Cybersäkerhetslagen – senaste nytt efter sommaren

Den svenska regleringen med anledning av NIS 2 har under sommaren 2026 gått från genomförande till praktisk tillämpning. Den 1 juli överfördes Myndigheten för Civilt Försvars (MCF:s) cyberverksamhet till Nationellt cybersäkerhetscenter (NCSC) inom Försvarets radioanstalt (FRA). Samtidigt började nya föreskrifter om incidentrapportering att gälla. Nästa steg tas den 1 oktober 2026, när ytterligare föreskrifter börjar gälla som preciserar kraven på säkerhetsåtgärder, ledningens utbildning samt tillsyn genom säkerhetsrevisioner och säkerhetsskanningar.

NIS 2 har genomförts genom cybersäkerhetslagen

Den 15 januari 2026 trädde cybersäkerhetslagen (2025:1506) och cybersäkerhetsförordningen (2025:1507) i kraft. Genom lagstiftningen genomfördes huvuddelen av NIS 2-direktivet i svensk rätt. Vi har tidigare skrivit om lagens ikraftträdande här och om riksdagens antagande av lagen här.

Sedan ikraftträdandet har regelverket konkretiserats stegvis. Den 2 februari 2026 började MCF:s föreskrifter MCFFS 2026:1 om anmälan och identifiering av väsentliga och viktiga verksamhetsutövare att gälla. För berörda verksamhetsutövare ligger fokus nu på att omsätta kraven i praktiken och kunna visa att organisationen är förberedd för incidentrapportering och tillsyn.

Cyberverksamheten har samlats hos NCSC

Den 1 juli 2026 överfördes MCF:s cyberverksamhet till NCSC, en del av FRA. I samband med överföringen blev FRA Sveriges gemensamma kontaktpunkt enligt NIS 2-direktivet samt nationell CSIRT-enhet och cyberkrishanteringsmyndighet. Den nationella CSIRT-funktionen CERT-SE är organiserad inom NCSC.

För verksamhetsutövare innebär förändringen att anmälningar enligt cybersäkerhetslagen ska lämnas till FRA i dess roll som gemensam kontaktpunkt. Incidenter ska rapporteras till FRA i dess roll som CSIRT-enhet och genom de kontaktvägar som myndigheten anvisar. NCSC samlar bland annat CERT-SE och den nationella funktionen för incidentrapportering.

Sedan den 1 juli 2026 ansvarar FRA även för att meddela föreskrifter på området. Föreskrifter som tidigare beslutats av MCF fortsätter dock att gälla under sina befintliga MCFFS-beteckningar.

Nya regler för incidentrapportering

Den 1 juli 2026 trädde MCF:s föreskrifter och allmänna råd om incidentrapportering och informationsskyldighet, MCFFS 2026:8, i kraft och ersatte MCFFS 2026:6. Kort före ikraftträdandet publicerades även en mer utförlig vägledning på området. På NCSC:s webbplats finns dessutom praktiska lathundar som beskriver rapporteringsprocessen, ger stegvis vägledning och förklarar vilket reservförfarande som ska användas om cyberportalen inte är tillgänglig. Vägledningen och lathundarna utgör stödmaterial men är inte bindande föreskrifter.

Föreskrifterna och vägledningen kompletterar cybersäkerhetslagens krav på rapportering av betydande incidenter. De preciserar bland annat kriterierna för när en incident ska rapporteras (d.v.s. utgör en betydande incidient), innehållet i rapporteringens olika steg och hur mottagare av tjänster ska informeras. De sektorsspecifika kriterierna och reglerna om informationsskyldighet gäller dock inte verksamheter inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster mellan företag, post- och budtjänster eller rymden.

Föreskrifterna konkretiserar den stegvisa rapporteringsmodell som följer av NIS 2-direktivet, men skillnader i ordval väcker vissa tillämpningsfrågor. Enligt NIS 2 och cybersäkerhetslagen ska en tidig upplysning lämnas så snart det kan ske och senast inom 24 timmar från det att verksamhetsutövaren fick kännedom om en betydande incident. Föreskrifterna knyter i stället tidsfristen till när incidenten ”identifierats” som betydande enligt 3–4 kap. i föreskrifterna. Vägledningen använder omväxlande ”bedömts” och ”identifierats”.

Skillnaderna i ordval bör inte uppfattas som att tidsfristen kan skjutas upp genom interna klassificeringssteg. Verksamhetsutövaren bör därför dokumentera när kännedomen om incidenten uppkom, när bedömningen avseende incidentens allvarlighetsgrad gjordes och varför incidenten inte tidigare bedömdes vara betydande.

För verksamhetsutövare är det viktigt att ha tydliga beslutsvägar, utsedda ansvariga och en process för att snabbt bedöma om en incident är betydande. Rutinerna bör fungera även utanför ordinarie kontorstid och omfatta FRA:s reservförfarande när cyberportalen inte är tillgänglig. De bör också samordnas med andra rapporteringskrav, exempelvis enligt dataskyddsregleringen eller sektorsspecifik reglering.

Nya säkerhetsföreskrifter börjar gälla den 1 oktober

MCF har även meddelat föreskrifter och allmänna råd om säkerhetsåtgärder och ledningens utbildning, MCFFS 2026:11. Föreskrifterna börjar gälla den 1 oktober 2026 och konkretiserar det riskbaserade säkerhetsarbete som verksamhetsutövare ska bedriva enligt cybersäkerhetslagen.

Föreskrifterna preciserar kraven på organisatoriska, tekniska, driftrelaterade och fysiska säkerhetsåtgärder. De behandlar bland annat styrning och ansvarsfördelning, omvärldsbevakning, informationsklassning, riskhantering, incident- och krishantering, kontinuitet, personalsäkerhet, säker utveckling och drift samt hantering av leverantörer och utkontraktering. Verksamhetsutövaren ska också identifiera behovet av att dokumentera och bevara underlag för uppföljning, utvärdering och tillsyn.

Valda säkerhetsåtgärder och de risker som åtgärderna ska hantera ska dokumenteras i en åtgärdsplan. Av planen ska bland annat framgå vilken roll som ansvarar för respektive åtgärd och när åtgärden ska vara genomförd. NCSC har även publicerat stöd riktat till bland annat ledningen samt exempel på grundläggande cybersäkerhetsåtgärder.

Leverantörskedjan får en särskilt framträdande roll. Bland annat ska verksamhetsutövaren inför förvärv av nätverks- och informationssystem eller utkontraktering av informationsbehandling, bedöma och hantera riskerna innan avtal ingås. Verksamhetsutövaren ska också säkerställa att leverantören vidtar de åtgärder som krävs för att verksamhetsutövaren ska kunna uppfylla föreskrifterna och löpande utvärdera leverantörens förmåga under avtalstiden. Därutöver ska behovet av kontinuitet i digitala leveranskedjor och information om underleverantörer identifieras och hanteras, särskilt när alternativa lösningar saknas.

Avtal och överenskommelser som har ingåtts före den 1 oktober 2026 behöver inte generellt omförhandlas. Verksamhetsutövaren ska dock bedöma behovet av att, när det är möjligt, komplettera avtalen med cybersäkerhetskrav och hantera riskerna i avtal där kraven är otillräckliga. För berörda verksamhetsutövare finns det därför anledning att kartlägga relevanta leverantörer och identifiera vilka avtal som behöver stärkas ur ett cybersäkerhetsperspektiv.

Vid förvärv och utkontraktering ska verksamhetsutövaren även bedöma behovet av att välja produkter, tjänster, processer och utlokaliserade säkerhetstjänster som är certifierade enligt europeiska ordningar för cybersäkerhetscertifiering. Kravet innebär att behovet av certifiering ska bedömas, inte att certifierade lösningar alltid måste väljas.

Föreskrifterna konkretiserar även ledningens ansvar. De personer som ingår i ledningen ska genomgå utbildning om säkerhetsåtgärder. Utbildningen ska ge den kunskap och kompetens som krävs för att fastställa mål och inriktning för cybersäkerhetsarbetet, bedöma vilka åtgärder som behövs utifrån identifierade risker och följa upp genomförandet. Det är lämpligt att dokumentera utbildningen för att kunna visa att kravet har uppfyllts.

För verksamhetsutövare som uteslutande bedriver verksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster mellan företag, post- och budtjänster eller rymden gäller enligt MCFFS 2026:11 endast kraven på ledningens utbildning. De kategorier som omfattas av kommissionens genomförandeförordning (EU) 2024/2690 ska dessutom följa förordningens direkt tillämpliga tekniska och metodmässiga krav. Vilka regler som gäller måste därför bedömas utifrån den verksamhet som faktiskt bedrivs.

Säkerhetsrevisioner och säkerhetsskanningar i tillsynen

Den 1 oktober 2026 träder även MCF:s föreskrifter MCFFS 2026:12 om säkerhetsrevision och säkerhetsskanning i kraft. Föreskrifterna preciserar hur dessa tillsynsåtgärder får användas enligt cybersäkerhetslagen. En säkerhetsrevision genomförs av ett oberoende organ som tillsynsmyndigheten anlitar, medan en säkerhetsskanning utförs av tillsynsmyndigheten, som i sin tur får anlita en extern aktör.

En säkerhetsrevision ska visa om verksamhetsutövarens säkerhetsåtgärder är ändamålsenliga och effektiva. En säkerhetsskanning används i stället för att upptäcka sårbarheter och osäkra konfigurationer i nätverks- och informationssystem. Föreskrifterna innebär inte att samtliga verksamhetsutövare självmant måste beställa en extern revision eller skanning. De reglerar tillsynsmyndigheternas användning av regelbundna säkerhetsrevisioner av väsentliga verksamhetsutövare, riktade revisioner när det finns särskilda skäl och säkerhetsskanningar som genomförs i samarbete med verksamhetsutövaren.

Verksamhetsutövare bör därför vara förberedda på att ge tillgång till relevanta styrdokument, riskanalyser, incidentunderlag, teknisk dokumentation och underlag som visar att beslutade kontroller har genomförts. Inför en skanning ska tillsynsmyndigheten göra ett riskbaserat urval och, om inte särskilda skäl talar emot, tillsammans med verksamhetsutövaren bedöma påverkan på driften, minimera belastningen samt planera för avbrott och återställning.

Från implementeringsprojekt till löpande styrning

Utvecklingen under 2026 visar på vikten av att kraven integreras i verksamhetens löpande styrning, riskhantering, incidentberedskap, avtalshantering och ledningsarbete.

Inför den 1 oktober 2026 finns det särskild anledning för verksamhetsutövare att se över de rutiner, processer, styrdokument, riskanalyser, åtgärdsplaner, leverantörsavtal, ledningsutbildningar, m.m. Fokus behöver nu flyttas från policy och planering till dokumenterade arbetssätt som kan följas upp och verifieras.