Frågor och svar om cybersäkerhetslagen

Genom NIS2-direktivet ställer EU krav på medlemsstaterna att höja den gemensamma cybersäkerhetsnivån och höja motståndskraften i samhällsviktig verksamhet. Regleringen säkerställer att viktiga samhällsfunktioner fortsätter att fungera i alla lägen.

Enkelt uttryckt sker detta genom att ställa krav på organisationer som ansvarar för viktiga samhällsfunktioner: de ska ha ett systematiskt informationssäkerhetsarbete och lämpliga riskhanteringsåtgärder, och de ska rapportera in betydande incidenter till tillsynsmyndigheterna.
NIS2-direktivet regleras genom cybersäkerhetslagen i Sverige.
Jämfört med det tidigare NIS-direktivet (NIS1) så skärps kraven på de organisationer som omfattas. Dessa blir också betydligt fler, då befintliga sektorer får nya kriterier och flera nya sektorer tillkommer.

De som omfattas av cybersäkerhetslagen kallas verksamhetsutövare. Verksamhetsutövarna finns i 18 olika sektorer. Organisationer omfattas som juridiska personer. Organisationsnummer utgör en sådan person. Organisationen behöver själv bedöma om den omfattas av cybersäkerhetslagen.

Läs mer om hur organisationer kan bedöma om verksamheten omfattas eller inte

NIS2 regleras genom cybersäkerhetslagen. CER kommer att regleras i en annan kommande lagstiftning. CER- och NIS2-direktiven kompletterar varandra då NIS2-direktivet reglerar det systematiska cybersäkerhetsarbetet även i samhällsviktig verksamhet som identifieras under CER-direktivet.

Cybersäkerhetslagen

Läs mer om CER-direktivet 

Cybersäkerhetslagen kommer inte att gälla för statliga myndigheter som till övervägande del bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen eller som till övervägande del bedriver brottsbekämpande verksamhet.

Cybersäkerhetslagen gäller inte heller för en enskild verksamhetsutövare som enbart bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen eller som enbart erbjuder tjänster till sådana statliga myndigheter som avses i första stycket.

Skyldigheterna att lämna uppgifter enligt cybersäkerhetslagen gäller inte uppgifter som är säkerhetsskyddsklassificerade enligt säkerhetsskyddslagen.

Mer information om detta återfinns i lagen.

Cybersäkerhetslagen

NCSC stöttar organisationer i efterlevandet av cybersäkerhetslagen genom utbildningar om det systematiska cybersäkerhetsarbetet, material och webbinarier. 

NCSC erbjuder även organisationer stöd via Cybersäkerhetsrådgivningen som stöttar och ger rådgivning kring cybersäkerhetslagen och det förebyggande cybersäkerhetsarbetet.

Cybersäkerhetsrådgivningen

Vid pågående incidenter ger CERT-SE operativt stöd i hantering av incidenten.

Förnärvarande finns det inga specifika medel att ansöka om för att efterleva cybersäkerhetslagen.

För en översikt av bidrag som kan sökas för projekt, se:

NCC-SEs aktuella utlysningar

EU-kommissionens genomförandeförordning (2024/2960) inkluderar krav på säkerhetsåtgärder och kriterier för incidentrapportering för sektorerna digital infrastruktur, digitala leverantörer och förvaltning av IKT-tjänster (mellan företag).  EU har tagit fram särskilda regler för dessa sektorer då det är svårare att hänföra deras verksamhet till något specifikt land. Därför beslutades det att kraven skulle vara gemensamma.

Notera att tillhandahållare av allmänna elektroniska kommunikationsnät och tillhandahållare av allmänt tillgängliga elektroniska kommuntjänster är exkluderade från genomförandeförordningen. Dessa verksamhetsutövare regleras av Post- och telestyrelsen (PTS).

Läs mer om genomförandeförordningen

Besök PTS webbplats

Verksamheten för cybersäkerhet hos Myndigheten för civilt försvar gick över till Nationellt cybersäkerhetscenter (NCSC) hos Försvarets radioanstalt (FRA) den 1 juli 2026 enligt regeringsbeslut om att samla cybersäkerhetsverksamheten hos NCSC. Beslutet gäller för hela cybersäkerhetsverksamheten och inkluderar därmed arbetet med cybersäkerhetslagen.

Att cyberverksamheten flyttar från Myndigheten för civilt försvar till Nationellt cybersäkerhetscenter (NCSC) vid Försvarets radioanstalt (FRA) innebär att FRA nu ansvarar för föreskrifterna inom området. Föreskrifterna kan fortfarande bära Myndigheten för civilt försvars namn tills de uppdateras vid en framtida revidering.

Nyheten hos NCSC

Regeringsbeslutet

NCSC kan inte avgöra om du omfattas.

Tillsynsmyndigheterna kan i vissa fall ge ett stöd.

Det är verksamhetsutövarens ansvar att göra bedömningen.

Är du osäker, gör din bästa bedömning.

Dokumentera skälen för er bedömning och skicka in en anmälan. Det går att återta en anmälan senare om bedömningen ändras.

Dokumentera skälen för er bedömning så att ni kan redovisa för tillsynsmyndigheten vid behov. Om bedömningen ändras längre fram, skicka då in en ny anmälan så snart som möjligt.

Genomför och dokumentera er analys. Om den landar i en bedömning att ni omfattas, gör då en anmälan så snart som möjligt.

Det som gäller är en anmälan per organisation, det vill säga juridisk person.

Det är lämpligt att organisationen utser en person som är ansvarig för att göra en komplett anmälan för samtliga verksamheter inom organisationen som omfattas.

Anmälan kan göras vi ombud, det finns alltså en möjlighet att göra en anmälan på uppdrag av tredje part. En fullmakt behövs inte vid anmälan men anmälan av tredje part kommer att behöva styrkas vid tillsyn.

Det innebär inte per automatik att man blir föremål för tillsyn eller sanktioner. Tillsynsmyndigheten fattar beslut om när och för vilka verksamhetsutövare tillsyn ska inledas, samt bedömer om det finns grund för ingripande, som exempelvis sanktionsavgift.

Informationen från anmälningstjänsten används för att skapa en samlad förteckning över vilka verksamhetsutövare som tillhör vilka sektorer. Förteckningen delas sedan med tillsynsmyndigheterna.

Anmälan kan begäras ut, men en sekretessprövning görs och information döljs när den inte är lämplig att delas.

Listan över verksamhetsutövare kommer inte vara tillgänglig publikt, utan sammanställas och delas med respektive tillsynsmyndighet. En del av sammanställningen kommer att delas med EU-kommissionen och ENISA.

Ja, alla verksamheter som omfattas av den nya cybersäkerhetslagen behöver anmäla sig även om man tidigare omfattats av NIS1.

Om en koncern omfattas av flera sektorer ska koncernen anmäla sig för samtliga sektorer, så länge dotterbolagen eller anknutna partner företag inte har egna organisationsnummer då ska de göra egna anmälningar. Det vill säga en verksamhetsutövare kommer att kunna anmäla flera sektorer för en verksamhet.

Att anmäla en verksamhet

Omfattas verksamheten  

Hela kommunen ska anmäla sig som en verksamhetsutövare. Mer information om detta finns i Vägledning för anmälan och identifiering av verksamhetsutövare som omfattas av cybersäkerhetslagen.

Läs mer på sidan Omfattas verksamheten av cybersäkerhetslagen

Om kollektivtrafiken finns i en region träffas den av cybersäkerhetslagen genom att hela regionen omfattas. Kollektivtrafik finns inte med under transportsektorn i cybersäkerhetslagen, men däremot i CER, vilket innebär att verksamheten på grund av CER kommer att behöva efterleva cybersäkerhetslagen.

CER-direktivet

Nej, då ni inte räknas som verksamhetsutövare så omfattas ni inte som egen organisation av cybersäkerhetslagen. Däremot kan era kunder ställa krav i linje med lagen och föreskrifterna för säkerhetsåtgärder och ledningens utbildning för att säkerställa att hela leveransen håller den säkerhetsnivån som krävs.

Ett system är endast sektorskritiskt om det är nödvändigt för att bedriva sektorsverksamhet i enlighet med cybersäkerhetslagen. Ett system är sektorskritiskt om det behövs för att upprätthålla verksamheten över tid.

Begreppet samhällsviktig verksamhet, är inte förankrat i cybersäkerhetslagen. System inom samhällsviktig verksamhet kan vara sektorskritiska, men behöver inte vara det. 

Vilka uppgifter som behöver lämnas vid rapportering framgår av föreskrifterna om incidetrapportering och informationsskyldighet (MCFFS 2026:8). Vilka frågor som ska besvaras framgår dessutom tydligt i incidentrapporteringsformuläret som tillhandahålls via cyberportalen och via reservförfarandet. För vidare information om vilken typ av information som efterfrågas kan du läsa vägledningen för incidentrapportering och informationsskyldighet.

Hur utförliga beskrivningarna bör vara för att rapporteringsplikten ska anses vara uppfylld avgörs ytterst av respektive tillsynsmyndighet.

Cyberportalen

Reservförfarandet

Vägledning om incidentrapportering och informationsskyldighet

IRON stängdes 30 juni kl. 17.00. Verksamhetsutövare som inte slutförde sin rapportering enligt cybersäkerhetslagen samt statliga myndigheter som inte slutförde sin rapportering enligt förordningen (2022:524) om statliga myndigheters beredskap måste rapportera om incidenten i cybersäkerhetsportalen. Det innebär att verksamhetsutövare som inte slutfört sin rapportering innan 30 juli kl. 17.00 behöver rapportera in alla tre skeden i cyberportalen.

Cyberportalen

Alla incidenter rapporteras till NCSC från och med 1 juli. NCSC vidarebefordrar incidentrapporter till den eller de tillsynsmyndigheter som berörs av incidenten.

Incidenter som omfattas av cybersäkerhetslagen ska rapporteras till NCSC. Incidenter som också omfattas av rapporteringsplikt enligt andra regelverk ska rapporteras till den eller de myndigheter som berörs.

Om incidenten exempelvis omfattas av rapporteringsplikt enligt cybersäkerhetslagen men också utgör en personuppgiftsincident enligt dataskyddsförordningen, ska den rapporteras till både NCSC och Integritetsskyddsmyndigheten (IMY).

Ja, de ekonomiska kostnaderna ska uppges i slutrapporten.

Notera också att om incidentetn har inneburit en stor kostnad, så kan det utgöra en betydande incident. Mer information finns i föreskrifterna och vägledningen om incidentrapportering och informationsskyldighet.

Incidentrapporering enligt cybersäkerhetslagen

En och samma incident kan behöva rapporteras av flera organisationer om dessa omfattas av cybersäkerhetslagen och incidenten omfattas av rapporteringsplikt. Det är den enskilda verksamhetsutövarens ansvar att bedöma om incidenten är rapporteringspliktig enligt regleringen för deras sektor.  

EU-kommissionens genomförandeförordning (2024/2960) inkluderar kriterier och trösklar för rapporteringsplikt för verksamhetsutövare inom sektorerna digital infrastruktur, digitala leverantörer och förvaltning av IKT-tjänster (mellan företag). Tillhandahållare av allmänna elektroniska kommunikationsnät och tillhandahållare av allmänt tillgängliga elektroniska kommunikationstjänster kommer dock omfattas av separata föreskrifter som tas fram av PTS.

Information om genomförandeförordningen

Information om incidentrapportering enligt cybersäkerhetslagen

Besök PTS webbplats

Incidentrapporter som omfattades av den tidigare NIS-lagen (NIS1-direktivet) vidarebefordrades också till ansvariga tillsynsmyndigheter. 

De verksamheter som omfattas av genomförandeförordningen ska rapportera in incidenter på det sätt som specificeras i föreskrifterna om incidentrapportering och informationsskyldighet (MCFFS 2026:8).

Vad som utgör en rapporteringspliktig incident för de flesta verksamhetsutövare inom sektorn digital infrastruktur och alla inom sektorerna digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), rymden samt post- och budtjänster regleras dock inte i dessa föreskrifter utan i genomförandeförordningen.  

Genomförandeförordningen

Information om hur incidentrapportering enligt cybersäkerhetslagen går till

Tillsynsmyndigheternas information om omfattning

Besök PTS webbplats

En incident behöver rapporteras så snart som möjligt men senast 24 timmar efter att den bedömts vara rapporteringspliktig. Det är således inte alltid en incident behöver rapporteras inom 24 timmar från dess att incidenten inträffade.

Vi uppmanar alla organisationer att inkomma med en första upplysning så snart som möjligt utifrån den information som finns tillgänglig. Det går att komplettera inskickad upplysning i senare skede om det bedöms vara nödvändigt.  

Instruktioner för att rapportera it-incident  

Rapporteringsplikten är konsekvensbaserad. Om incidenten kan få, eller har fått sådana konsekvenser som specificeras i reglering så kan den vara rapporteringspliktig för er som mottagare av en molntjänst.

Om leverantören omfattas av cybersäkerhetslagen så kan det hända att incidenten även är rapporteringspliktig för dem.    

Information om incidentrapportering enligt cybersäkerhetslagen

Instruktioner för att rapportera it-incident

Verksamhetsutövare ska enbart rapportera incidenter till NCSC.

Vissa verksamhetsutövare bedriver verksamhet inom flera sektorer för vilka olika myndigheter ansvarar för tillsyn. Om en sådan verksamhetsutövare i incidentrapporten uppger att incidenten påverkat verksamhet inom flera sektorer så kommer NCSC att vidarebefordra incidentrapporten till samtliga berörda tillsynsmyndigheter.  

En verksamhetsutövare behöver inte skapa flera rapporter även om den drabbat flera sektorer.

Information om hur incidentrapportering enligt cybersäkerhetslagen går till

Instruktioner för att rapportera it-incident  

Ja. Notera dock att incidenten inte nödvändigtvis är rapporteringspliktig för alla verksamhetsutövare som drabbas av den. Varje verksamhetsutövare behöver själv bedöma om incidenten är rapporteringspliktig utifrån de kriterier som gäller för deras sektor.

Information om hur incidentrapportering enligt cybersäkerhetslagen går till

Instruktioner för att rapportera it-incident  

Vem i verksamheten som anmäler verksamheten enligt cybersäkerhetslagen och rapporterar incidenter avgör verksamhetsutövaren. Det går att rapportera incidenter på uppdrag av andra verksamheter. 

Information om hur incidentrapportering enligt cybersäkerhetslagen går till

Information om att anmäla en verksamhet enligt cybersäkerhetslagen

För att kunna rapportera i cyberportalen som behöver man svensk e-legitimation. Det finns också reservförfarande som möjliggör rapportering via andra kanaler för de som saknar eller inte vill använda svensk e-legitimation.

Vad det innebär att bedriva sektorsverksamahet varierar från sektor till sektor. Om incidenten innebär, på kort eller längre sikt, att ni inte kan tillhandahålla er sektorsverksamhet till en icke-ringa andel av mottagare av tjänster under en i föreskrifterna specificerad tidsperiod så bör den rapporteras.

Exempelvis kan det handla om att ni inte kan erbjuda dina externa tjänster som ingår i sektorsverksamheten som vanligt, eller att produktions- eller distributionskapacitet inom sektorsverksamheten har minskat eller upphört under en längre tidsperiod. Du kan läsa mer i vägledningen om incidentrapportering och informationsskyldighet.

Vägledning om incidentrapportering och informationsskyldighet

Vid utlämningsbegäran görs alltid en sekretessprövning. Rapportören kommer att kunna uppge egen sekretessbedömning vid rapporteringstillfället. Känslig information som lämnas vid rapportering skyddas bland annat av OSL 18 kap. 8 b §.

Ja. Notera dock att rapportören behöver ha tillgång till svensk e-legitimation för att rapportera via cyberportalen.

Nej, det behöver inte vara en firmatecknare. Det är upp till verksamhetsutövaren att bestämma vem som ska rapportera en incident. Det är fördelaktigt om rapportören också utgör kontaktpersonen för incidenten.

Om incidenten har påverkat er sektorsverksamhet eller dina erbjudna tjänster i Sverige och uppfyller kriterierna för en betydande incident ska ni rapportera den till NCSC.

Det kan hända att samma incident också är rapporteringspliktig för er leverantör inom ett annat EU-land.   

Organisationer inom kollektivtrafik omfattas i dagsläget inte av krav i cybersäkerhetslagen och behöver således inte rapportera betydande incidenter till NCSC.

Däremot är kollektivtrafik utpekad som undersektor i CER-direktivet. Därför kommer dessa organisationer med stor sannolikhet omfattas av cybersäkerhetslagen när CER-direktivet träder i kraft i Sverige. De kommer då bland annat att behöva rapportera betydande incidenter.

Vilken reglering som gäller för er organisation avgörs av er sektorstillhörighet.

MCFFS (2026:8) om incidentrapportering och informationsskyldighet för väsentliga och viktiga verksamhetsutövare gäller för sektorerna:

• energi,
• transporter,
• hälso- och sjukvård,
• dricksvatten,
• avloppsvatten,
• offentlig förvaltning,
• avfallshantering,
• tillverkning,
• produktion och distribution av kemikalier,
• produktion bearbetning och distribution av livsmedel,
• tillverkning samt
• forskning.

EU-kommissionens genomförandeförordning (EU) 2024/2690 gäller för sektorerna:

• digital infrastruktur (exklusive tillhandahållare av allmänna elektroniska kommunikationsnät och tillhandahållare av allmänt tillgängliga elektroniska kommunikationstjänster),
• digitala leverantörer,
• förvaltning av IKT-tjänster (mellan företag)

De sektorer som omfattas av PTS kommande föreskrifter om vad som utgör en betydande incident och om informationsplikt, men som i dagsläget omfattas av cybersäkerhetslagen:

• tillhandahållare av allmänna elektroniska kommunikationsnät och tillhandahållare av allmänt tillgängliga elektroniska kommunikationstjänster (inom sektorn digital infrastruktur)
• rymden
• post- och budtjänster.

Ja en verksamhetsutövare kan omfattas av flera olika tillsynsmyndigheter om verksamheten verkar i flera sektorer med olika tillsynsmyndigheter.

Läs mer om omfattning

Det finns ett nära samarbete sedan tidigare reglering mellan myndigheterna. Samarbetet fortsätter under den nya regleringen, som dessutom direkt anger att tillsynsmyndigheterna ska komma överens om hur tillsynen ska genomföras när det gäller gemensamma tillsynsobjekt.

Tillsynen kommer att påbörjas gradvis och det kommer att se olika ut utifrån förutsättningarna i respektive sektor och tillsynsmyndighet. Om tillsynen visar på överträdelser kan tillsynsmyndigheten besluta om ingripanden såsom anmärkning, föreläggande eller sanktionsavgift. Dessa utformas i så fall från fall till fall beroende på omständigheterna.

Tillsynsmyndigheterna har ett etablerat samarbete där dialog sker löpande. Hur tillsynen ska genomföras för verksamhetsutövare som verkar i flera sektorer eller har flera tillsynsmyndigheter är något som tillsynsmyndigheterna ska komma överens om enligt cybersäkerhetsförordningen. Syftet med samarbetet är att främja effektiv och likvärdig tillsyn.

Tillsyn kan genomföras på olika sätt, både dokumentgranskning, besök och tekniska kontroller kan bli aktuella. Det vanligaste är att tillsynsmyndigheten meddelar metod när en tillsyn annonseras.

Nej, tillsyn kan ske efter en incident men det behöver inte leda till det. Det är av största vikt att alla rapporteringspliktiga incidenter rapporteras.

Det ställs inga krav på intern tillsynsroll, däremot ställs det krav på att man följer upp sitt eget arbetssätt och det skydd man infört för att verifiera att man faktiskt har den säkerhet som man behöver.

Ledningen ska genomgå utbildning om säkerhetsåtgärder. Ledningens utbildning och ansvar meddelas i föreskrifterna om säkerhetsåtgärder och ledningens utbildning, i föreskrifterna fastställs hur utbildningen för ledningen ska utformas.  

Ledningen ska också kunna ställas till svars för överträdelser när det gäller verksamhetsutövarens säkerhetsåtgärder. I särskilda fall föreslås tillsynsmyndigheterna kunna ingripa genom att ansöka om att en person inte ska få vara befattningshavare hos en viss verksamhetsutövare. Ett sådant förbud får inte riktas mot offentliga verksamhetsutövare.

Mer information om cybersäkerhetslagen för ledningen

Lagen specificerar inte vilka ledningen är närmare. Enligt lagens förarbete, propositionen, avses

• för aktiebolag, styrelse och vd,
• för statliga myndigheter, myndighetschef om det är en enrådighetsmyndighet, styrelse om det är en styrelsemyndighet och en nämnd om det är en nämndmyndighet.
• för regioner och kommuner, regions- eller kommunstyrelse.

Nej, förbud att utöva ledningsroll kan inte utfärdas i offentlig förvaltning.

Det finns inte en sammanställning över de tekniska åtgärderna som krävs för att efterleva cybersäkerhetslagen, utan verksamheten måste själv arbeta med säkerhetsåtgärderna som lag och föreskrifter presenterar och identifiera eventuellt ytterligare lämpliga säkerhetsåtgärder utifrån de krav som ställs. I föreskrifterna och vägledningarna kommer det att finnas mer information om hur lagen ska tillämpas.

Allriskperspektivet är centralt för cybersäkerhetslagen och NIS2-direktivet. Det innebär att man i det systematiska cybersäkerhetsarbetet strävar efter att bedöma alla typer av risker för något som ska skyddas och att analysera alla möjliga orsaker till att en risk realiseras. Vilket innebär att man tar hänsyn till angrepp, misstag, systemfel och naturhändelser.

Det går inte att ange ett fast antal timmar. Utbildningen ska vara individuellt anpassad. Vissa ledningar arbetar redan med cybersäkerhet och vet vilken roll de har vid en kris. Andra gör det inte. Prata internt och kom fram till vad just er ledning behöver. Utbildningen ska inte vara en engångsinsats utan bör ske kontinuerligt.

Gör en riskanalys och för dialog med den som äger lokalerna för att komma överens om nödvändiga anpassningar.

Ja, det blir ett ska-krav från 1 oktober ("om inte uppenbart obehövligt", och då krävs något minst lika bra eller bättre).

Anslut gärna redan nu – det är enkelt och kostnadsfritt.

Mer information om ANTS på Cert.se

Identifiera och hantera behovet och anslut er "om möjligt". Det finns förhandskrav för att kunna ansluta sig, så det kan ta tid innan det är möjligt – därför är kravet villkorat.

Läs mer om MISP-SE på Cert.se

Nej. För befintliga avtal finns inget krav att göra om dem, men ni ska identifiera och hantera riskerna och vid behov komplettera eller vidta åtgärder. För avtal som gäller eller tecknas efter 1 oktober ska kraven föras vidare till leverantören för det ni utkontrakterar och inte själva omhändertar.

Man skall alltid ställa cybersäkerhetskrav i sina leverantörsavtal och beroende på vad man upphandlar ser kraven olika ut. Det stämmer att cybersäkerhetslagen omfattar hela organisationen.  

Man kan söka undantag från föreskrifternas krav i en mycket speciell situation där kraven inte ger säkerhet hos er. Man kan dock aldrig få undantag från själva lagkravet i CSL.

Mer information om CER kommer under 2026 och hur detta ska tolkas. Gemensamt för direktiven är att de båda handlar om motståndskraft i verksamheten, vilket inkluderar det fysiska skyddet.

Mer information om CER

De verksamheter som omfattas av CER omfattas även av cybersäkerhetslagen (NIS2). Vilka verksamheter som omfattas av CER är ännu inte klart då den svenska regleringen inte är färdig, men bilaga 1 i NIS2 är relativt likalydande bilagan i CER.

Mer information om CER-direktivet