Säkerhetsåtgärder enligt cybersäkerhetslagen

Systematiskt och riskbaserat arbete med säkerhetsåtgärder

Verksamheten ska arbeta systematiskt och riskbaserat utifrån interna respektive externa krav och interna behov.

Att arbeta systematiskt innebär att regelbundet analysera verksamhetens behov av skydd för sin informationsbehandling, att införa ändamålsenliga säkerhetsåtgärder samt att kontinuerligt följa upp och förbättra skyddet. Med riskbaserat menas att säkerhetsåtgärderna ska omhänderta verksamhetens identifierade risker så att informationen får ett ändamålsenligt skydd.

Säkerhetsåtgärder ska utformas och införas för att omhänderta risker som hotar säkerheten i nätverks- och informationssystem.

Verksamheten behöver till exempel arbeta med

• riskhantering (att identifiera, analysera och bedöma risker),
• kontinuitetshantering (att förbereda sig för att kunna upprätthålla kritisk verksamhet även vid störningar) och
• säkerhet i leveranskedjan (att krav på cybersäkerhet även ställs på leverantörer).

Verksamheten ska även följa upp cybersäkerhetsarbetet och utvärdera säkerhetsåtgärderna samt vid behov genomföra förbättringar.

Arbetet med cybersäkerhet ska vara integrerat med verksamhetens ledning och styrning av organisationen. Verksamheten identifierar och hanterar behovet av användningen av relevanta standarder som kan stötta i arbetet.

Krav på säkerhetsåtgärder enligt cybersäkerhetslagen

Cybersäkerhetslagen ställer krav på att verksamhetsutövare ska vidta lämpliga och proportionella åtgärder inom ett antal olika områden för att skydda nätverks- och informationssystem mot incidenter. Myndigheter som regeringen utser får utfärda föreskrifter som förtydligar innebörden av kraven i lagen.

Myndigheten för civilt försvar har bland annat utfärdat föreskrifter om säkerhetsåtgärder och ledningens utbildning. Föreskrifterna träder i kraft 1 oktober 2026. Cyberverksamheten vid myndigheten överförs till Nationellt cybersäkerhetscenter (NCSC) vid FRA den 1 juli 2026, varvid också ansvaret för föreskrifterna flyttas till NCSC.

MCFFS 2026:11 föreskrifter om säkerhetsåtgärder och ledningens utbildning.

De flesta verksamhetsutövare berörs av föreskrifterna i sin helhet. Vissa verksamhetsutövare berörs endast av kraven på ledningens utbildning (2 kap.) det gäller för verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden. För dessa sektorer gäller krav på säkerhetsåtgärder som finns i EU:s genomförandeförordning respektive kommande föreskrifter från PTS.

Mer information om genomförandeförordningen och PTS föreskrifter finns på PTS webbplats:  PTS tar fram föreskrifter

Vilka säkerhetsåtgärder ska vidtas?

Verksamheter ska vidta organisatoriska, tekniska och fysiska säkerhetsåtgärder som upprätthåller en hög nivå av cybersäkerhet. Föreskrifterna beskriver vilka åtgärder som minst ska vidtas inom respektive område. Verksamhetsutövaren behöver göra en egen riskanalys för att avgöra vilken nivå av skydd som behövs (säkerhetsåtgärden Riskhantering). För särskilt utpekade sektorer finns det även vissa sektorsspecifika säkerhetsåtgärder som meddelas i föreskrifterna.

De organisatoriska åtgärderna innebär att skapa förutsättningar för att arbeta effektivt med cybersäkerhet genom att sätta upp ett systematiskt och riskbaserat cybersäkerhetsarbete. Det innefattar bland annat att klassa information, arbeta med riskhantering, incidenthantering och krishantering. Åtgärderna ska också följas upp och utvärderas. De organisatoriska säkerhetsåtgärderna innefattar också bland annat personalsäkerhet samt ledningens och andra i organisationens ansvar för cybersäkerheten.

De tekniska och driftsrelaterade åtgärderna handlar om att ställa krav på  säkerhetskrav för inköp, utveckling och livscykelhantering av it-miljö. Det innebär också att verksamheten ska säkerställa korrekt hantering och återställning av information och system, för att minska risker för, och konsekvenser av incidenter. Åtgärderna innefattar även genomförande av tester för att identifiera brister i cybersäkerheten.

De fysiska åtgärderna innebär att lokaler där information behandlas i system ska skyddas mot obehörigt tillträde. Det innebär också skydd för utrustning samt skydd mot exempelvis brand och vattenskador.

Webbinarium med presentation av föreskrifterna

I vårt webbinarium om föreskrifterna för säkerhetsåtgärder och ledningens utbildning berättar vi mer om bakgrunden till föreskrifterna, hur de ska läsas, vad som är bra att tänka på, centrala begrepp i föreskrifterna och tips på hur man kan komma igång.

Webbinarier om cybersäkerhetslagen

Komma igång med föreskrifterna

Tips på förberedelser inför att föreskrifterna träder i kraft:

• Läs igenom föreskrifterna i lugn och ro
• Jämför era nuvarande säkerhetsåtgärder med kraven i föreskrifterna
• Inkludera cybersäkerhet i pågående arbete med att ta fram avtal och överenskommelser med leverantörer
• Anslut er till ANTS – automatiska notifieringar om tekniska sårbarheter
• Ta del av råd och stöd på vår webbplats

Mer information

Har du frågor så titta gärna på webbinariet för mer information (länk ovan) och läs Frågor och svar om cybersäkerhetslagen.

Frågor och svar om cybersäkerhetslagen

Håll utkik på den här sidan, ytterligare informations- och stödmaterial kommer att publiceras under augusti-september.