Säkerhetsåtgärder enligt cybersäkerhetslagen

Systematiskt och riskbaserat arbete med säkerhetsåtgärder

Verksamheten ska arbeta systematiskt och riskbaserat utifrån interna respektive externa krav och behov.

Att arbeta systematiskt innebär att regelbundet analysera verksamhetens krav, att införa ändamålsenliga säkerhetsåtgärder utifrån dessa krav, samt att kontinuerligt följa upp och förbättra skyddet. Med riskbaserat menas att säkerhetsåtgärderna ska vara anpassade till verksamhetens identifierade risker och behov, vilket ger ett ändamålsenligt skydd.

Säkerhetsåtgärder ska utformas och införas för att hantera risker som hotar säkerheten i nätverks- och informationssystem.

Verksamheten behöver till exempel arbeta med

• riskhantering (att identifiera, analysera och bedöma risker),
• kontinuitetshantering (att förbereda sig för att kunna upprätthålla kritisk verksamhet även vid störningar) och
• säkerhet i leveranskedjan (att krav på cybersäkerhet även ställs på leverantörer).

Verksamheten ska även följa upp cybersäkerhetsarbetet och utvärdera säkerhetsåtgärderna samt vid behov genomföra förbättringar.

Arbetet med cybersäkerhet ska vara en del av verksamhetens ledning och styrning av organisationen. Verksamheten identifierar och hanterar behovet av användningen av relevanta standarder som kan stötta i arbetet.

Krav på säkerhetsåtgärder enligt cybersäkerhetslagen

De företag och andra organisationer som omfattas av cybersäkerhetslagen kallas verksamhetsutövare. Cybersäkerhetslagen ställer krav på att verksamhetsutövare ska vidta lämpliga och proportionella åtgärder inom ett antal olika områden för att skydda nätverks- och informationssystem mot incidenter. Myndigheter som regeringen utser får meddela föreskrifter som förtydligar innebörden av kraven i lagen.

Myndigheten för civilt försvar har därför utfärdat föreskrifter om säkerhetsåtgärder och ledningens utbildning. Föreskrifterna träder i kraft 1 oktober 2026. Cyberverksamheten vid myndigheten överfördes till Nationellt cybersäkerhetscenter (NCSC) vid FRA den 1 juli 2026, varvid också ansvaret för föreskrifterna flyttats till NCSC.

Länk till föreskrift:

MCFFS 2026:11 föreskrifter om säkerhetsåtgärder och ledningens utbildning.

De flesta verksamhetsutövare berörs av föreskrifterna i sin helhet. Vissa verksamhetsutövare berörs endast av kraven på ledningens utbildning (2 kap.). Det gäller för verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden. För dessa sektorer gäller krav på säkerhetsåtgärder som finns i EU:s genomförandeförordning respektive kommande föreskrifter från Post- och telestyrelsen (PTS).

Mer information om genomförandeförordningen och föreskrifter från PTS finns på PTS webbplats:  PTS tar fram föreskrifter

Vilka säkerhetsåtgärder ska vidtas?

Verksamheter ska vidta organisatoriska, tekniska och fysiska säkerhetsåtgärder som upprätthåller en hög nivå av cybersäkerhet. Föreskrifterna beskriver vilka åtgärder som minst ska vidtas inom respektive område. Verksamhetsutövaren behöver göra en egen riskanalys för att avgöra vilken nivå av skydd som behövs (säkerhetsåtgärden Riskhantering). För särskilt utpekade sektorer finns det även vissa sektorsspecifika säkerhetsåtgärder som meddelas i föreskrifterna.

De organisatoriska åtgärderna innebär att sätta upp ett systematiskt och riskbaserat cybersäkerhetsarbete. Det innefattar bland annat att klassa information, arbeta med riskhantering, incidenthantering och krishantering. Åtgärderna ska också följas upp och utvärderas. De organisatoriska säkerhetsåtgärderna innefattar också bland annat personalsäkerhet och ledningens ansvar.

De tekniska och driftsrelaterade åtgärderna handlar om  säkerhetskrav för inköp, utveckling och livscykelhantering av it-miljö. Det innebär också att verksamheten ska säkerställa korrekt hantering och återställning av information och system, och minska risker för incidenter och dess konsekvenser. Åtgärderna innefattar även genomförande av tester för att identifiera brister i cybersäkerheten.

De fysiska åtgärderna innebär att lokaler där information behandlas i system ska skyddas mot obehörigt tillträde. Det innebär också annat fysiskt skydd för utrustning efter behov samt skydd mot exempelvis brand och vattenskador.

Komma igång med föreskrifterna

Tips på förberedelser inför att föreskrifterna träder i kraft:

• Läs igenom föreskrifterna i lugn och ro, gärna med berörda kollegor.
• Jämför era nuvarande säkerhetsåtgärder med kraven i föreskrifterna
• Inkludera cybersäkerhet i pågående arbete med att ta fram avtal och överenskommelser med leverantörer
• Anslut er till ANTS – automatiska notifieringar om tekniska sårbarheter
  Länk till ANTS
• Ta del av råd och stöd på vår webbplats
  Länk till Rådgivning och stöd

Stöd för att implementera ett systematiskt cybersäkerhetsarbete

Det systematiska och riskbaserade cybersäkerhetsarbetet kan stöttas av ett metodstöd kring systematiskt informationssäkerhetsarbete som vi tagit fram. Metodstödet beskriver de delar som krävs för att kunna skapa en systematik i arbetet med informations- och cybersäkerhet – från hur analys av verksamheten kan genomföras, till hur styrdokument kan utformas. Metodstödet är tillgängligt för alla, och går att applicera oavsett storlek eller organisationsform.

Grunderna i det systematiska och riskbaserade informationssäkerhetsarbetet kan vara till stor hjälp för att efterleva Cybersäkerhetslagen och införa säkerhetsåtgärder.

Utbildning cybersäkerhet

Vi har tagit fram enkla utbildningar för informationssäkerhet som stöttar er i cybersäkerhetsarbetet och kan nyttjas för att utbilda både ansvariga för cybersäkerhetsarbetet och verksamheten i informationssäkerhet.

Kurser inom informationssäkerhet

Se över det systematiska cybersäkerhetsarbetet 

En del av säkerhetsåtgärderna är att se över och utvärdera det systematiska och riskbaserade cybersäkerhetsarbetet. För uppföljning kan verksamheter använda sig av våra verktyg, exempelvis Cybersäkerhetskollen och Mognadsdialogen. Observera att dessa verktyg inte är specifikt anpassade för cybersäkerhetslagen.

Cybersäkerhetskollen

Mognadsdialogen

Kommunicera med verksamheten

För att arbeta med verksamheten i det systematiska och riskbaserade cybersäkerhetsarbetet behöver arbetet kommuniceras. För att stötta er i kommunikationen av detta, har vi tagit fram en grundpresentation som presenterar cybersäkerhetslagen och vad det innebär för verksamheten.

Grundpresentation om cybersäkerhetslagen

Förfina och vidareutveckla arbetet

Cybersäkerhetsarbetet behöver vara anpassat efter verksamheten och dess omvärld. Det innebär att arbetet ständigt behöver uppdateras och förfinas efterhand.

Varje år sammanställer vi trender och slutsatser om samhällets cybersäkerhet på aggregerad nivå utifrån inkommen it-incidentrapportering. Detta hjälper oss i vårt arbete med Sveriges cybersäkerhet, men är även bra för verksamheter att ta del av för att skapa kunskap och ta till sig lärdomar om samhällets sårbarheter.

Rapporter om it-incidenter och cyberangrepp

Mer information

Har du frågor så titta gärna på webbinariet och läs Frågor och svar om cybersäkerhetslagen

Håll utkik på den här sidan, ytterligare informations- och stödmaterial kommer att publiceras löpande.