Reglering av cybersäkerhetslagen
Här finns en beskrivning av hur regleringsstrukturen för cybersäkerhetslagen (NIS2-direktivet) ser ut.
Cybersäkerhetslagen
Cybersäkerhetslagen genomför NIS2-direktivets krav i Sverige, som formaliserar bland annat vilka som omfattas och vad de har för skyldigheter. Lagen beslutas av riksdagen.
Cybersäkerhetslag (2025:1506) på riksdagens webbplats
Cybersäkerhetsförordningen
I cybersäkerhetsförordningen, som beslutas av regeringen, framgår bland annat vilka myndigheter som ska vara tillsynsmyndigheter och vilka som får mandat att utfärda föreskrifter där lagen anger sådan möjlighet.
Cybersäkerhetsförordning (2025:1507) på riksdagens webbplats
Föreskrifter
Föreskrifter används för att förtydliga kraven, fastställa kriterier eller göra andra preciseringar som behövs.
Föreskriftsmandaten framgår av cybersäkerhetsförordningen. Myndigheten för civilt försvar och Post- och telestyrelsen (PTS) har fått uppdraget att förbereda föreskrifter.
Observera
Den 1 juli 2026 flyttades cyberverksamheten från Myndigheten för civilt försvar till Nationellt cybersäkerhetscenter (NCSC) vid Försvarets radioanstalt (FRA). FRA ansvarar nu för dessa föreskrifter. Föreskrifterna kan fortfarande bära Myndigheten för civilt försvars namn tills de uppdateras vid en framtida revidering.
MCFFS 2026:1 föreskrifter om anmälan och identifiering av väsentliga och viktiga verksamhetsutövare
Verksamhetsutövare som omfattas av cybersäkerhetslagen ska anmäla sig till den myndighet som regeringen utser. Föreskrifterna ska bland annat detaljera vad som ska anges i anmälan och hur anmälan ska göras.
MCFFS 2026:1 Föreskrifter om anmälan och identifiering av väsentliga och viktiga verksamhetsutövare
Vägledning för anmälan och identifiering av verksamhetsutövare som omfattas av cybersäkerhetslagen
MCFFS 2026:8 föreskrifter om incidentrapportering och informationsskyldighet för väsentliga och viktiga verksamhetsutövare
Dessa föreskrifter specificerar dels vad som ska anses utgöra en betydande incident och således vara rapporteringspliktig enlig cybersäkerhetslagen (NIS2), dels hur incidenter ska rapporteras. Dessutom detaljeras kraven på när och hur verksamhetsutövare ska informera vid betydande incidenter och cyberhot.
Vägledning incidentrapportering och informationsskyldighet
MCFFS 2026:11 föreskrifter om säkerhetsåtgärder och ledningens utbildning
Föreskrifter som förtydligar vad lagkraven betyder för verksamhetsutövarna, och vad de behöver göra för att säkerställa sin cybersäkerhet. Föreskrifterna reglerar tekniska, driftsrelaterade och organisatoriska åtgärder som verksamhetsutövaren behöver vidta för att skydda nätverks- och informationssystem samt vilken utbildning verksamhetsutövarens ledning ska genomföra för att uppfylla lagens krav.
Vägledning kommer att publiceras vid årsskiftet 2026-2027.
MCFFS 2026:11 föreskrifter om säkerhetsåtgärder och ledningens utbildning
Introduktion till föreskrifterna om säkerhetsåtgärder och ledningens utbildning
MCFFS 2026:12 föreskrifter om säkerhetsrevision och säkerhetsskanning
Dessa föreskrifter reglerar kraven för säkerhetsrevision och säkerhetsskanning när tillsynsmyndigheterna anlitar en tredje part. Föreskrifterna är för tillsynsmyndigheterna, men kan vara av intresse för verksamhetsutövare som ska genomgå säkerhetsrevision och säkerhetsskanning.
MCFFS 2026:12 föreskrifter om säkerhetsrevision och säkerhetsskanning
Föreskrifter från andra myndigheter
Post- och telestyrelsen (PTS) har som uppdrag att meddela föreskrifter om säkerhetsåtgärder och incidentrapportering för de fem sektorer som faller under myndighetens tillsynsansvar enligt cybersäkerhetslagen.
De verksamhetsutövare som omfattas av PTS:s tillsyn ska endast tillämpa kraven på ledningens utbildning (se kapitel 2) i föreskrifterna om säkerhetsåtgärder och ledningens utbildning. För dessa verksamhetsutövare gäller i stället PTS:s motsvarande föreskrifter alternativt EU:s genomförandeförordning på området. Ett undantag från detta är länsstyrelserna som, liksom övriga statliga myndigheter, ska följa MCFFS 2026:11 föreskrifter om säkerhetsåtgärder och ledningens utbildning i sin helhet.
Post- och telestyrelsens föreskrifter för att rapportera betydande incidenter på telekomområdet
Genomförandeförordning
I vissa sektorer är verksamheten svår att hänföra till ett specifikt land. Därför har EU beslutat att kraven för sådana verksamhetsutövare ska vara gemensamma, istället för att utfärdas i respektive medlemsstat. De gemensamma kraven anges i en genomförandeförordning på EU-nivå, som gäller från den 7 november 2024.
Mer information för verksamhetsutövare som berörs finns på Post- och telestyrelsens webbplats.
-
Verksamhetsutövare som omfattas av genomförandeförordningen
- leverantörer av DNS-tjänster,
- registreringsenheter för toppdomäner,
- leverantörer av molntjänster,
- leverantörer av datacentraltjänster,
- leverantörer av nätverk för leverans av innehåll,
- leverantörer av hanterade tjänster,
- leverantörer av hanterade säkerhetstjänster samt
- leverantörer av marknadsplatser online,
- leverantörer av sökmotorer,
- leverantörer av plattformar för sociala nätverkstjänster,
- tillhandahållare av betrodda tjänster.
Läs genomförandeförordningen på EU:s webbplats
Läs mer på Post- och telestyrelsens (PTS) webbplats
Annan reglering
Samtidigt som beslutet om NIS2-direktivet kom fattades även beslut om direktivet om kritiska entiteters motståndskraft, CER. CER-direktivet ställer krav på åtgärder för att stärka motståndskraften i viss samhällsviktig verksamhet, men är inte inriktat på säkerheten i nätverk och informationssystem som NIS2-direktivet är.
CER-direktivet på Myndigheten för civilt försvars webbplats
Den finansiella sektorn regleras genom DORA-förordningen.
DORA-förordningen på Finansinspektionens webbplats
Verksamheter som omfattas av säkerhetsskydd är undantagen från delar av kraven i cybersäkerhetslagen.
Säkerhetsskydd på Säkerhetspolisens webbplats
