En incident, fyra klockor: när både cybersäkerhetslagen och GDPR löser ut

Rör en betydande incident personuppgifter löper två rapporteringsspår parallellt. Cybersäkerhetslagen kräver upplysning inom 24 timmar och incidentanmälan inom 72 timmar till CSIRT-enheten. Dataskyddsförordningen kräver anmälan till Integritetsskyddsmyndigheten inom 72 timmar enligt artikel 33. Spåren har olika mottagare, olika trösklar och olika startpunkter. Ingen av dem ersätter den andra.

Varför är det här ett praktiskt problem? #

Därför att en incidentrutin skrivs av den funktion som äger regelverket bakom den, och beskriver därför bara det spåret.

De två rutinerna kommer också till vid olika tillfällen och av olika skäl. En välskriven rutin för personuppgiftsincidenter från 2019, en ny rutin för cybersäkerhetslagen från i våras. Ingen av dem är skriven för att läsas tillsammans med den andra, och de hänvisar inte till varandra. Den som larmar följer den ena, och den andra klockan tickar utan att någon ser den.

Ett ransomware-angrepp som krypterar kundregistret är inte ett gränsfall. Det är standardfallet.

Vilka klockor startar, och när? #

Fyra frister kan löpa samtidigt, och de räknas från olika händelser.

Skillnaden mellan “kännedom” och “vetskap” är mindre än den ser ut, men skillnaden mellan lagens och föreskriftens startpunkter är verklig. MCFFS 2026:8 2 kap. 3 och 4 §§ räknar från att incidenten identifierats som betydande, medan lagens 2 kap. 5 och 6 §§ räknar från kännedom om incidenten. Det är två olika tidpunkter i samma förlopp.

Tillhandahåller ni betrodda tjänster är incidentanmälans frist 24 timmar i stället för 72.

Är trösklarna desamma? #

Nej, och det är den vanligaste felkällan.

Cybersäkerhetslagen löser ut vid betydande incident: den har orsakat eller kan orsaka allvarlig driftsstörning för tjänsten eller ekonomisk skada för er, eller har påverkat eller kan påverka andra genom att vålla betydande skada (2 kap. 5 §). Föreskriften gör rekvisiten mätbara, bland annat med en ekonomisk tröskel vid fem procent av föregående räkenskapsårs totala omsättning.

Dataskyddsförordningen löser ut vid personuppgiftsincident som sannolikt leder till en risk för fysiska personers rättigheter och friheter. Tröskeln ligger alltså på individen, inte på verksamheten.

Följden är att de fyra kombinationerna alla förekommer. Ett längre driftavbrott utan dataförlust anmäls enligt cybersäkerhetslagen men inte enligt GDPR. Ett felskickat mejl med känsliga uppgifter till fel mottagare anmäls enligt GDPR men når sällan lagens tröskel. Ransomware med exfiltrering utlöser båda. Och ett stort antal incidenter når ingen av trösklarna, vilket också är ett beslut som ska kunna motiveras i efterhand.

Vem informerar kunderna? #

Här finns en skyldighet i cybersäkerhetslagen som ofta förbises helt, eftersom den inte har någon motsvarighet i GDPR-rutinerna.

Vid en betydande incident kan ni behöva informera mottagarna av era tjänster (2 kap. 9 §). Det är alltså inte samma sak som artikel 34, som gäller de registrerade och utlöses av hög risk för individen.

Och 2 kap. 10 § går längre än så: skyldigheten att informera tjänstemottagarna kan utlösas av ett betydande cyberhot, alltså utan att någon incident har inträffat. Den paragrafen finns inte i något GDPR-flöde, och en rutin som byggts på det flödet har därför ingen plats att lägga den på.

Hur bygger man en rutin som klarar båda? #

Sluta med två separata rutiner. Bygg ett larmflöde med två utgångar.

1. En ingång. Den som upptäcker något ska inte behöva veta vilket regelverk som gäller. Ett larm, en mottagare.
2. En bedömare med mandat. Klockan startar när någon med mandat att bedöma får veta. Den rollen ska vara namngiven, med en namngiven ersättare, och nåbar utanför kontorstid.
3. Två frågor vid bedömningen. Är incidenten betydande enligt 2 kap. 5 §? Rör den personuppgifter, och i så fall med vilken risk för individen? Frågorna ställs samtidigt, inte i tur och ordning.
4. Ett dokumenterat nej. Ett beslut att inte anmäla är också ett beslut och ska dokumenteras med skälet. Det är den anteckningen som håller vid en tillsyn.
5. Ett kontaktkort. CSIRT-enhetens kontaktväg via Försvarets radioanstalt, Integritetsskyddsmyndigheten och polisens IT-brottsenhet på ett papper som går att ha framme, inte i ett intranät som kanske är krypterat.

Nästa steg #

Ta era två rutiner och lägg dem bredvid varandra. Går det att följa dem parallellt under en pågående incident, eller förutsätter var och en att den andra inte finns?

Vill ni arbeta igenom beslutsvägarna i praktiken gör vi det i workshopen om incidenthantering. Gäller frågan i stället var personuppgiftsansvaret ligger tar vi det i GDPR-arbetet.