MSP:er och molnleverantörer: vad som fortsatt gäller från den 1 oktober 2026

Från den 1 oktober 2026 gäller MCFFS 2026:11, föreskriften om säkerhetsåtgärder och ledningens utbildning enligt Cybersäkerhetslagen (SFS 2025:1506). Begränsningen i MCFFS 2026:11 till ledningens utbildning kan låta som att få krav gäller er. För MSP:er och molnleverantörer ställer EU:s genomförandeförordning 2024/2690 ändå egna krav på ledningen, och förordningen anger själv när en incident är betydande.

Omfattas ni av lagen? #

Allt i det här inlägget förutsätter att ni omfattas av Cybersäkerhetslagen. I de flesta sektorer gäller lagen först från en viss storlek. PTS har en e-tjänst där ni kan pröva frågan: Omfattas vi av CSL?

Vad gäller för er efter den 1 oktober 2026? #

Bedriver ni uteslutande sektorsverksamhet inom de fem sektorerna och omfattas av lagen, gäller detta sedan tidigare och fortsätter att gälla:

• Cybersäkerhetslagens skyldigheter i 2 kap., bland annat säkerhetsåtgärder, ledningens utbildning och incidentrapportering (sedan den 15 januari 2026)
• MCFFS 2026:8 2 kap. om hur rapporteringen ska gå till och vilka uppgifter den ska innehålla (sedan den 1 juli 2026)
• EU 2024/2690, om ni är en av de aktörer förordningen räknar upp: säkerhetsåtgärderna i bilagan, kriterierna för betydande incident och kraven på ledningsorganen

Nytt från den 1 oktober 2026:

• MCFFS 2026:11 2 kap. 1 § om vad ledningens utbildning ska ge

Begränsningen i MCFFS 2026:11 gör listan över nya krav kortare, men kraven blir inte få.

Vad kräver MCFFS 2026:11 av er? #

Verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden omfattas endast av kravet på ledningens utbildning i föreskriftens 2 kap. 1 §.

Det kravet kan grunda ingripande, också sanktionsavgift, precis som era skyldigheter i lagens 2 kap. 1–10 §§, MCFFS 2026:8 och, om ni är en av de digitala aktörer som omfattas, EU 2024/2690. Att tillsynsmyndigheten ingriper mot verksamhetsutövaren när ledningen inte har genomgått utbildningen, och att ingripandet kan vara en sanktionsavgift, följer av lagens förarbeten.

Hela begränsningen hänger på ordet uteslutande. Bedriver ni också sektorsverksamhet i en annan sektor som lagen omfattar, gäller MCFFS 2026:11 er fullt ut.

Eftersom ledningens utbildning är det enda krav i föreskriften som gäller er, gäller inte heller kravet i 3 kap. 4 § att ledningen ska godkänna och övervaka genomförandet av säkerhetsåtgärderna. Det betyder inte att ledningen slipper det arbetet. Är ni en av de aktörer som omfattas av EU:s genomförandeförordning 2024/2690, ställer förordningen liknande krav på ledningen, direkt tillämpliga:

• strategin för säkerhet i nätverks- och informationssystem ska vara formellt godkänd av ledningsorganen och ses över av dem minst en gång om året (bilagan, punkt 1.1)
• resultaten av riskbedömningen och de kvarstående riskerna ska godtas av ledningsorganen, eller av personer som är ansvariga och har befogenhet att hantera risker om ledningsorganen får lämplig rapportering (punkt 2.1)
• ledningsorganen ska genom regelbunden rapportering informeras om säkerhetsnivån (punkt 2.2)

Utbildningen i 2 kap. 1 § ska ge ledningen förmågan att övervaka genomförandet av säkerhetsåtgärderna. Min tolkning är att det är just den förmåga som förordningen förutsätter att ledningen använder hos de aktörer den omfattar.

Vad styr hur ni rapporterar en betydande incident? #

Lagens skyldighet att rapportera betydande incidenter i 2 kap. 5 § gäller er som alla andra.

MCFFS 2026:8 om incidentrapportering gäller sedan den 1 juli 2026. För er gäller föreskriftens 2 kap., som säger hur rapporteringen ska gå till och vilka uppgifter den ska innehålla. Föreskriftens bestämmelser om vad som är en betydande incident och om informationsskyldighet omfattar inte sektorsverksamhet inom de fem sektorerna.

Om ni också bedriver sektorsverksamhet i en annan sektor. Undantaget i MCFFS 2026:8 gäller sektorsverksamheten, inte verksamhetsutövaren. Bedriver ni också sektorsverksamhet i en annan sektor, gäller MCFFS 2026:11 er fullt ut, medan bestämmelserna i MCFFS 2026:8 om betydande incident och informationsskyldighet fortfarande inte omfattar er verksamhet inom de fem sektorerna.

Vad avgör då om en incident är betydande? #

Frågan står inte öppen, men svaret beror på vilken sorts aktör ni är.

MSP:er, MSSP:er, molnleverantörer, leverantörer av datacentraltjänster och övriga aktörer som omfattas av EU 2024/2690. Förordningen anger när en incident är betydande. Allmänna kriterier står i artikel 3, särskilda kriterier för bland annat molntjänster i artikel 7 och för utlokaliserade drifts- och säkerhetstjänster i artikel 10. Förordningen är direkt tillämplig.

Övriga i de fem sektorerna, till exempel post och bud, rymden och telekom. Här gäller lagens definition i 2 kap. 5 §: “En incident ska anses vara betydande om den har orsakat eller kan orsaka allvarlig driftsstörning för den erbjudna tjänsten eller ekonomisk skada för den berörda verksamhetsutövaren, eller om den har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande skada.” PTS får meddela ytterligare föreskrifter om vad som är en betydande incident.

Vilka aktörer förordningen omfattar står i dess artikel 1. Om just ni omfattas går inte att avgöra i ett blogginlägg. PTS skriver att förordningen gäller alla aktörer i sektorn förvaltning av IKT-tjänster (mellan företag) och majoriteten inom digital infrastruktur.

Kommer PTS med egna föreskrifter för er? #

PTS får meddela egna föreskrifter för sina tillsynsområden. Enligt PTS webbplats, läst den 23 september 2026, avser myndigheten inte att ta fram föreskrifter om säkerhetsåtgärder eller incidentrapporteringströsklar för de aktörer som omfattas av EU 2024/2690, eftersom det redan regleras i genomförandeförordningen.

PTS har angett en tidplan med remiss våren 2027 och preliminärt ikraftträdande hösten 2027. Tidplanen gäller föreskrifter om säkerhetsåtgärder och incidentrapportering för post- och budtjänster samt rymden, och föreskrifter om registret över domännamn. Föreskrifter om informationsskyldighet ska komma för alla fem sektorerna, men PTS anger ingen tidpunkt.

Nästa steg #

Mitt råd är att först kontrollera att ledningens utbildning ger den kunskap och kompetens som MCFFS 2026:11 2 kap. 1 § kräver, eftersom det är det krav i föreskriften som gäller er. Avgör sedan om ni är en av de aktörer som omfattas av EU 2024/2690. Är ni det, gå igenom bilagans krav på ledningsorganen med ledningen, främst punkt 1.1, 1.2, 2.1 och 2.2. Kontrollera också att er rutin för incidentrapportering utgår från förordningens kriterier för betydande incident och inte från kriterierna i MCFFS 2026:8, men att rapporten lämnas på det sätt och med det innehåll som 2 kap. i MCFFS 2026:8 anger.

Vad lagen i övrigt kräver har jag skrivit om i Den 1 oktober blir det mätbart vad Cybersäkerhetslagen kräver. Vår ledningsutbildning är utformad efter de förmågor som MCFFS 2026:11 2 kap. 1 § kräver.