Säkerhetsåtgärder enligt cybersäkerhetslagen

Systematiskt och riskbaserat arbete med säkerhetsåtgärder

Verksamheten ska arbeta systematiskt och riskbaserat utifrån interna respektive externa krav och behov.

Att arbeta systematiskt innebär att regelbundet analysera verksamhetens krav, att införa ändamålsenliga säkerhetsåtgärder utifrån dessa krav, samt att kontinuerligt följa upp och förbättra skyddet. Med riskbaserat menas att säkerhetsåtgärderna ska vara anpassade till verksamhetens identifierade risker och behov, vilket ger ett ändamålsenligt skydd.

Säkerhetsåtgärder ska utformas och införas för att hantera risker som hotar säkerheten i nätverks- och informationssystem.

Verksamheten behöver till exempel arbeta med

• riskhantering (att identifiera, analysera och bedöma risker),
• kontinuitetshantering (att förbereda sig för att kunna upprätthålla kritisk verksamhet även vid störningar) och
• säkerhet i leveranskedjan (att krav på cybersäkerhet även ställs på leverantörer).

Verksamheten ska även följa upp cybersäkerhetsarbetet och utvärdera säkerhetsåtgärderna samt vid behov genomföra förbättringar.

Arbetet med cybersäkerhet ska vara en del av verksamhetens ledning och styrning av organisationen. Verksamheten identifierar och hanterar behovet av användningen av relevanta standarder som kan stötta i arbetet.

Krav på säkerhetsåtgärder enligt cybersäkerhetslagen

De företag och andra organisationer som omfattas av cybersäkerhetslagen kallas verksamhetsutövare. Cybersäkerhetslagen ställer krav på att verksamhetsutövare ska vidta lämpliga och proportionella åtgärder inom ett antal olika områden för att skydda nätverks- och informationssystem mot incidenter. Myndigheter som regeringen utser får meddela föreskrifter som förtydligar innebörden av kraven i lagen.

Myndigheten för civilt försvar har därför utfärdat föreskrifter om säkerhetsåtgärder och ledningens utbildning. Föreskrifterna träder i kraft 1 oktober 2026. Cyberverksamheten vid myndigheten överfördes till Nationellt cybersäkerhetscenter (NCSC) vid FRA den 1 juli 2026, varvid också ansvaret för föreskrifterna flyttats till NCSC.

Länk till föreskrift:

MCFFS 2026:11 föreskrifter om säkerhetsåtgärder och ledningens utbildning.

De flesta verksamhetsutövare berörs av föreskrifterna i sin helhet. Vissa verksamhetsutövare berörs endast av kraven på ledningens utbildning (2 kap.). Det gäller för verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden. För dessa sektorer gäller krav på säkerhetsåtgärder som finns i EU:s genomförandeförordning respektive kommande föreskrifter från Post- och telestyrelsen (PTS).

Mer information om genomförandeförordningen och föreskrifter från PTS finns på PTS webbplats:  PTS tar fram föreskrifter

Vilka säkerhetsåtgärder ska vidtas?

Verksamheter ska vidta organisatoriska, tekniska och fysiska säkerhetsåtgärder som upprätthåller en hög nivå av cybersäkerhet. Föreskrifterna beskriver vilka åtgärder som minst ska vidtas inom respektive område. Verksamhetsutövaren behöver göra en egen riskanalys för att avgöra vilken nivå av skydd som behövs (säkerhetsåtgärden Riskhantering). För särskilt utpekade sektorer finns det även vissa sektorsspecifika säkerhetsåtgärder som meddelas i föreskrifterna.

De organisatoriska åtgärderna innebär att sätta upp ett systematiskt och riskbaserat cybersäkerhetsarbete. Det innefattar bland annat att klassa information, arbeta med riskhantering, incidenthantering och krishantering. Åtgärderna ska också följas upp och utvärderas. De organisatoriska säkerhetsåtgärderna innefattar också bland annat personalsäkerhet och ledningens ansvar.

De tekniska och driftsrelaterade åtgärderna handlar om  säkerhetskrav för inköp, utveckling och livscykelhantering av it-miljö. Det innebär också att verksamheten ska säkerställa korrekt hantering och återställning av information och system, och minska risker för incidenter och dess konsekvenser. Åtgärderna innefattar även genomförande av tester för att identifiera brister i cybersäkerheten.

De fysiska åtgärderna innebär att lokaler där information behandlas i system ska skyddas mot obehörigt tillträde. Det innebär också annat fysiskt skydd för utrustning efter behov samt skydd mot exempelvis brand och vattenskador.

Introduktion till föreskrifterna om säkerhetsåtgärder och ledningens utbildning

Som ett första steg i att komma i gång med föreskrifterna och som ett stöd för att implementera ett systematiskt cybersäkerhetsarbete har en introduktion tagits fram.

Vägledning till föreskrifterna kommer i slutet av 2026.

Introduktion till föreskrifterna om säkerhetsåtgärder och ledningens utbildning

Mer information

Har du frågor så titta gärna på webbinariet och läs Frågor och svar om cybersäkerhetslagen

Håll utkik på den här sidan, ytterligare informations- och stödmaterial kommer att publiceras löpande.