu.
- Cloud Security (AWS/Azure): Alla flyttar till molnet. Kan du säkra det, har du jobb för alltid.
- Industriella System (SCADA): Att skydda elnät och fabriker är nationellt kritiskt.
3. Engelska
Du måste tala flytande professionell engelska. Den svenska marknaden är liten. Den globala marknaden är oändlig.
Certifikaten tar dig in. Det här lyfter lönen efteråt.
När dörren är öppnad avgör andra faktorer hur högt du kan förhandla vid nästa lönerevision.
Rapportkvalitet. Ett penetrationstest levereras inte som en lista med ID-nummer utan som ett beslutsunderlag. Konsulter som skriver rapporter med tydliga affärsrisker, rimliga prioriteringar och åtgärdsförslag som kunderna faktiskt genomför blir de som bokas igen – och de bokade konsulterna har det starkaste förhandlingsläget.
Svenska som kundspråk. Många svenska medelstora företag kräver att leverans, workshopar och slutpresentationer görs på svenska. Den som behärskar både svensk kundkontakt och engelsk facklitteratur är svårare att ersätta, vilket syns i löneläget.
Säkerhetsprövning. Uppdrag inom verksamheter med skyddsvärda nationella intressen kräver enligt säkerhetsskyddslagen säkerhetsprövad personal. Att ha genomgått en prövning gör dig relevant för en kundgrupp som annars är stängd – fler möjliga uppdrag stärker förhandlingsläget.
Synlighet och lärande. Att hålla utbildningar, föreläsa eller publicera egen forskning (till exempel via en egen blogg) bygger det rykte som många arbetsgivare beaktar i lönesamtalet, långt efter det att certifikaten nått sina utgångsdatum.
Checklista: sju frågor innan du tackar ja
- Hur ser debiteringskravet ut? Fråga efter förväntad debiteringsgrad, om provisionen har ett tak och om du förväntas bära en egen säljplan.
- Vilken tjänstepension ingår? Skillnaden mellan kollektivavtalad ITP och en enkel individuell premie räknas i hundratusentals kronor över ett arbetsliv.
- Kompenseras beredskapsjour? Jour i SOC eller incidentberedskap ersätts vanligtvis enligt kollektivavtal. Fråga hur ofta journen turas om och hur tillägget är utformat.
- Vem betalar nästa certifiering? En OSCP- eller CISSP-tentamen kostar en ansenlig summa. Fråga om utbildningsbudget och om studietid får tas inom arbetstid.
- Var sitter kunderna? Andelen uppdrag på plats jämfört med remote avgör hur många kvällar, helger och resdagar som både tiden och lönen påverkas av.
- Vad händer i uppehåll mellan uppdrag? Fast lön skyddar dig vid mellantider; timmodeller gör det inte. Fråga hur bolaget hanterar svaga månader.
- Hur ser bolaget på egen bug bounty-verksamhet? Vissa arbetsgivare uppmuntrar fritidsforskning eftersom den håller färdigheterna vassa, medan andra kräver att den hålls strikt separerad från uppdragen. Bug bounty är som inkomst ett komplement vid sidan av lönen, inte ett substitut.
Slutsats: Framtidsutsikter
AI kommer inte att ta ditt jobb. Tvärtom. AI genererar kod snabbare, vilket betyder mer buggig kod, vilket betyder mer jobb för säkerhetsexperter.
Att satsa på en karriär som Etisk Hacker 2025 är ett av de smartaste ekonomiska valen du kan göra. Det är ett yrke med:
- Hög lön.
- Hög status.
- Möjlighet att göra verklig skillnad (stoppa brott).
Är du redo att börja? Kolla in våra öppna tjänster på Cyberlord. Vi letar alltid efter talanger.
Översikt
Viktiga beslut, risker och genomförandeåtgärder för detta ämne.