Cybersäkerhetslagen: ordet ”ska” står också i föreskriftens allmänna råd

Från den 1 oktober 2026 gäller MCFFS 2026:11, föreskriften om säkerhetsåtgärder och ledningens utbildning enligt Cybersäkerhetslagen (SFS 2025:1506). Föreskriften innehåller två sorters text: föreskrifter, som är bindande, och allmänna råd, som inte är tvingande. Ett naturligt sätt att hitta kraven, för den som läser föreskriften eller gör en kravlista av den, är att söka på ordet ska. Det ordet står också 27 gånger i råden. Som vi läser föreskriften är det rubriken som avgör: står meningen under Allmänna råd är den ett råd, oavsett verbet.

Hur skiljer ni krav från råd i föreskriften? #

Föreskriften förklarar skillnaden själv i sin inledning: “Allmänna råd har en annan juridisk status än föreskrifter. De är inte tvingande. Deras funktion är att förtydliga innebörden i lag, förordning och föreskrifter och att ge generella rekommendationer om deras tillämpning.”

Uppbyggnaden följer samma mönster genom hela föreskriften. Först står paragrafen med kravet. Av de 57 paragraferna med krav följs 38 av ett avsnitt under rubriken Allmänna råd. Allt i det avsnittet fram till nästa paragraf läser vi som råd.

I själva föreskrifterna står bör inte en enda gång. I råden står bör 80 gånger, så ett bör hör alltid till ett råd. Det omvända gäller inte: ska står 27 gånger, i råden till åtta paragrafer.

Gäller hela föreskriften alla som omfattas av lagen? #

Verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden omfattas endast av kravet på ledningens utbildning i föreskriftens 2 kap. 1 §.

Det betyder att kraven och råden i exemplen nedan inte gäller dessa verksamhetsutövare enligt den här föreskriften. Begränsningen gäller alla krav i föreskriften utom 2 kap. 1 §. Cybersäkerhetslagens krav på säkerhetsåtgärder står kvar, eftersom begränsningen gäller föreskriften och inte lagen.

Var står ska i råden? #

I råden står ska alltid i en bisats som styrs av ett bör. Oftast rekommenderar rådet att ni reglerar eller fastställer något, och bisatsen med ska beskriver vad. Två exempel:

Interna regler. Från den 1 oktober 2026 kräver 3 kap. 3 § att verksamhetsutövaren fastställer de interna regler och arbetssätt som behövs. Rådet under paragrafen säger vad som bör framgå av de interna reglerna och arbetssätten, bland annat “beskrivning av vad som ska göras, av vilken roll eller ansvarsområden, hur och när” och “vilka beslut som ska fattas”. Kravet är att reglerna finns, utgår från målen för cybersäkerheten, hålls uppdaterade och når berörd personal. Trots sina ska är listan, som vi läser den, ett råd om vad reglerna bör innehålla.

Avtalen med leverantörerna. Från den 1 oktober 2026 kräver 4 kap. 4 § att verksamhetsutövaren, vid förvärv av system och utkontraktering av informationsbehandling, i avtal eller överenskommelse med leverantören säkerställer att lämpliga och proportionella säkerhetsåtgärder kan genomföras och förvaltas över tid. Rådet under paragrafen räknar upp tio punkter för avtal om utkontraktering av informationsbehandling. Sju av punkterna innehåller ordet ska. Så här ser paragrafen och en del av rådet ut i föreskriften:

4 § Vid förvärv av system och utkontraktering av informationsbehandling ska verksamhetsutövaren i avtal eller överenskommelse med leverantören säkerställa att lämpliga och proportionella säkerhetsåtgärder kan genomföras och förvaltas över tid.

Allmänna råd

[…]

Avtal eller överenskommelse om utkontraktering av informationsbehandling bör reglera vilka säkerhetsåtgärder leverantören ska vidta inklusive

• att verksamhetsutövaren får kontaktuppgifter till hos leverantören utsedd systemägare,
• vilken kompetens avseende cybersäkerhet leverantören behöver ha,
• när och hur leverantören ska informera verksamhetsutövaren, om misstänkta och inträffade incidenter och tillbud, …

Av de två exemplen är den listan lättast att läsa fel. Den ser ut som en kravspecifikation för varje avtal om utkontraktering, och jag räknar med att den läggs fram som kravlista i upphandlingar och omförhandlingar under hösten 2026. Kravet i paragrafen är att avtalet eller överenskommelsen säkerställer att lämpliga och proportionella säkerhetsåtgärder kan genomföras och förvaltas över tid. Listan är i vår läsning en rekommendation om vad avtalet bör reglera.

Samma intervall kan vara krav på ett ställe och råd på ett annat #

Frasen “vid behov men minst en gång per år” står fyra gånger i föreskriften. Från den 1 oktober 2026 är intervallet ett krav på två ställen:

• ledningen ska bli informerad om genomförandet av säkerhetsåtgärderna och verksamhetsutövarens nivå av cybersäkerhet (3 kap. 4 §)
• säkerhetsåtgärderna för sektorskritiska system ska följas upp och utvärderas (3 kap. 19 §)

På två andra ställen är intervallet ett råd:

• övning av alternativa arbetssätt och återställning av sektorskritiska system (rådet till 3 kap. 14 §)
• övning av krishanteringen avseende sektorsverksamhet (rådet till 3 kap. 18 §)

Den som har läst frasen som krav på ett ställe läser den lätt som krav på alla fyra.

Kräver varje ska i föreskriften själva säkerhetsåtgärden? #

Inte enligt vår tolkning. Uttrycket “identifiera och hantera behovet av” står, med två små variationer, 40 gånger i föreskriftstexten. Där är det från den 1 oktober 2026 bindande att identifiera och hantera behovet, och om själva åtgärden behövs avgörs av er bedömning. Bedömningen är inte fri. Den ska vila på det systematiska och riskbaserade arbete som 3 kap. 1 § kräver.

Vad betyder det att avvika från ett allmänt råd? #

Ett allmänt råd är inte tvingande. Kravet i paragrafen gäller oavsett om ni följer rådet. Vill ni avvika från själva föreskrifterna behövs ett undantag, som Försvarets radioanstalt enligt 7 kap. 1 § kan medge i enskilda fall om det finns särskilda skäl. För ett allmänt råd behövs, enligt vår läsning, inget undantag.

Att råden inte är tvingande betyder enligt vår tolkning inte att de kan avfärdas som tips. Enligt föreskriftens inledning förtydligar råden innebörden i kraven, och ett råd kan peka på något som är bindande genom en annan källa.

Vi rekommenderar att ni dokumenterar varför ni avviker från ett råd och hur ni ändå uppfyller kravet. Den dokumentationen är det underlag ni har om någon frågar. Att dokumentera avvikelsen är vår rekommendation och inte ett krav i föreskriften. Vi menar att dokumentationen ändå hör hemma i den information som 3 kap. 3 § från den 1 oktober 2026 kräver att ni identifierar och hanterar behovet av att dokumentera och spara, alltså det som behövs för uppföljning, utvärdering och tillsyn.

Nästa steg #

För in det ni hittar i två kolumner när ni går igenom föreskriften, eller när någon analyserar åt er hur ni uppfyller den: kravet med paragrafnummer och rådet med paragrafen det hör till. En punkt som inte går att knyta till föreskriften, till lagen eller till någon annan författning är någons egen bedömning, och det är bra att veta vems.

Börja med avtalen om utkontraktering, eftersom listan i rådet om dessa avtal sannolikt kommer att användas mest. Hur ni ser över de avtal som redan är tecknade har jag skrivit om i inlägget Har ni följt upp avtalet från 2023? Vår säkerhetsanalys går igenom hur ni uppfyller föreskriften och håller isär krav och råd.