Nr 04
2026
Cybersäkerhetslagen gäller nu. Vi hjälper er att planera arbetet
Den 15 januari 2026 trädde Sveriges nya cybersäkerhetslag i kraft. Lagen genomför EU:s NIS2-direktiv och ställer tydliga krav på hur organisationer ska arbeta med cybersäkerhet. Vi hjälper er förstå vad som gäller, identifiera era brister och bygga ett säkerhetsarbete som håller.
Om lagen
Från EU-direktiv till svensk lag
NIS2 (Network and Information Security Directive 2) är EU:s direktiv för att höja cybersäkerhetsnivån i hela unionen. I Sverige har direktivet genomförts genom Cybersäkerhetslagen (2025:1506) och Cybersäkerhetsförordningen (2025:1507), som trädde i kraft den 15 januari 2026.
Lagen ersätter den tidigare NIS-lagen från 2018 och innebär väsentligt skärpta krav. Fler sektorer och organisationer omfattas, kraven på säkerhetsåtgärder är tydligare, och ledningen får ett uttalat ansvar för cybersäkerheten.
Verksamheter som omfattas ska själva identifiera sig och anmäla sin verksamhet. Sedan den 1 juli 2026 är Försvarets radioanstalt gemensam kontaktpunkt och CSIRT-enhet och meddelar föreskrifterna, uppgifter som tidigare låg hos Myndigheten för civilt försvar. Lagen kompletteras av fyra föreskrifter i serien MCFFS, om anmälan, incidentrapportering, säkerhetsåtgärder och ledningens utbildning samt tillsynens säkerhetsrevision och säkerhetsskanning. De två sista trädde i kraft den 1 oktober 2026. För bland annat molntjänster och utlokaliserade drifts- och säkerhetstjänster gäller dessutom EU:s genomförandeförordning 2024/2690 direkt.
Tidslinje
Var befinner vi oss nu?
- 15 januari 2026
Cybersäkerhetslagen och cybersäkerhetsförordningen trädde i kraft.
- 2 februari 2026
MCFFS 2026:1 om anmälan och identifiering började gälla. Föreskriften anger vad anmälan ska innehålla, och anmälan gjordes då i Myndigheten för civilt försvars e-tjänst.
- 1 juli 2026
MCFFS 2026:8 om incidentrapportering trädde i kraft. Samtidigt tog Försvarets radioanstalt över rollerna som gemensam kontaktpunkt och CSIRT-enhet från Myndigheten för civilt försvar. Anmälan av verksamheten görs sedan dess per e-post till Nationellt cybersäkerhetscenter (NCSC), och betydande incidenter rapporteras i dess cyberportal.
- 1 oktober 2026
MCFFS 2026:11 om säkerhetsåtgärder och ledningens utbildning trädde i kraft, tillsammans med MCFFS 2026:12 om tillsynens säkerhetsrevision och säkerhetsskanning.
Den 1 oktober 2026 trädde de två sista föreskrifterna i kraft. Det viktigaste första steget är fortfarande detsamma: avgöra om er verksamhet omfattas, och i så fall anmäla den.
Vilka omfattas?
Cybersäkerhetslagen omfattar verksamheter inom 18 sektorer, elva i bilaga 1 och sju i bilaga 2. Som huvudregel gäller lagen för organisationer som är minst medelstora. Storleksgränsen följer av EU:s definition av små och medelstora företag, som lagen hänvisar till, och den bygger på antal anställda, årsomsättning och balansomslutning. Undantag finns i båda riktningarna.
- Energi (el, fjärrvärme och fjärrkyla, olja, gas, vätgas)
- Transport
- Bankverksamhet
- Finansmarknadsinfrastruktur
- Hälso- och sjukvård
- Dricksvatten
- Avloppsvatten
- Digital infrastruktur
- Förvaltning av IKT-tjänster (mellan företag)
- Offentlig förvaltning
- Rymden
- Post- och budtjänster
- Avfallshantering
- Tillverkning, produktion och distribution av kemikalier
- Produktion, bearbetning och distribution av livsmedel
- Tillverkning
- Digitala leverantörer
- Forskning
Cybersäkerhetslagen 1 kap. 9 §, som styr klassningen väsentlig eller viktig. Kommuner, regioner och kommunalförbund omfattas av lagen oavsett storlek (1 kap. 3 §), och statliga myndigheter enligt 3 § och 8 §. Enligt 1 kap. 5 § omfattas dessutom vissa verksamheter oavsett storlek, bland annat den som är enda leverantören av en samhällsviktig tjänst.
Krav
Lagens krav: 10 säkerhetsområden
Cybersäkerhetslagen ställer krav inom tio säkerhetsområden som säkerhetsåtgärderna minst ska omfatta.
Riskanalys och säkerhet i nätverks- och informationssystem
Systematisk analys av risker mot era nätverks- och informationssystem, med dokumenterade policyer som grund för säkerhetsarbetet.
Incidenthantering
Rutiner för att upptäcka, hantera och rapportera säkerhetsincidenter. Betydande incidenter kräver upplysning inom 24 timmar och incidentanmälan inom 72 timmar, för tillhandahållare av betrodda tjänster inom 24 timmar.
Kontinuitetshantering och krishantering
Planer för att upprätthålla verksamheten vid allvarliga störningar, inklusive rutiner för säkerhetskopiering och återställning.
Leveranskedjesäkerhet
Hantering av säkerhetsrisker i hela leveranskedjan, inklusive leverantörer och underleverantörer, med tydliga krav i avtal.
Säkerhet vid anskaffning, utveckling och underhåll
Krav på att säkerhet byggs in vid anskaffning, utveckling och underhåll av IT-system, inklusive hantering av sårbarheter.
Effektivitetsbedömning
Strategier och förfaranden för att bedöma om era säkerhetsåtgärder faktiskt fungerar som de ska.
Cyberhygien och utbildning
Grundläggande säkerhetsrutiner för hela organisationen och utbildning som gör att medarbetare kan bidra till säkerheten i vardagen.
Kryptografi
Användning av kryptering och andra tekniska skyddsåtgärder där det är lämpligt för att skydda känslig information.
Personalsäkerhet, åtkomstkontroll och tillgångsförvaltning
Tydlig hantering av behörigheter, åtkomsträttigheter, tillgångar och rutiner kring personal som hanterar känsliga system.
Autentisering och säker kommunikation
Vid behov lösningar för autentisering, säkrade kommunikationer och säkrade nödkommunikationssystem.
Nyhet i lagen
Ledningens ansvar: det lagen kräver
En av de viktigaste nyheterna i cybersäkerhetslagen är att ansvaret för cybersäkerhet lyfts till ledningsnivå. Personerna i ledningen, i ett aktiebolag styrelse, vd och deras ersättare, ska genomgå utbildning om säkerhetsåtgärder, och sedan den 1 oktober 2026 anger föreskriften vad utbildningen ska ge dem.
Det innebär att ledningen behöver
- Kunna fastställa mål och inriktning för cybersäkerheten
- Kunna bedöma vilka säkerhetsåtgärder som behövs utifrån identifierade risker
- Kunna övervaka genomförandet av säkerhetsåtgärderna
Förbud att inneha ledningsfunktion
En befattningshavare hos en enskild (privat) verksamhetsutövare som är väsentlig kan förbjudas att inneha ledningsfunktion hos verksamhetsutövaren i ett till tre år. Det förutsätter att ett föreläggande mot verksamhetsutövaren om en allvarlig överträdelse inte har följts, och att befattningshavaren orsakade överträdelsen uppsåtligen eller av grov oaktsamhet. Förbudet meddelas av allmän förvaltningsdomstol på ansökan av tillsynsmyndigheten.
Förbudets villkor nämner inte utbildning. Utbildningen är en egen skyldighet: personer i ledningen ska genomgå utbildning om säkerhetsåtgärder enligt lagens 2 kap. 4 §.
Vi erbjuder
En halvdag för styrelse, vd och deras ersättare. Sex moduler om beslut, risker och uppföljning, med eftermaterial för fortsatt arbete.
Läs mer om ledningsutbildningenVårt arbetssätt
Så hjälper vi er
Fyra faser, från att ta reda på var ni står till att hålla arbetet levande när nya krav och hot tillkommer.
- Nulägesanalys Vi kartlägger var ni står i dag i förhållande till cybersäkerhetslagens krav. Genom intervjuer, dokumentationsgranskning och teknisk översyn får vi en tydlig bild av vilka områden som behöver stärkas. Intervjuer med nyckelpersoner Genomgång av befintliga policyer och rutiner Teknisk översyn Nulägesrapport med prioriterade rekommendationer
- Handlingsplan Utifrån nulägesanalysen tar vi fram en realistisk plan som passar er verksamhets storlek och resurser. Vi identifierar vad som ger mest effekt och vad som kan göras stegvis. Prioritering utifrån risk och affärsnytta Resurs- och tidsplanering Åtgärder som ger snabb effekt lyfts fram Tydliga milstolpar
- Genomförande Vi stöttar er genom det praktiska arbetet, från att ta fram policyer till att bygga processer som fungerar i vardagen. Vi utbildar också er personal och ledning. Policy- och processutveckling Tekniska skyddsåtgärder Utbildning av medarbetare och ledning Stöd vid anmälan till NCSC
- Löpande stöd Cybersäkerhet är ett kontinuerligt arbete. Vi hjälper er följa upp att ert säkerhetsarbete utvecklas när nya krav och hot tillkommer. Regelbundna uppföljningar och granskningar Stöd vid incidenter och incidentrapportering Bevakning av nya föreskrifter och regeländringar Underlag för ledningsrapportering
24 timmar
till upplysning vid betydande incident
10 områden
där säkerhetsåtgärder minst ska vidtas
10 miljoner euro
eller 2 procent av omsättningen i sanktionsavgift, det högre av dem
18 sektorer
omfattas av lagen
Cybersäkerhetslagen 1 kap. 4 §, 2 kap. 3 och 5 §§ samt 4 kap. 10 §. Taket ovan gäller enskilda väsentliga verksamhetsutövare, och procenten räknas på den totala globala årsomsättningen närmast föregående räkenskapsår. För enskilda viktiga verksamhetsutövare är taket 7 miljoner euro eller 1,4 procent av den totala globala årsomsättningen, likaså det högre av dem.
Osäkra på om ni omfattas?
Boka ett kostnadsfritt samtal om var ni står och vad nästa steg kan vara. Om lagen gäller er verksamhet avgör ni själva, och underlaget för den bedömningen kan vi ta fram i ett eget uppdrag. Inga förpliktelser, bara ett ärligt samtal om er situation.