Risk- och sårbarhetsanalys (RSA) är ett verktyg som kommuner och landsting enligt lag skall göra. Dessa RSA ska sedan ligga till grund för en utbildnings- och övningsplan. På så sätt kommer de övningar som genomförs på kommunal och länsnivå fokuseras på omhändertagande av dess risker och sårbarheter.Myndigheten för samhällsskydd och beredskap, MSB, gjorde 2018 en utvärdering och fann att inte alla övar på sina risker och sårbarheter men att det var oklart hur många de var. Denna studie ger en bild av vad kommuner väljer att öva på i sina årliga krisberedskapsövningar om de inte övar på att hantera sina risker och sårbarheter. För att svara på frågan har juridiska dokument analyserats samt intervjuer genomförts med representanter för Myndigheten för samhällsskydd och beredskap samt säkerhetscheferna vid två kommuner.Studiens slutsats är att kommunerna dels tar krisberedskapsarbetet på stort allvar, men att brister i spårbarhet mellan RSA och utbildnings- och övningsplan medför att man inte övar på sina risker och sårbarheter. Studiens resultat är fem hypoteser som skulle kunna användas vid efterkommande forskning. / Risk and Vulnerability Analysis (RSA) is a tool that municipalities and county councils must do according to law. The RSA will then form the basis of a training and exercise plan. In this way, the exercises that are carried out at municipal and county level will be focused on dealing with these risks and vulnerabilities.The Swedish Civil Contingencies Agency, the MSB, made an evaluation in 2018 and found that not all were practising risks and vulnerabilities, but it was unclear how many they were. This study gives a picture of what municipalities choose to practice in their annual emergency preparedness exercises if they do not practice managing risks and vulnerabilities. In order to answer the question, legal documents have been analyzed and interviews have been conducted with representatives of the Swedish Civil Contingencies Agency and the security managers at two municipalities.The study's conclusion is that the municipalities take the emergency preparedness work very seriously, but that deficiencies in traceability between the RSA and the education and training plan mean that they do not practice risks and vulnerabilities. The study's results are five hypotheses that could be used in subsequent research.