Kan styrelsen delegera cybersäkerheten till IT-chefen?

Nej. Cybersäkerhetslagen (SFS 2025:1506) kräver i 2 kap. 4 § att de personer som ingår i ledningen genomgår utbildning om säkerhetsåtgärder. I ett aktiebolag är det styrelsen, vd och ersättarna för dem. En koncernledning eller ledningsgrupp ingår inte i kraft av sin funktion, och en IT-chef eller säkerhetschef som går utbildningen i ledningens ställe uppfyller inte kravet. Arbetet går att delegera. Ansvaret för att det finns, är proportionellt och följs upp stannar hos ledningen: i dag genom lagens ingripanderegler, från den 1 oktober 2026 genom ett uttryckligt föreskriftskrav.

Vad är det ledningen faktiskt ansvarar för? #

Lagens 2 kap. 3 § ålägger verksamhetsutövaren att vidta lämpliga och proportionella åtgärder inom tio angivna områden. Något uttryckligt krav på att ledningen ska godkänna och övervaka det arbetet står inte i lagtexten. Att ansvaret ändå ligger hos ledningen framgår av lagens ingripanderegler: ytterst kan en befattningshavare hos en väsentlig verksamhetsutövare förbjudas att inneha ledningsfunktion i ett till tre år (4 kap. 6–8 §§).

Det uttryckliga kravet kommer den 1 oktober 2026. Då träder MCFFS 2026:11 om säkerhetsåtgärder och ledningens utbildning i kraft och ålägger ledningen att godkänna och övervaka genomförandet av säkerhetsåtgärderna. Fram till dess är ledningens aktiva styrning myndighetsvägledning och vår rekommendation, inte ett paragrafkrav. Det är värt att hålla isär.

Där sitter poängen med utbildningskravet. En ledning som inte förstår vad den godkänner kan inte utöva den styrning föreskriften förutsätter. Utbildningen är inte en formalitet vid sidan av säkerhetsarbetet, utan förutsättningen för att styrningen ska fungera alls.

Frågan ser teknisk ut, och därför hamnar den hos IT. Lagen ser annorlunda på saken.

Vem räknas som ledningen i lagens mening? #

Lagen definierar inte begreppet. Kretsen anges i stället i förarbetet (prop. 2025/26:28) och beror på verksamhetsformen. I ett aktiebolag avses styrelsen, den verkställande direktören och ersättare för dessa, i praktiken styrelsesuppleanter och vice vd. Motsvarande gäller för ekonomiska föreningar, handelsbolag, myndigheter, kommuner och regioner, var och en efter sin form. Alltså de som bär det formella ansvaret för verksamheten, inte de som genomför arbetet.

Styrelsen ansvarar för att verksamheten har ett säkerhetsarbete som möter lagens krav, och för att följa upp att det fungerar. Den behöver kunna ställa rätt frågor och tolka svaren.

Vd ansvarar för genomförandet och för att resurserna finns, och behöver kunna bedöma om föreslagna åtgärder är proportionella mot risken.

Ersättarna för styrelseledamöter och vd ingår också i kretsen. Det är den grupp som oftast förbises: en ersättare som sällan kallas till mötena omfattas ändå, och en utbildningsplan som bara räknar de ordinarie är ofullständig.

Ledningsgruppen ingår däremot inte i lagens krets i kraft av sin funktion. Den som sitter där som vd eller styrelseledamot omfattas som sådan, inte som ledningsgruppsmedlem. Det hindrar inte att ledningsgruppen behöver samma kunskap. Den äger riskerna i sina delar av verksamheten, och cybersäkerhetslagen har ett allriskperspektiv som omfattar hela verksamheten, inte bara IT-miljön. Vår rekommendation är därför att ledningsgruppen går utbildningen tillsammans med styrelse och vd. Det är ett råd, inte ett lagkrav.

Den sista punkten är den som ändrar mest i praktiken: omfattningen följer verksamheten, inte organisationsschemats IT-ruta.

Vad ska ledningen konkret säkerställa? #

“Godkänna och övervaka” låter abstrakt. Från den 1 oktober 2026 blir det konkret: föreskriftens 3 kap. 4 § räknar upp fem saker ledningen ska säkerställa.

1. Att det finns fastställda mål och inriktning för cybersäkerheten.
2. Att ledningens egna uppgifter i arbetet är tydliggjorda.
3. Att det finns resurser för ett systematiskt och riskbaserat arbete.
4. Att de roller arbetet kräver har tillräckliga befogenheter och resurser.
5. Att ledningen blir informerad om genomförandet och om nivån av cybersäkerhet, vid behov men minst en gång per år.

Den femte är den som går att kontrollera vid en tillsyn, och den förutsätter att någon sammanställer underlaget. Den uppgiften ligger enligt 3 kap. 6 § på en utsedd samordnare, som ska säkerställa att ledningen får det den behöver för att kunna godkänna och övervaka.

Saknas den rollen har ledningen formellt ansvar men inget att utöva det på. Ansvaret kan då inte fullgöras, och bristen är ledningens egen att rätta: samordnaren ska utses enligt 3 kap. 5 §, och ledningen ska enligt 3 kap. 4 § 4 säkerställa att de roller arbetet kräver har befogenheter och resurser.

Ett förbehåll är värt att känna till för den som är leverantör. Verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden omfattas endast av kravet på ledningens utbildning i föreskriftens 2 kap. 1 §. Lagens 2 kap. 3 § och 2 kap. 4 § gäller dem oförändrat, och Post- och telestyrelsen (PTS) får meddela egna föreskrifter om säkerhetsåtgärder för sina sektorer. Den tidplan PTS har angett, med remiss våren 2027 och preliminärt ikraftträdande hösten 2027, gäller föreskrifter om säkerhetsåtgärder och incidentrapportering för post- och budtjänster samt rymden, och föreskrifter om registret över domännamn. För de aktörer som omfattas av EU:s genomförandeförordning 2024/2690, bland annat MSP:er och molnleverantörer, avser PTS enligt sin webbplats inte att ta fram föreskrifter om säkerhetsåtgärder, eftersom förordningen redan reglerar dem.

Två årskrav som ser likadana ut #

Punkt fem säger att ledningen ska informeras minst en gång per år. En annan bestämmelse, 3 kap. 19 § andra stycket, säger att uppföljningen av säkerhetsåtgärderna för sektorskritiska system ska ske minst en gång per år.

Två krav, två olika föremål, samma intervall. De blandas lätt ihop, och den som tror att ett årligt uppföljningsmöte täcker båda har missat det ena.

Räcker det att utbilda ledningen en gång? #

Nej, kravet är löpande, och skälet är praktiskt: hotbilden förändras, verksamheten förändras och ledningen byts ut. En styrelseledamot eller ersättare som tillträder efter utbildningstillfället omfattas av samma krav som de som satt där tidigare.

Föreskriften beskriver dessutom utbildningen som en förmåga, inte som en innehållsförteckning. Ledningen ska efter utbildningen kunna fastställa mål och inriktning för cybersäkerheten, bedöma vilka säkerhetsåtgärder som behövs för en lämplig nivå utifrån identifierade risker, och övervaka genomförandet av dem.

Hur ofta utbildningen ska upprepas står däremot inte i någon källa. Vår rekommendation är en grundutbildning för hela ledningen, därefter en kortare uppdatering årligen eller vid väsentliga förändringar, och grundutbildning för nya ledamöter. Det är en modell vi valt, inte ett intervall lagen anger. Skilj på de två också när ni läser vad någon annan skriver om saken.

Vad det betyder i praktiken #

Tre frågor är värda att ställa på nästa styrelsemöte:

1. Vilka av oss har gått utbildningen, ersättarna inräknade? Kravet i 2 kap. 4 § gäller sedan den 15 januari 2026 och träffar personer, inte funktioner.
2. Vem är vår samordnare? Utan den rollen fungerar inte punkt fem, och det är punkt fem tillsynen kan be att få se.
3. När informerades vi senast om nivån av cybersäkerhet? Kan ingen svara är det svaret.

Nästa steg #

Erbjudandet uppdaterat den 4 oktober 2026. Ledningsutbildningen är en halvdag för styrelse, vd och deras ersättare, i grupper om 6–12 personer. Sex moduler om beslut, risker och uppföljning, med eftermaterial för fortsatt arbete. Behöver ni först en nulägesbild kan utbildningen kombineras med en säkerhetsanalys.