När tillsynsmyndigheten vill skanna era system

Ett mejl från tillsynsmyndigheten: myndigheten vill göra en säkerhetsskanning av era system och föreslår ett möte för att planera den. Vem hos er svarar, och kan ni beskriva era system när ni kommer till mötet?

MCFFS 2026:12 gäller sedan den 1 oktober 2026 och innehåller bestämmelser om hur säkerhetsrevision och säkerhetsskanning enligt 3 kap. 5–7 §§ Cybersäkerhetslagen (SFS 2025:1506) ska genomföras. Nedan kallar jag MCFFS 2026:12 för föreskriften. När jag skriver detta har jag inte hittat någon svensk tillsynsmyndighet som har offentliggjort att den har genomfört en revision eller skanning enligt lagen. Hur myndigheten ska gå till väga står ändå i detalj i föreskriften, så ni kan förbereda er redan nu.

Vilka krav ställer föreskriften på er? #

Föreskriften riktar sig till tillsynsmyndigheten och ställer inga egna krav på er. Lagen ställer däremot krav: ni ska på begäran lämna de uppgifter och handlingar som behövs för tillsynen (lagens 3 kap. 3 §). Myndigheten kan också vid vite förelägga er att medverka (lagens 3 kap. 8 §).

Varken lagen, föreskriften om säkerhetsåtgärder och ledningens utbildning (MCFFS 2026:11) eller MCFFS 2026:12 kräver att ni själva beställer en oberoende revision. För vissa digitala aktörer, bland andra leverantörer av utlokaliserade driftstjänster (MSP:er) och molnleverantörer, kräver däremot EU:s genomförandeförordning 2024/2690 en oberoende granskning; mer om det nedan. Det finns också krav på egen uppföljning. Enligt MCFFS 2026:11 3 kap. 19 § ska ni följa upp och utvärdera era säkerhetsåtgärder. För sektorskritiska system, alltså system som är nödvändiga för att kunna bedriva intern verksamhet eller tillhandahålla externa tjänster inom den verksamhet som omfattas av lagen, ska uppföljningen och utvärderingen ske vid behov men minst en gång per år. De allmänna råden till MCFFS 2026:11, som inte är bindande, nämner egenkontroll, intern och extern revision som möjliga former.

För er som uteslutande verkar i de fem sektorer där PTS är tillsynsmyndighet, till exempel som MSP eller molnleverantör. Verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden omfattas endast av kravet på ledningens utbildning i MCFFS 2026:11 2 kap. 1 §. För dessa verksamhetsutövare gäller alltså inte MCFFS 2026:11 3 kap. 19 §. Lagens krav på säkerhetsåtgärder i 2 kap. 3 § gäller dessa verksamhetsutövare däremot fullt ut, och där ingår strategier och förfaranden för att bedöma effektiviteten i säkerhetsåtgärderna. För leverantörer av molntjänster, datacentraltjänster och utlokaliserade drifts- och säkerhetstjänster, och för de övriga digitala aktörer som räknas upp i EU:s genomförandeförordning 2024/2690, gäller dessutom den förordningen direkt. Förordningen kräver bland annat att ni på ett oberoende sätt granskar hur ni hanterar säkerheten i nätverks- och informationssystemen, med planerade intervall och när betydande incidenter eller betydande förändringar av driften eller riskerna inträffar (bilagan, punkt 2.3). Görs granskningen av egna anställda får de inte ha en överordnad ställning i beslutshierarkin i förhållande till personalen på det område som granskas. MCFFS 2026:12 och lagens 3 kap. gäller alla som står under tillsyn.

Vem kan revideras eller skannas, och när? #

Väsentliga verksamhetsutövare kan få regelbundna säkerhetsrevisioner (lagens 3 kap. 5 §). Viktiga verksamhetsutövare kan revideras eller skannas bara när myndigheten har anledning att anta att de inte följer lagen, föreskrifterna till den eller EU:s genomförandeförordning 2024/2690 (lagens 3 kap. 2 §). Väsentliga verksamhetsutövare kan därmed revideras regelbundet och skannas även utan en sådan anledning.

Om ni är väsentliga eller viktiga framgår av 1 kap. 9 § Cybersäkerhetslagen. Paragrafen räknar upp vilka som är väsentliga, och alla andra som omfattas är viktiga. Det är ni själva som avgör vilken kategori ni tillhör, och ni anger den när ni anmäler er till den gemensamma kontaktpunkten, som sedan den 1 juli 2026 är Försvarets radioanstalt. På sidan Omfattas verksamheten av Cybersäkerhetslagen beskriver NCSC vilka verksamheter som omfattas. Vilken myndighet som är er tillsynsmyndighet beror främst på sektorn och framgår av 7–15 §§ cybersäkerhetsförordningen (SFS 2025:1507).

Som jag läser lagen har en viktig verksamhetsutövare som får mejlet i inledningen redan fått myndighetens uppmärksamhet. En viktig verksamhetsutövare får myndigheten nämligen skanna bara när den har anledning att anta att verksamhetsutövaren inte följer lagen, föreskrifterna till den eller EU:s genomförandeförordning 2024/2690 (lagens 3 kap. 2 §). Mitt råd i det läget är att ta upp mejlet med ledningen samma dag och att be myndigheten beskriva vad tillsynen gäller innan planeringsmötet.

Hur går en skanning till? #

Tillsynsmyndigheten utför skanningen och får anlita en extern aktör. Myndigheten ska välja verksamhetsutövare och system med en riskbaserad metod och dokumentera sin bedömning.

Skanningen ska ske i samarbete med er (lagens 3 kap. 7 §). Skanningen ska begränsas till vad tillsynen kräver och får bara avse system som ni har rådighet över inom er verksamhet. Före skanningen ska myndigheten, om inte särskilda skäl talar emot, göra följande tillsammans med er:

• bedöma risken för driftpåverkan
• planera genomförandet så att belastningen på systemen blir så liten som möjligt
• ta fram en plan för att kunna avbryta skanningen
• bedöma behovet av att kunna återställa system som kan påverkas

Vid en betydande risk för negativa konsekvenser ska myndigheten överväga andra metoder och om skanningen alls ska genomföras (föreskriftens 3 kap. 6 §). Myndigheten ska se till att ni utan dröjsmål informeras om brister eller sårbarheter som skanningen hittar, så att ni skyndsamt kan åtgärda dem (föreskriftens 3 kap. 9 §).

Vad kan ni förbereda nu? #

Myndigheten kan inte bedöma driftpåverkan på ett system som den inte vet att ni har. Som jag läser föreskriften blir det ni kan berätta om era system därför en stor del av underlaget när ni och myndigheten planerar skanningen tillsammans.

Mitt råd är att ha fyra saker klara innan tillsynsmyndigheten hör av sig:

• En förteckning över de system ni har rådighet över. Börja med alla system ni använder i verksamheten och markera vem som driver vart och ett. Rådigheten avgör vad som får skannas. Varken lagen eller föreskriften definierar rådighet. När frågan om utlokaliserad drift och leverantörer kom upp i remissvaren svarade regeringen att skanningen bara gäller den verksamhetsutövare som står under tillsyn (prop. 2025/26:28 avsnitt 7.2.3). Var gränsen går vid leverantörsdrift säger varken lagen, föreskriften eller propositionen. Därför skulle jag redan nu reda ut gränsen mot leverantörens miljö: gå igenom driftavtalen och se vad de säger om skanning från tredje part, och fråga vem hos leverantören som ska kontaktas och delta om tillsynsmyndigheten vill skanna.
• En namngiven kontaktperson för tillsynen och en ersättare. Kontaktpersonen svarar på myndighetens mejl och vet vem som ska delta från IT-driften när skanningen planeras. Kontrollera avsändaren med hjälp av kontaktuppgifterna på myndighetens webbplats innan ni svarar, eftersom ett mejl om skanning är ett bra bete för nätfiske.
• En lista över de system som inte tål störningar, med uppgifter om hur ni återställer dem. Listan ger underlag för att bedöma risken för driftpåverkan, planera hur skanningen kan avbrytas och bedöma behovet av återställning.
• Samlade underlag som ni kan lämna på begäran, till exempel beskrivningen av era säkerhetsåtgärder, riskbedömningen, incidentrutinen och den senaste uppföljningen.

Kontaktpersonen och underlagen förbereder er också för två av momenten i en säkerhetsrevision: granskningen av dokumentation och intervjuerna med personalen. Förteckningen och listan över system som inte tål störningar gör nytta även om ingen myndighet hör av sig. Ni kan använda förteckningen och listan när ni bedömer risker och när ni övar på att hantera incidenter.

Hur går en säkerhetsrevision till? #

Om myndigheten anlitar ett oberoende organ gäller föreskriftens bestämmelser om revision. Revisionen ska då åtminstone omfatta granskning av relevant dokumentation, intervjuer med berörd personal, tekniska kontroller av system och segment samt vid behov kontroll av lokaler. Intervjuerna och kontrollerna görs på plats hos er om inte särskilda skäl talar emot. Gör myndigheten revisionen själv gäller lagens ramar i 3 kap. 5 och 6 §§, men inte föreskriftens lista över vad revisionen ska omfatta.

Vad lagen i övrigt kräver har jag skrivit om i Den 1 oktober blir det mätbart vad Cybersäkerhetslagen kräver.