Ledningens utbildning är genomförd. Håller den efter den 1 oktober?

Inte nödvändigtvis. Cybersäkerhetslagen (SFS 2025:1506) har sedan den 15 januari 2026 krävt att personerna i ledningen genomgår utbildning om säkerhetsåtgärder (2 kap. 4 §). Det gäller personerna i ledningen hos de verksamhetsutövare som omfattas av lagen. Sedan den 1 oktober 2026 anger föreskriften MCFFS 2026:11 vad utbildningen ska ge: förmåga att fastställa mål och inriktning för cybersäkerheten, bedöma vilka säkerhetsåtgärder som behövs utifrån identifierade risker och övervaka genomförandet av säkerhetsåtgärderna. En utbildning som inte ger de tre förmågorna kan vara ett åsidosättande som tillsynsmyndigheten ska ingripa mot, även om den är genomförd. Att bristen räknas som verksamhetsutövarens bygger på lagens förarbete, och vi känner ännu inte till någon tillsynspraxis.

Vad ändrades den 1 oktober? #

Mellan den 15 januari och den 1 oktober 2026 var lagtexten det enda som var bindande, och den säger att de personer som ingår i ledningen ska genomgå utbildning om säkerhetsåtgärder. Förarbetet angav syftet, att ledningen ska kunna identifiera risker och bedöma vilka säkerhetsåtgärder som bör vidtas, men förarbetet är inte bindande.

Föreskriftens krav är däremot bindande. Enligt MCFFS 2026:11 2 kap. 1 § ska utbildningen ge ledningen den kunskap och kompetens som krävs för att kunna fastställa mål och inriktning för cybersäkerheten, bedöma vilka säkerhetsåtgärder som behövs för en lämplig nivå av cybersäkerhet utifrån identifierade risker och övervaka genomförandet av säkerhetsåtgärderna.

Som vi läser den beskriver föreskriften alltså tre förmågor och ingen kursplan. Föreskriften gäller från den 1 oktober, också för den ledning som gick sin utbildning våren 2026.

Kan en utbildning som redan är genomförd vara otillräcklig? #

Ja. Det är den följd av oktoberdatumet som jag ser minst skrivet om.

Tillsynsmyndigheten ska enligt lagens 4 kap. 1 § ingripa om en verksamhetsutövare, alltså den organisation som omfattas av lagen, har åsidosatt sina skyldigheter enligt 2 kap. 1–10 §§ eller enligt föreskrifter som har meddelats i anslutning till de paragraferna. MCFFS 2026:11 är en sådan föreskrift. Från den 1 oktober är frågan därför inte bara om ledningen har gått en utbildning. En utbildning som inte ger de tre förmågorna kan vara ett åsidosättande som tillsynsmyndigheten ska ingripa mot.

Fyra förbehåll hör till den meningen.

Det står kan vara, inte är. Föreskriften anger ingen gräns för hur en utbildning som bara delvis ger förmågorna ska bedömas, och vi känner ännu inte till någon tillsynspraxis.

Kravet på de tre förmågorna är bindande, råden om innehållet är rekommendationer. Föreskriften har också allmänna råd om vad utbildningen bör omfatta:

• ledningens roll i ett systematiskt och riskbaserat arbete
• vad verksamhetens cybersäkerhet betyder för sektorn och för viktiga samhällsfunktioner
• riskhantering och övervakning som stöd för styrningen
• de interna regler och arbetssätt som är relevanta för ledningen

Allmänna råd är inte bindande. En utbildning som saknar något av de fyra områdena strider inte därmed mot kravet.

Att bristen räknas som verksamhetsutövarens följer av lagens förarbete, inte av lagtexten själv.

Verksamheter som omfattas av EU:s DORA-förordning berörs inte av utbildningskravet enligt Cybersäkerhetslagen. För de verksamheterna gäller inte lagens 2 kap. 3–10 §§ (1 kap. 11 § andra stycket).

Vår läsning är alltså att en utbildning inte är otillräcklig för att den hölls före den 1 oktober. Frågan är vad utbildningen gav ledningen och om ni kan visa det.

Vad händer om kravet inte är uppfyllt? #

Tillsynsmyndigheten ska ingripa mot verksamhetsutövaren, och ingripandet kan vara en sanktionsavgift. Två saker gör det mindre självklart än det låter.

Den första är vem kravet riktar sig till. Lagens 2 kap. 4 § talar om personerna i ledningen, medan paragrafen om ingripande talar om verksamhetsutövaren och dess skyldigheter. Lagtexten överbryggar inte skillnaden. Det gör förarbetet (prop. 2025/26:28), som beskriver skyldigheten som att verksamhetsutövaren ska låta de personer som ingår i ledningen genomgå utbildning. Förarbetet är en tolkningskälla och inte lag, men skrivningen är uttrycklig.

Den andra är sanktionsavgiften. EU-direktivet NIS2 kräver uttryckligen sanktionsavgift bara för överträdelser av två av sina artiklar, och utbildningskravet finns inte i de artiklarna. En remissinstans invände därför mot att utbildningsplikten skulle kunna leda till sanktionsavgift, och regeringen gick emot invändningen. Att sanktionsavgift kan komma i fråga för just utbildningsplikten är ett val den svenska lagstiftaren har gjort, inte något direktivet kräver.

Sanktionsavgift är dessutom bara en av fyra former av ingripande. Myndigheten kan också förelägga verksamhetsutövaren att fullgöra sina skyldigheter, ansöka om förbud att inneha ledningsfunktion eller, om det inte finns skäl att ingripa på annat sätt, meddela en anmärkning. Vilken form av ingripande det blir avgörs bland annat av överträdelsens allvar, varaktighet och skada (4 kap. 2 §).

Kan styrelseledamöterna själva få sanktionsavgift? #

Nej. Påståendet lever kvar i en del material, men sanktionsavgiften riktas mot verksamhetsutövaren och inte mot personerna i ledningen.

Det enda ingripande i lagen som riktas mot en befattningshavare personligen är förbud att inneha ledningsfunktion, och det kan bara gälla de befattningshavare lagen pekar ut hos en enskild, alltså icke-offentlig, verksamhetsutövare. Förbudet kräver att fyra villkor är uppfyllda samtidigt: verksamhetsutövaren är väsentlig enligt 1 kap. 9 §, inte viktig; ett föreläggande enligt 4 kap. 4 § första stycket har inte följts; den överträdelse som låg till grund för föreläggandet var allvarlig; och befattningshavaren orsakade överträdelsen uppsåtligen eller av grov oaktsamhet. Förbudet beslutas av allmän förvaltningsdomstol efter ansökan från tillsynsmyndigheten.

Vår bedömning är att ledningens risk i första hand ligger i att bolaget får ett ingripande för något som ledningen själv skulle ha gjort.

Hur prövar ni den utbildning ni redan har gått? #

Så här skulle jag göra före nästa styrelsemöte.

1. Läs intyget och agendan mot de tre förmågorna. Framgår det hur ledningen arbetade med mål och inriktning, riskbaserade prioriteringar och uppföljning, eller bara vilka ämnen som togs upp?
2. Räkna personerna, inte tillfällena. I ett aktiebolag gäller kravet enligt lagens förarbete styrelseledamöter, vd och ersättarna för dem. Den som tillträdde efter utbildningstillfället omfattas av samma krav.
3. Pröva förmågan med ett scenario. Ge ledningen, vd och ersättare inräknade, ett konkret riskscenario: vilka mål gäller, vilka åtgärder skulle ni välja och varför, och hur följer ni upp att de genomförs? Svaret är en indikation på vad utbildningen gav och inget bevis. Brister svaret kan skälet också vara att underlaget till ledningen saknas, och då behövs bättre rapportering snarare än mer utbildning.

Saknas något behöver det enligt vår bedömning inte betyda att hela utbildningen görs om. En kompletterande genomgång kan räcka om den ger den kunskap och kompetens som saknas. Dokumentera innehåll och deltagande som underlag för uppföljning.

Gäller kravet även MSP:er och molnleverantörer? #

Ja, men bilden ser annorlunda ut för dem. För verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom de fem sektorerna digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden är ledningens utbildning det enda krav i MCFFS 2026:11 som gäller dem. Det kravet kan grunda ingripande, också sanktionsavgift. Detsamma gäller deras skyldigheter i lagens 2 kap. 1–10 §§, MCFFS 2026:8 och, för de digitala aktörer som omfattas, EU:s genomförandeförordning 2024/2690.

Utbildningen är inte det enda som gäller för dem, bara det enda i just den föreskriften.

Nästa steg #

Vilka som räknas till ledningen och vad ledningen i övrigt ska säkerställa har jag skrivit om i Kan styrelsen delegera cybersäkerheten till IT-chefen? Vår ledningsutbildning är utformad efter de tre förmågorna och ger ett intyg som dokumenterar vad den omfattade. Är ni osäkra på om den utbildning ni redan har gått håller, skicka intyget och agendan till oss så gör vi en första bedömning av innehållet och av vad som behöver undersökas eller kompletteras.