Lagens uppbyggnad
Lagen är kort men tät. Den består av fem kapitel: inledande bestämmelser, verksamhetsutövares skyldigheter, tillsyn, ingripanden och överklagande. Detaljerna – vilka trösklar som gäller, hur anmälan görs och hur incidenter rapporteras – ligger i förordningen och i föreskrifterna.
- Cybersäkerhetslag (2025:1506) – skyldigheterna och sanktionerna
- Cybersäkerhetsförordning (2025:1507) – tillsynsmyndigheter och bemyndiganden
- MCFFS 2026:1 – föreskrifter om anmälan och identifiering av verksamhetsutövare
- MCFFS 2026:8 – föreskrifter om incidentrapportering och informationsskyldighet, i kraft 1 juli 2026
Steg 1: identifiera om ni omfattas
Den som omfattas av lagen kallas verksamhetsutövare. Det finns ingen myndighetslista att bli uppsatt på – varje organisation ska själv bedöma om den omfattas, och bedömningen görs per juridisk person, det vill säga per organisationsnummer.
Det betyder att en koncern kan ha ett bolag som är väsentlig verksamhetsutövare, ett som är viktig och tre som inte omfattas alls. Gör bedömningen bolag för bolag och dokumentera resonemanget – även slutsatsen att ni inte omfattas är värd att skriva ned.
Steg 2: anmäl er
Verksamhetsutövare ska anmäla sig och lämna uppgifter om bland annat kontaktpunkter, sektorstillhörighet och i vilka medlemsstater verksamheten bedrivs. Uppgifterna ska hållas aktuella – ändrar ni kontaktperson eller verksamhet ska anmälan uppdateras.
Anmälan går inte till en enda myndighet i alla lägen: tillsynsansvaret är fördelat per sektor. Post- och telestyrelsen ansvarar exempelvis för digital infrastruktur och elektronisk kommunikation, Energimyndigheten för energisektorn, IVO och Socialstyrelsen berör hälso- och sjukvård. Incidentrapporter går däremot alltid till NCSC.
Steg 3: inför säkerhetsåtgärderna
Lagen kräver att ni vidtar lämpliga och proportionerliga tekniska, operativa och organisatoriska åtgärder för att hantera risker och minska konsekvenserna av incidenter. Åtgärderna motsvarar de tio punkterna i NIS2 artikel 21.
Proportionerlighet betyder inte "så lite som möjligt". Bedömningen ska utgå från er riskexponering, storlek, kostnaden för åtgärden och hur allvarliga konsekvenserna blir för samhället om ni slutar fungera. Ett litet bolag som driver kritisk infrastruktur får därför högre krav än storleken antyder.
Steg 4: rapportera betydande incidenter
En incident är betydande om den orsakat eller kan orsaka allvarlig driftstörning eller ekonomisk förlust för verksamheten, eller om den påverkat eller kan påverka andra fysiska eller juridiska personer genom betydande materiell eller immateriell skada. MCFFS 2026:8 preciserar trösklarna, och för vissa sektorer gäller dessutom EU-kommissionens genomförandeförordning 2024/2690.
| Rapport | Senast | Till |
|---|---|---|
| Upplysning | 24 timmar efter upptäckt | NCSC |
| Incidentanmälan med inledande bedömning | 72 timmar efter upptäckt (24 timmar för betrodda tjänster) | NCSC |
| Lägesrapport om incidenten pågår | 1 månad | NCSC |
| Slutrapport | 1 månad efter anmälan, eller 1 månad efter avslutad incident | NCSC |
Backup är den åtgärd som ger mest tillbaka
Av de tio åtgärderna är kontinuitetshantering den som direkt påverkar utfallet av en allvarlig incident. En organisation med testad, oföränderlig och isolerad backup kan avsluta en ransomwareincident på timmar i stället för veckor – och kan i slutrapporten visa konkreta åtgärder i stället för en förhandling med en angripare.
Praktisk miniminivå att sikta på: tre kopior av kritisk data, på två olika medietyper, med en kopia utanför produktionsmiljön, minst 30 dagars immutable retention, separata inloggningar till backupmiljön och ett dokumenterat återställningstest varje kvartal för de system som har lägst tolerans mot avbrott.
Tillsyn och ingripanden
Tillsynsmyndigheten kan begära in information, kräva bevis på efterlevnad, genomföra revisioner och besluta om förelägganden. Vid brister kan myndigheten besluta om sanktionsavgift, och för väsentliga verksamhetsutövare kan tillsyn ske proaktivt utan att någon incident inträffat.
Det som granskas är dokumentation: riskanalysen, besluten som ledningen fattat, testprotokollen och incidentloggen. Börja därför dokumentera parallellt med att ni bygger – inte efteråt.
Vanliga frågor
Från vilket datum gäller cybersäkerhetslagen?
Lagen gäller från den 15 januari 2026. Föreskrifterna om incidentrapportering, MCFFS 2026:8, trädde i kraft den 1 juli 2026.
Vem ska vi rapportera incidenter till?
Betydande incidenter rapporteras till Nationellt cybersäkerhetscenter (NCSC), som förmedlar rapporten vidare till er sektors tillsynsmyndighet.
Måste vi anmäla oss även om vi är osäkra på om vi omfattas?
Bedömningen är er egen. Om ni landar i att ni omfattas ska ni anmäla er. Är ni osäkra bör ni dokumentera bedömningen och stämma av med tillsynsmyndigheten för er sektor – att låta bli att anmäla sig är i sig något tillsynen kan ingripa mot.
Gäller lagen för underleverantörer?
Inte automatiskt, men kravet på säkerhet i leveranskedjan gör att era kunder kommer att ställa NIS2-motsvarande krav i avtal. I praktiken sprider sig kraven nedåt i kedjan även till bolag som inte själva är verksamhetsutövare.