Rapportera en betydande incident enligt cybersäkerhetslagen (NIS2)
På den här sidan hittar du instruktioner för hur verksamhetsutövare som omfattas av cybersäkerhetslagen ska rapportera betydande incidenter till Nationellt cybersäkerhetscenter. Incidenter som av verksamhetsutövare bedöms utgöra en betydande incident enligt cybersäkerhetslagen bör rapporteras så snart som möjligt.
Vilka incidenter ska rapporteras?
Verksamhetsutövare ska rapportera betydande incidenter. Följande typer av incidenter anses vara betydande enligt cybersäkerhetslagen:
- En incident som orsakat eller kan orsaka allvarlig driftsstörning för den erbjudna tjänsten eller ekonomisk skada för den berörda verksamheten
- En incident som har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande materiell eller immateriell skada.
Vilka typer av incidenter som kan klassas som betydande och som ska rapporteras regleras i föreskrifter sant på EU-nivå. Regleringar som närmare specificerar kriterier och trösklar för rapportering inkluderar:
EU-kommissionens Genomförandeförordning (EU) 2024/2690
I väntan på Post- och telestyrelsens (PTS) kommande föreskrifter om vad som utgör en betydande incident ska verksamhetsutövare inom sektorer som PTS ansvarar för, men som inte omfattas av EU-kommissionens genomförandeförordning, rapportera enligt bestämmelsen i Cybersäkerhetslagen.
Hur ska betydande incidenter rapporteras?
Rapporteringen av betydande incidenter i enlighet med cybersäkerhetslagen utförs i tre steg. Verksamhetsutövare ska vid rapportering av betydande incidenter inkomma med 1) en Upplysning, 2) en Incidentanmälan och 3) en Slutrapport.
Alla betydande incidenter ska rapporteras till NCSC i enlighet med MCFFS 2026:8 Föreskrifter om incidentrapportering och informationsskyldighet för väsentliga och viktiga verksamhetsutövare. Det finns även en vägledning för incidentrapportering och informationsskyldighet som stöttar verksamhetsutövare med tillämpningen av föreskriften.
Mer information om incidentrapportering enligt cybersäkerhetslagen.
Incidentrapporteringen ska göras i incidentrapporteringsverktyget som finns i cyberportalen. Mottagare av incidentrapporter är Nationellt cybersäkerhetscenter.
Cyberportalen
Notera att det generas ett nytt incidentID vid varje enskilt rapporteringstillfälle. För att kunna slutföra rapporteringen behöver ni därför spara ner ett nytt incidentID efter varje rapporterat skede.
1. Upplysning inom 24 timmar
Så snart som möjligt men senast 24 timmar från det att verksamhetsutövaren identifierat en incident som rapporteringspliktig ska verksamhetsutövaren inkomma med en Upplysning. Den ska bland annat inkludera uppgifter om den betydande incidenten misstänks ha orsakats av olagliga eller avsiktligt skadliga handlingar eller kan ha gränsöverskridande konsekvenser.
I samband med att incidentrapporten skickas in tilldelas rapportören ett incidentID. Det är viktigt att spara denna handling eftersom den måste uppges för att påbörja nästa steg i rapporteringen.
Notera att statliga myndigheter som rapporterar enligt bererdskapsförordningen har en tidsfrist på 6 timmar för upplysning.
Läs mer på sidan om Rapportera incident enligt beredskapsförordningen
Vid pågående incident
Du kan efterfråga hjälp från CERT-SE.
CERT-SE tillhandahåller rådgivning kring hantering av incidenten och ger stöd till drabbade verksamheter för att lindra påverkan av det inträffade och återställa funktion.
Gör så här vid pågående it-incident:
• Ring CERT-SE på 010-382 80 00, eller
• skicka e-post till cert@cert.se
CERT-SE kan nås dygnet runt, alla dagar på året.
2. Incidentanmälan inom 72 timmar
Så snart som möjligt men senast 72 timmar från att verksamhetsutövaren har identifierat en incident som rapporteringspliktig ska verksamhetsutövaren inkomma med en Incidentanmälan. Incidentanmälan ska uppdatera den information som lämnats i Upplysning samt innehålla en bedömning av den betydande incidenten, dess allvarlighetsgrad och konsekvenser samt, i förekommande fall, angreppsindikatorer.
Observera! Verksamhetsutövare som tillhandahåller betrodda tjänster ska inkomma med incidentanmälan inom 24 timmar.
3. Slutrapport inom en månad
Senast en månad efter inskickad incidentanmälan ska verksamhetsutövaren inkomma med en slutrapport. Slutrapporten ska inkludera:
- en detaljerad beskrivning av incidenten, inbegripet dess allvarlighetsgrad och konsekvenser,
- en beskrivning av den typ av hot eller grundorsak som sannolikt har utlöst incidenten,
- tillämpade och pågående begränsande åtgärder samt,
- i tillämpliga fall, information om gränsöverskridande konsekvenser.
Om incidenten fortfarande är pågående efter en månad ska en lägesrapport lämnas istället.
Reservförfarande – om incidentrapporteringsverktyget inte är tillgängligt
Om cyberportalen är otillgänglig eller om du inte kan logga in, behöver du använda reservförfarandet. Du väljer förfarande efter hur känsligt innehållet är.
Inte säkerhetsskyddsklassificerade uppgifter
För uppgifter som inte rör säkerhetsskydd, ladda ned och fyll i reservformuläret. Mejla därefter cybersakerhet@ncsc.se för att del av rutinen för digital inlämning via säker länk.
Om digital inlämning inte är möjlig ‑ rapportera genom rekommenderat brev till adressen nedan. Uppge också informationsklassning av de uppgifter som lämnas, exempelvis på ett försättsblad.
Säkerhetsskyddsklassificerade uppgifter
Alla betydande incidenter är rapporteringspliktiga. Det är dock frivilligt att lämna säkerhetsskyddsklassificerade uppgifter vid ifyllandet av formuläret. Om rapporten innehåller säkerhetsskyddsklassificerade uppgifter ska rapporten skickas som ett rekommenderat brev.
Lägg rapporten i ett eget kuvert inuti försändelsekuvertet. Uppge också informationsklassning av de uppgifter som lämnas, exempelvis på ett försättsblad. Använd bud eller värdepost om det går fortare.
Observera att incidenter i säkerhetsskyddklassad verksamhet inte ska rapporteras enligt cybersäkerhetslagen.
Postadress:
FRA/NCSC
Box 301
161 26 Bromma
Formulär för reservförfarande
Reservförfarande – om incidentrapporteringsverktyget inte är tillgängligt
Om cyberportalen är otillgänglig eller om du inte kan logga in, behöver du använda reservförfarandet. Ladda ned aktuellt formulär för rapportering
Skydd av information
Information som inkommer till myndigheten i samband med incidentrapportering kan vara känslig ur ett risk- och sårbarhetsperspektiv. Det kan till exempel handla om information om sårbarheter, säkerhetsåtgärder samt vilka åtgärder som har vidtagits till följd av incidenten. Informationen kan vara känslig, inte bara för den verksamhet som har drabbats, utan även för andra verksamheter som kan ha sina säkerhetsåtgärder eller system konstruerade på liknande sätt.
Därför är det viktigt för NCSC att den information som lämnas in och skapas i samband med incidentrapporteringen skyddas på ett lämpligt sätt. Myndigheten använder rutiner, processer samt system med hög teknisk säkerhet för att skydda informationen. Hanteringen sker också i enlighet med de rättsliga krav som gäller.
-
Prövning av sekretess
Prövning av sekretessen görs av Nationellt cybersäkerhetscenter, NCSC, då en uppgift begärs utlämnad. Om en uppgift som begärs ut omfattas av sekretess får den inte lämnas ut. Information som inkommer till NCSC i samband med it-incidenthantering kan vara av olika slag men ger i många fall upplysningar om säkerhets- eller bevakningsåtgärder när det gäller en organisations it- eller kommunikationssystem.
Om det kan antas att syftet med säkerhets- eller bevakningsåtgärder motverkas, exempelvis genom att säkerhetsarbetet försvåras, om den typen av information röjs finns det stöd i offentlighets- och sekretesslagen att enligt 18 kap. 8 § p. 3 att sekretessbelägga sådan information. I de fall då ett röjande av informationen inte påverkar syftet med säkerhets- eller bevakningsåtgärden, exempelvis då informationen är allmänt känd, omfattas informationen däremot inte av sekretess enligt offentlighets- och sekretesslagen.
Av 18 kap 8 b OSL följer vidare att sekretess gäller för uppgift i en incidentrapport enligt cybersäkerhetslagen (2025:1506) och för uppgift om vilka åtgärder som en verksamhetsutövare har vidtagit till följd av incidenten, om det inte står klart att uppgiften kan röjas utan att den rapporterande verksamhetsutövarens framtida verksamhet skadas eller syftet med vidtagen åtgärd motverkas.
Detta innebär att den information som inkommer i samband med incidentrapportering kan vara sådan att den kan komma att omfattas av 18 kap. 8 b § OSL, men även andra sekretessgrunder kan komma att bli tillämpliga.
Sekretessbestämmelsen innebär också en tystnadsplikt för myndighetens medarbetare gällande de uppgifter som träffas av sekretessbestämmelsen. Brott mot tystnadsplikten är straffsanktionerat.
Vad gäller när näringsidkare eller organisationer lämnar information till NCSC?
Utöver den information som utgörs av bevaknings- och säkerhetsåtgärder inom en organisation så omfattas även uppgifter om affärs- eller driftförhållande, uppfinningar eller forskningsresultat av sekretess om det kan antas att näringsidkaren lider skada om uppgifterna röjs. Om NCSC genom sin samverkan med näringslivet eller organisationer lämnar stöd eller genomför en utredning för att identifiera och analysera allvarliga sårbarheter, hot och risker i samhället så kommer även denna information omfattas av motsvarande skydd och säkerhetsåtgärder hos NCSC. För uppgifter som rör den som trätt i affärsförbindelse eller liknande med näringsidkaren gäller en absolut sekretess.
Sedan 1 oktober 2022 vidarebefordrar myndigheten inrapporterade incidenter som har sin grund i brottslig handling till Polisen.
Incidenter som att döma av hur de beskrivs (i val av orsak eller i fritext) kan antas ha sin grund i en brottslig handling kommer att vidarebefordras till Polismyndigheten där en polisanmälan kan komma att upprättas. Klicka på rullgardinsrutan nedan för mer detaljer.
-
Fördjupad brottssamverkan mellan NCSC och Polisen
På regeringens uppdrag vidarebefordrar vi från och med 1 oktober 2022 de notifieringar och ifyllda formulär som rapporteras in till oss, och som innehåller beskrivningar av incidenter som kan antas ha sin grund i en brottslig handling, till Polismyndigheten där en polisanmälan kan komma att upprättas. Syftet är att öka andelen polisanmälda it-brott och öka möjligheten att klara upp fler brott.
Det är endast incidentrapporter där den rapporterande organisationen har angett att incidenten är orsakad av en mänsklig handling i antagonistiskt syfte, eller där den organisationen i fritext har beskrivit att det handlar om ett angrepp, som omfattas av detta.
Notifieringar och ifyllda formulär bedöms var för sig. Om en rapporterande organisation i sin notifiering har angett att incidenten de notifierar om har, eller verkar ha, sin grund i en brottslig handling så kommer informationen att vidarebefordras till Polismyndigheten. Om den rapporterande organisationen därefter skickar ett ifyllt formulär där de anger en annan orsak till incidenten så kommer inte det ifyllda formuläret att vidarebefordras till Polismyndigheten.
På motsvarande sätt gäller också att om en rapporterande organisation vid sin notifiering anger en orsak som inte kan antas vara brottslig så kommer informationen inte att vidarebefordras till Polismyndigheten. Om den organisationen sedan skickar in ett ifyllt formulär där de anger en orsak som kan antas vara brottslig så kommer det ifyllda formuläret att vidarebefordras till Polismyndigheten.
Delningen av information till Polismyndigheten genomförs inom ramen för NCSC:s verksamhet. Information som delas till Polismyndigheten kan också komma att delas med andra myndigheter inom NCSC:s verksamhet.
När Polismyndigheten mottagit notifieringen eller incidentrapporten bedöms huruvida ett brott som hör under allmänt åtal har förövats, om en polisanmälan ska upprättas och om en förundersökning i så fall ska inledas. Informationen som inkommer till Polismyndigheten, såväl som till andra myndigheter inom NCSC, behandlas utifrån tillämpliga sekretessregler. På detta sätt når de aktörer som rapporterar in incidenter den del av Polismyndigheten som hanterar it-brott på ett nytt sätt.
NCSC kommer även fortsättningsvis att uppmana verksamhetsutövare enligt cybersäkerhetslagen och statliga myndigheter att göra en polisanmälan om de bedömer att incidenten kan ha orsakats av en brottslig handling eftersom det åligger myndigheten att göra det enligt cybersäkerhetslagen (2025:1506) och förordning (2022:524) om statliga myndigheters beredskap.
Inom vissa organisationer sköts incidentrapportering respektive polisanmälan på olika sätt eller av olika delar av organisationen. Det kan vara värt att se över en sådan ordning i ljuset av det ovanstående. Det åligger rapporteringspliktiga organisationer att ha en intern rutin för att samlat hantera rapportering om inträffade incidenter utifrån den samlade kravbilden.
Komplettering av incidentrapport
Det går bra att komplettera din incidentanmälan i cyberportalen.
I de fall detta inte är möjligt, kontakta cybersakerhet@ncsc.se.
Om incidenten inte längre bedöms vara rapporteringspliktig
I det fall incidenten inte längre bedöms vara rapporteringspliktig ska du meddela detta. Det kan göras oavsett hur många skeden av rapporteringen som redan skickats in, förutsatt att första skedets rapportering är inskickat.
För att meddela att incidenten inte längre är rapporteringspliktig, kontakta cybersakerhet@ncsc.se