Hur snabbt måste en cyberincident rapporteras enligt cybersäkerhetslagen?

En betydande incident ska ni upplysa om inom 24 timmar, göra incidentanmälan om inom 72 timmar och slutrapportera inom en månad. Tillhandahåller ni betrodda tjänster är anmälningsfristen 24 timmar. Pågår incidenten fortfarande efter en månad lämnas en lägesrapport i stället, och slutrapporten en månad efter att incidenten hanterats. Därtill ska ni på myndighetens begäran lämna en delrapport, som saknar egen frist.

Räknas 24-timmarsfristen från att vi upptäckte incidenten?

Nej. Lagen räknar från att verksamhetsutövaren fått kännedom om incidenten, och föreskriften räknar från att incidenten identifierats som betydande. Det är två olika tidpunkter, och ingen av dem är upptäckten. Skillnaden gör eskaleringsvägen avgörande: den som noterar en avvikelse utlöser ingen frist, men den som har mandat att bedöma den gör det i samma stund hen får veta.

Måste vi berätta för våra kunder att vi haft en incident?

Ibland, och lagen har två skilda regler. Vid en betydande incident som sannolikt påverkar era tjänster negativt ska ni informera mottagarna om det är lämpligt, enligt 2 kap. 9 §. Vid ett betydande cyberhot gäller 2 kap. 10 §, och där är informationen om skydds- och motåtgärder ovillkorlig medan beskrivningen av själva hotet är den del som bedöms. Den andra skyldigheten utlöses utan att någon incident har inträffat, vilket gör den lätt att missa helt.

Hur lång tid tar workshopen, och kan den göras digitalt?

Fyra timmar. På plats genomförs den som en halvdag. Digitalt kan den läggas antingen som ett pass om fyra timmar eller som två pass om två timmar, vilket ofta fungerar bättre när deltagarna har driftansvar.

Vi har redan en incidentrutin. Vad tillför workshopen?

Två saker. Det första är klassificeringen: en rutin som inte säger var tröskeln för betydande incident går lämnar bedömningen till den som har minst tid att göra den. Det andra är övningen. En process som aldrig testats är en hypotes.

Behöver vi ha ISO 27001 för att ha nytta av workshopen?

Nej. Kravgrunden är cybersäkerhetslagen och dess föreskrifter; ISO 27001 och ISO 27035 bär arbetssättet. Workshopen förutsätter inte att ni är certifierade eller på väg att bli. Arbetar ni mot en certifiering är materialet däremot utformat för att kunna användas som underlag.

Vad kostar workshopen?

Fast pris, angivet i offert. Priset beror på gruppens storlek och vilka tillägg ni väljer ur bonuskatalogen. Workshopen ingår också i det samlade workshopprogrammet, där paketpriset är lägre än de fem workshopparna var för sig.

Kan vi öva vidare själva efteråt?

Ja, och det är meningen. Scenariokorten innehåller fyra scenarier, och bonuskatalogens utvidgade bibliotek ytterligare tolv. Där finns också en facilitatorguide för intern tabletop. Materialet är avsett att bära er egen övning under sex till tolv månader efter workshopen.

Nr 04

2026

Utbildningar

De första timmarna avgör

Har er organisation en incidentprocess? Fungerar den när klockan tickar och underlaget är ofullständigt? Den här workshopen bygger grunderna och testar dem direkt i ett scenario anpassat efter er verksamhet, medan det fortfarande är en övning.

Boka en kostnadsfri genomgång Vad lagen kräver

Kort svar

Incidenthantering enligt cybersäkerhetslagen (SFS 2025:1506) kräver en dokumenterad process för att upptäcka, klassificera, hantera och rapportera incidenter. En betydande incident ska ni upplysa om inom 24 timmar från att ni fått kännedom om den, anmäla inom 72 timmar och slutrapportera inom en månad. Vår workshop är en faciliterad halvdag som bygger processen och testar den i en tabletop-övning innan den behöver fungera skarpt.

24 h

Från kännedom till upplysning

Hur snabbt måste en cyberincident rapporteras?

En betydande incident ska ni upplysa om inom 24 timmar. I direktivet kallas steget tidig varning; i lagen och föreskriften heter det upplysning. Därefter följer en incidentanmälan inom 72 timmar, och en slutrapport inom en månad. Tillhandahåller ni betrodda tjänster är anmälningsfristen 24 timmar i stället för 72. Pågår incidenten fortfarande efter en månad lämnas en lägesrapport, och slutrapporten först en månad efter att incidenten hanterats.

Till de tre stegen kommer ett fjärde som är lätt att missa: på myndighetens begäran ska ni lämna en delrapport med statusuppdateringar. Den har ingen egen frist och är inte preciserad i någon föreskrift: den utlöses av att någon frågar. Den går alltså inte att förbereda med en mall, bara med förmågan att ha en aktuell lägesbild mitt i förloppet.

Klockan startar inte när någon upptäcker något. Lagen räknar från att verksamhetsutövaren fått kännedom om incidenten (2 kap. 5 och 6 §§). Föreskriften räknar i stället från att incidenten identifierats som betydande (MCFFS 2026:8, 2 kap. 3 och 4 §§). Det är två olika tidpunkter, och den skillnaden är precis varför eskaleringsvägen avgör: den som upptäcker en avvikelse på fredag kväll utlöser ingen frist, men den som har mandat att bedöma den gör det i samma sekund hen får veta.

Rör incidenten personuppgifter löper dessutom ett parallellt spår mot Integritetsskyddsmyndigheten enligt dataskyddsförordningen.

Därför handlar workshopen mindre om blanketten och mer om beslutsvägarna. Vem larmar, vem bedömer, vem beslutar, och vad gäller klockan sju på fredagskvällen. Uppgifterna lämnas sedan via de kontaktvägar som Försvarets radioanstalt anvisat. I praktiken är det CERT-SE ni möter.

Fyra

Nivåer i beslutsträdet

Vad räknas som en betydande incident?

Frågan avgör om rapporteringsplikten löser ut, och den ska besvaras under tidspress av någon som inte har hela bilden. Det är precis den situation en klassificeringsmodell finns till för.

Lagen ger tre rekvisit: incidenten är betydande om den har orsakat eller kan orsaka allvarlig driftsstörning för tjänsten eller ekonomisk skada för er, eller om den har påverkat eller kan påverka andra genom att vålla betydande skada (2 kap. 5 §). Föreskriften gör dem mätbara: den ekonomiska tröskeln går exempelvis vid fem procent av er totala årsomsättning under föregående räkenskapsår, och flera incidenter som var för sig inte är betydande kan bli det tillsammans.

Vi arbetar med ett beslutsträd i fyra nivåer, där varje nivå har egna trösklar för eskalering och rapportering. Nivåindelningen är vår, kriterierna är lagens och föreskriftens. Poängen är att den som upptäcker något inte ska behöva göra en juridisk bedömning, utan följa ett träd som leder till rätt person.

Vad föreskriften kräver av processen

Lagen anger att incidenthantering är ett av tio säkerhetsområden. Innehållet står i föreskriften: MCFFS 2026:11, 3 kap. 17 §, som gäller från den 1 oktober 2026. Den kräver att incidenter och tillbud kan identifieras, anmälas, analyseras och begränsas, att påverkad information och funktionalitet återställs enligt en fastställd prioriteringsordning, att liknande incidenter förhindras, och att behovet av att utreda grundorsaken hanteras.

Till det kommer allmänna råd (rekommendationer, inte krav): att både personal och mottagare av era externa tjänster enkelt ska kunna anmäla, att risken för ytterligare incidenter beaktas när ni väljer begränsande åtgärder, och att ni tar stöd av era leverantörer när ni väljer hur ni återställer.

Föreskrifterna gäller inte den som uteslutande bedriver verksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster mellan företag, post- och budtjänster eller rymden, med ett undantag: kravet på ledningens utbildning binder även dem. Skyldigheten att rapportera försvinner inte heller. Lagens 2 kap. 5–10 §§ gäller fullt ut, och för de aktörerna är EU-förordning 2024/2690 kravspåret i stället för de svenska föreskrifterna. Finns det krav i annan författning med minst motsvarande verkan gäller dessutom de i stället (1 kap. 10 §), vilket är en fråga att reda ut innan ni bygger processen.

De sex faserna i en incidentprocess

Så här delar vi upp processen i workshopen. Indelningen följer föreskriftens ordning och skiljer begränsning från återställning, eftersom 3 kap. 17 § gör det. Ingen börjar från noll här: att upptäcka, begränsa och återställa ingår redan i IT-driftens vardag. Det som gör vardagen till en process är att alla sex faserna beskrivs och hänger ihop.

Förebygga. Rutiner, roller och kontaktvägar på plats innan något händer.
Upptäcka. Att någon över huvud taget noterar avvikelsen, och vet vart den ska rapporteras.
Analysera. Klassificering, omfattningsbedömning och beslut om rapporteringsplikt.
Begränsa. Stoppa spridningen utan att förstöra spåren som behövs senare.
Återställa. Tillbaka till drift, med kontroll på att angriparen faktiskt är ute.
Lära. Den enda fas inget yttre tryck driver fram, och den enda som gör nästa incident billigare.

Dubbelt

Två regelverk samtidigt

Vad händer när incidenten också rör personuppgifter?

Då löper två anmälningsspår parallellt, med olika mottagare, olika kriterier och delvis olika innehåll. Cybersäkerhetslagens spår handlar om driftstörning och samhällspåverkan. Dataskyddsförordningens spår går till Integritetsskyddsmyndigheten utan onödigt dröjsmål och om möjligt inom 72 timmar från vetskap, och handlar om risken för de registrerade.

Medför incidenten sannolikt en hög risk för de registrerades rättigheter ska ni dessutom informera dem själva, inte bara myndigheten. Det är dataskyddsförordningens artikel 34, och den har en motsvarighet i cybersäkerhetslagen som beskrivs i nästa avsnitt.

Rutinerna för de två spåren skrivs av olika funktioner, var och en kring sitt eget regelverk, och överlappet upptäcks först under en skarp incident. Då är det för sent att reda ut vem som anmäler vad.

I workshopen läggs båda spåren in i samma beslutsträd, så att bedömningen görs en gång och leder till rätt antal anmälningar. Vid misstanke om brott tillkommer dessutom frågan om polisanmälan, som är ett eget beslut med egen tidslogik.

Utåt

Två skyldigheter mot kunderna

Vad ska ni berätta för era kunder, och när?

Rapporteringen till myndigheten är den del alla känner till. Cybersäkerhetslagen bär två skyldigheter till som pekar åt andra hållet, mot dem som använder era tjänster, och de kräver ett kommunikationsmandat som en rutin skriven kring myndighetsrapporteringen inte ger.

Vid en betydande incident som sannolikt påverkar era tjänster negativt ska ni informera mottagarna, om det är lämpligt (2 kap. 9 §). Föreskriften anger vad informationen ska innehålla: vad incidenten består i, vilka åtgärder mottagarna behöver vidta och vad konsekvenserna blir om de uteblir. Ni ska avstå om ni bedömer att informationen kan försvåra hanteringen av incidenten eller förvärra dess konsekvenser. Lämplighetsbedömningen och undantaget är två skilda prövningar: båda ligger hos er, och båda behöver dokumenteras, också när beslutet blev att avstå.

Vid ett betydande cyberhot gäller 2 kap. 10 §, och den är kedjans enda skyldighet som utlöses utan att någon incident har inträffat. Här är ordningen omvänd: informationen om skydds- och motåtgärder är ovillkorlig, medan beskrivningen av själva hotet är den del som bedöms. Läser ni hela paragrafen som en lämplighetsfråga har ni läst den fel.

I praktiken betyder det två saker. Ni behöver en tröskel för när ett hot är betydande nog, satt i förväg och matad av er omvärldsbevakning; efteråt är det för sent. Och ni behöver en kommunikationsväg till era kunder som fungerar medan era egna system är nere. Båda hör hemma i workshopen, för ingen av dem uppstår av sig själv i en rutin som är skriven kring rapporteringen.

4 h

Eller 2 × 2 h digitalt

En halvdag orientering, med övningen inbyggd

Workshopen är fyra timmar och genomförs som halvdag på plats, eller digitalt i ett pass om fyra timmar eller två pass om två. Fördelningen är ungefär 57 procent orientering och 43 procent övning, alltså teoritung med avsikt: processen ska sitta innan den testas. Kravgrunden är cybersäkerhetslagen och dess föreskrifter; arbetssättet vilar på ISO 27001 och ISO 27035.

Processen och rollerna
De sex faserna mot föreskriftens krav i 3 kap. 17 §, vem som gör vad, och var er organisation har luckor i dag. Vi utgår från er faktiska bemanning, inte från en idealbild.
Klassificering
Beslutsträdet i fyra nivåer gås igenom och anpassas till er verksamhet, med lagens tre rekvisit och föreskriftens mätbara kriterier som trösklar. De ska vara satta så att de går att tillämpa av den som svarar i telefonen.
Rapporteringskraven
Upplysning, incidentanmälan, delrapport på begäran och slutrapport eller lägesrapport, med rätt startpunkt för varje frist. Informationsskyldigheten mot era kunder vid incident och vid cyberhot, det parallella spåret mot Integritetsskyddsmyndigheten, och frågan om polisanmälan.
Tabletop-övning
Ett scenario anpassat efter er verksamhet spelas igenom. Övningen avslöjar brister i rutiner och beredskap på ett tryggt sätt, innan det blir skarpt läge.

Vilka bör delta

Ledning, IT-ansvariga, kommunikationsansvariga och nyckelpersoner i incidentorganisationen. Kommunikation är inte en eftertanke här: vid en incident kommer frågorna från kunder, medier och myndigheter samtidigt som tekniken ska lagas.

Efter workshopen

Materialet är byggt för att ni ska kunna öva vidare på egen hand under de närmaste sex till tolv månaderna. En process som övas en gång är en process som glöms bort, och därför följer bonusmaterial med för internt bruk.

Sju

Plus tre till fem valda

Vad ni har i handen efteråt

Sju leverabler ingår alltid. Därutöver väljer ni tre till fem ur en bonuskatalog, så att paketet passar om ni står inför en certifiering, arbetar i en reglerad sektor eller just har haft en incident.

Incidentplanmall: Processen i dokumenterad form, med roller, beslutspunkter och eskaleringsvägar ifyllda för er organisation, mot föreskriftens sju krav.
Klassificeringsverktyg: Beslutsträdet i fyra nivåer, med lagens tre rekvisit och föreskriftens mätbara kriterier som trösklar. Avgör eskalering och rapporteringsplikt.
Rapporteringsfristmatris: Kedjans fyra steg med rätt startpunkt för varje frist, den korta fristen för betrodda tjänster, och lägesrapporten när incidenten drar ut på tiden.
Mall för kundinformation: För båda skyldigheterna mot era tjänstemottagare, med plats för den dokumenterade bedömningen, även när beslutet blev att avstå.
Scenariokort: Fyra incidentscenarier att öva vidare på internt, utan att någon behöver hitta på dem.
Kontaktkort: Kontaktvägen som Försvarets radioanstalt anvisat (i praktiken CERT-SE), plus Integritetsskyddsmyndigheten och polisens IT-brottsenhet, på ett kort som går att ha framme.
Första 24 timmarna: Checklista för det inledande dygnet, när frågorna kommer snabbare än underlaget. Börjar vid kännedom, inte vid upptäckt.

Bonuskatalogen väljer ni ur i offertskedet: utvidgat scenariobibliotek, facilitatorguide för intern övning, kommunikationsmallar och mognadsbedömning mot ISO 27035.

Fast pris, angivet i offert. Workshopen ingår i det samlade workshopprogrammet och kompletterar kontinuitetsplaneringen, som tar vid där incidenten blivit en längre störning.

Vanliga frågor

Hur snabbt måste en cyberincident rapporteras enligt cybersäkerhetslagen?: En betydande incident ska ni upplysa om inom 24 timmar, göra incidentanmälan om inom 72 timmar och slutrapportera inom en månad. Tillhandahåller ni betrodda tjänster är anmälningsfristen 24 timmar. Pågår incidenten fortfarande efter en månad lämnas en lägesrapport i stället, och slutrapporten en månad efter att incidenten hanterats. Därtill ska ni på myndighetens begäran lämna en delrapport, som saknar egen frist.
Räknas 24-timmarsfristen från att vi upptäckte incidenten?: Nej. Lagen räknar från att verksamhetsutövaren fått kännedom om incidenten, och föreskriften räknar från att incidenten identifierats som betydande. Det är två olika tidpunkter, och ingen av dem är upptäckten. Skillnaden gör eskaleringsvägen avgörande: den som noterar en avvikelse utlöser ingen frist, men den som har mandat att bedöma den gör det i samma stund hen får veta.
Måste vi berätta för våra kunder att vi haft en incident?: Ibland, och lagen har två skilda regler. Vid en betydande incident som sannolikt påverkar era tjänster negativt ska ni informera mottagarna om det är lämpligt, enligt 2 kap. 9 §. Vid ett betydande cyberhot gäller 2 kap. 10 §, och där är informationen om skydds- och motåtgärder ovillkorlig medan beskrivningen av själva hotet är den del som bedöms. Den andra skyldigheten utlöses utan att någon incident har inträffat, vilket gör den lätt att missa helt.
Hur lång tid tar workshopen, och kan den göras digitalt?: Fyra timmar. På plats genomförs den som en halvdag. Digitalt kan den läggas antingen som ett pass om fyra timmar eller som två pass om två timmar, vilket ofta fungerar bättre när deltagarna har driftansvar.
Vi har redan en incidentrutin. Vad tillför workshopen?: Två saker. Det första är klassificeringen: en rutin som inte säger var tröskeln för betydande incident går lämnar bedömningen till den som har minst tid att göra den. Det andra är övningen. En process som aldrig testats är en hypotes.
Behöver vi ha ISO 27001 för att ha nytta av workshopen?: Nej. Kravgrunden är cybersäkerhetslagen och dess föreskrifter; ISO 27001 och ISO 27035 bär arbetssättet. Workshopen förutsätter inte att ni är certifierade eller på väg att bli. Arbetar ni mot en certifiering är materialet däremot utformat för att kunna användas som underlag.
Vad kostar workshopen?: Fast pris, angivet i offert. Priset beror på gruppens storlek och vilka tillägg ni väljer ur bonuskatalogen. Workshopen ingår också i det samlade workshopprogrammet, där paketpriset är lägre än de fem workshopparna var för sig.
Kan vi öva vidare själva efteråt?: Ja, och det är meningen. Scenariokorten innehåller fyra scenarier, och bonuskatalogens utvidgade bibliotek ytterligare tolv. Där finns också en facilitatorguide för intern tabletop. Materialet är avsett att bära er egen övning under sex till tolv månader efter workshopen.

Boka incidenthantering-workshopen

Börja med ett kostnadsfritt samtal på 30 minuter. Vi går igenom vad ni har på plats i dag, var beslutsvägarna brister och om workshopen är rätt nästa steg. Inga förpliktelser.

Boka 30 minuter Läs om cybersäkerhetslagen