Vem har bestämt hur länge verksamheten får vara utan sina system?

Svedala kommun drabbades den 1 oktober 2026 av ett IT-intrång. Den 12 oktober 2026 skrev kommunen att de flesta e-tjänster, lönesystemet och intranätet är tillgängliga igen, att återställningen började med en backup som bara var någon timme gammal och att kommunen fortfarande är i krisledning. Enligt kommunen lyfter IT-chefen fram “bra struktur i det tidigare arbetet” som avgörande för att snabbt komma i gång. Jag bedömer inte kommunen. Händelsen är bara anledningen till att jag i den här artikeln ställer frågan hur länge en verksamhet får vara utan sina system.

Vad kräver MCFFS 2026:11 om acceptabla tider för otillgänglighet? #

Enligt MCFFS 2026:11 (3 kap. 15 § första stycket) ska en verksamhetsutövare för produktionsmiljön fastställa acceptabla tider för otillgänglighet och bristande funktionalitet för informationsbehandling. Föreskriften säger inte hur tiderna tas fram.

Om informationsägaren står det i 3 kap. 7 § andra stycket:

Informationsägaren ska informera berörd systemägare om identifierad nivå av skydd för informationen samt vad som är acceptabla tider för otillgänglighet och bristande funktionalitet för informationsbehandlingen.

Under rubriken ”Återställning av förlorad information och säkerhetskopiering” står i 4 kap. 28 § första stycket:

För att minska konsekvenserna för verksamheten om informationen i system har förlorats, förvanskats eller på annat sätt blivit otillgänglig, ska verksamhetsutövaren säkerställa att informationen kan återställas inom fastställda acceptabla tider för otillgänglighet och bristande funktionalitet.

Meningen förutsätter fastställda tider, och tillsammans med 3 kap. 15 § blir det två krav.

Gäller kravet att fastställa tider även för utvecklings-, test- och utbildningsmiljön? #

För utvecklings-, test- och utbildningsmiljön är kravet ett annat. För produktionsmiljön ska verksamhetsutövaren fastställa tiderna. För utvecklings-, test- och utbildningsmiljö ska verksamhetsutövaren identifiera och hantera behovet av att fastställa tiderna (3 kap. 15 § andra stycket).

Den som läser kravet som om det gällde alla miljöer lika får en större uppgift än föreskriften ger.

För vem gäller kraven? #

Kraven i 3 kap. 15 § och 4 kap. 28 § gäller de verksamhetsutövare som föreskriftens krav på säkerhetsåtgärder gäller för. Verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden omfattas endast av kravet på ledningens utbildning i 2 kap. 1 §.

Cybersäkerhetslagen, inte föreskriften, avgör om ni är en verksamhetsutövare. Under rubriken ”Lagens tillämpningsområde” står 1 kap. 3 till 8 §§ cybersäkerhetslagen (2025:1506). 3 § börjar med orden ”Lagen gäller för”, och 4 till 8 §§ börjar med orden ”Lagen gäller också för”. I 4 § står:

Lagen gäller också för en verksamhetsutövare som

1. omfattas av bilaga 1 eller 2 till NIS 2-direktivet i den ursprungliga lydelsen, men inte av 5 § 4, 6 § eller 7 § 1-3, eller är en enskild utbildningsanordnare med tillstånd att utfärda examina enligt lagen (1993:792) om tillstånd att utfärda vissa examina,

2. är etablerad i Sverige, och

3. storleksmässigt motsvarar eller är större än ett medelstort företag.

Lagen har dessutom ett avsnitt med rubriken ”Undantag från lagens tillämpningsområde”. Två exempel ur avsnittet:

• Under rubriken ”Krav i andra författningar” står i 1 kap. 11 § andra stycket: ”För en verksamhetsutövare som omfattas av DORA-förordningen gäller inte skyldigheterna enligt 2 kap. 3-10 §§.”
• Under rubriken ”Säkerhetskänslig verksamhet och brottsbekämpande verksamhet” står i 12 § första stycket: ”Denna lag gäller inte för en statlig myndighet som till övervägande del bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen (2018:585) eller som till övervägande del bedriver brottsbekämpande verksamhet.” Paragrafens fjärde stycke lyder: ”Undantagen i första-tredje styckena gäller inte för en verksamhetsutövare som tillhandahåller betrodda tjänster.”

Sedan när gäller lagen och föreskriften? #

Cybersäkerhetslagen har gällt sedan 15 januari 2026. Enligt lagen ska säkerhetsåtgärderna ”åtminstone avse” tio uppräknade punkter (2 kap. 3 § andra stycket). Den tredje punkten lyder ”kontinuitetshantering och krishantering”. Kravet att fastställa acceptabla tider står i föreskriften och inte i lagen. Föreskriften MCFFS 2026:11 gäller sedan 1 oktober 2026.

Räcker det att IT har räknat fram en återställningstid? #

Föreskriften säger inte hur tiderna tas fram, och den ställer inte en uträknad tid mot en fastställd. Det är min rekommendation, inte föreskriftens krav, att tiden ska fastställas genom ett beslut och inte bara räknas ut.

En uträkning säger hur lång tid en återställning väntas ta. Ett beslut säger hur länge verksamheten får vara utan sina system. Uträkningen är ett underlag, beslutet ett åtagande som resten av verksamheten kan planera efter: vilka system som återställs först, vad som ska skötas på papper under tiden och vad ett längre avbrott kostar.

Obriums rekommendation: vem i ledningen bör stå bakom tiderna? #

Min rekommendation är att någon i ledningen står bakom gränsen för hur länge verksamheten får vara utan sina system. Den som avgör hur länge verksamheten får vara utan sina system avgör också hur mycket som ska läggas på reservlösningar, övning och återställning, och det är ett beslut om pengar och risk.

Obriums rekommendation: vad bör avtalet med leverantören säga om tiderna? #

Under rubriken ”Förvärv av system och utkontraktering av informationsbehandling” står i 4 kap. 1 § andra stycket:

Verksamhetsutövaren ska säkerställa att de krav som ställs på verksamhetsutövaren i denna författning uppfylls av leverantören utom i de delar kravet i sin helhet uppfylls av verksamhetsutövaren.

Min rekommendation är att ni tar reda på vilka tider som står i avtalet med leverantören och jämför dem med de tider ni själva har fastställt.

Så kan Obrium hjälpa #

Jag hjälper ledningsgrupper att sätta gränsen, få den beslutad och dokumenterad: vilka system, vilka tider och vem som står bakom. Boka ett samtal om ni vill börja med de tre system som verksamheten inte tål att vara utan.

Vanliga frågor #

Måste tiderna vara dokumenterade?

Det finns ett allmänt råd som nämner tiderna i driftdokumentationen: av driftdokumentationen för ett system bör framgå ”acceptabla tider för otillgänglighet och bristande funktionalitet och hur systemet återställs” (rådet till 4 kap. 10 §). Ett allmänt råd är inte tvingande. Ett annat allmänt råd säger dessutom att för tillsynsändamål bör beslut, analyser, bedömningar, planer och resultat av uppföljning dokumenteras och sparas (rådet till 3 kap. 3 §). Att tillämpa det rådet på tiderna är min rekommendation.

Är en uträknad tid en fastställd tid?

Föreskriften tar inte ställning mot uträkningen: den ställer inte en uträknad tid mot en fastställd, och den säger inte hur tiderna tas fram. Min rekommendation är att tiden fastställs genom ett beslut, även när siffran bygger på en uträkning.

Var står det i lagen och föreskriften? #

Artikeln handlar om två krav i föreskriften:

• Enligt 3 kap. 15 § första stycket ska en verksamhetsutövare för produktionsmiljön fastställa acceptabla tider för otillgänglighet och bristande funktionalitet för informationsbehandling. För utvecklings-, test- och utbildningsmiljö ska verksamhetsutövaren identifiera och hantera behovet av att fastställa tiderna (3 kap. 15 § andra stycket).
• Enligt 4 kap. 28 § första stycket ska verksamhetsutövaren, för att minska konsekvenserna för verksamheten om informationen i system har förlorats, förvanskats eller på annat sätt blivit otillgänglig, säkerställa att informationen kan återställas inom fastställda acceptabla tider för otillgänglighet och bristande funktionalitet.

Nedan står var kraven och de övriga paragrafer och allmänna råd som artikeln hänvisar till finns.

I föreskriften, MCFFS 2026:11:

• Acceptabla tider för otillgänglighet och bristande funktionalitet: 3 kap. 15 §
• Informationsägaren: 3 kap. 7 § andra stycket
• Återställning av förlorad information och säkerhetskopiering: 4 kap. 28 §
• Förvärv av system och utkontraktering av informationsbehandling: 4 kap. 1 §
• Ledningens utbildning om säkerhetsåtgärder: 2 kap. 1 §
• Allmänt råd om driftdokumentationen: rådet till 4 kap. 10 §
• Allmänt råd om dokumentation för tillsynsändamål: rådet till 3 kap. 3 §

I cybersäkerhetslagen (2025:1506):

• Lagens tillämpningsområde: 1 kap. 3 till 8 §§
• Undantag från lagens tillämpningsområde, de två exemplen ovan: 1 kap. 11 och 12 §§
• Säkerhetsåtgärder: 2 kap. 3 §

Det här blev en lagtung artikel, med många paragrafer och ett språk som kan kännas tungrott och akademiskt. Paragraferna går ändå inte att hoppa över. Ni som ska följa lagen och föreskriften måste förstå vad som krävs av er, och det förstår ni bara genom att läsa vad paragraferna säger, ord för ord.