Frågor och svar om cybersäkerhetslagen

Genom NIS2-direktivet ställer EU krav på medlemsstaterna att höja den gemensamma cybersäkerhetsnivå och höja motståndskraften i samhällsviktig verksamhet. Regleringen säkerställer att viktiga samhällsfunktioner fortsätter att fungera i alla lägen.

Enkelt uttryckt sker detta genom att ställa krav på organisationer som ansvarar för viktiga samhällsfunktioner: de ska ha ett systematiskt informationssäkerhetsarbete och lämpliga riskhanteringsåtgärder, de ska också rapportera in betydande incidenter till tillsynsmyndigheterna.
NIS2-direktivet regleras genom cybersäkerhetslagen i Sverige.
Jämfört med det tidigare NIS-direktivet (NIS1) så skärps kraven på de organisationer som omfattas. Dessa blir också betydligt fler, då befintliga sektorer får nya kriterier och flera nya sektorer tillkommer.

Läs om vad cybersäkerhetslagen (NIS2) innebär i vår grundpresentation

De som omfattas av cybersäkerhetslagen (NIS2) kallas verksamhetsutövare. Verksamhetsutövarna finns i 18 olika sektorer. Organisationer omfattas som juridiska personer. Organisationsnummer utgör en sådan person. Organisationen behöver själv bedöma om den omfattas av Cybersäkerhetslagen.

Läs mer om hur organisationer kan bedöma om verksamheten som omfattas eller inte

NIS2 kommer regleras genom Cybersäkerhetslagen. CER kommer att regleras i en annan kommande lagstiftning. CER- och NIS2-direktiven kompletterar varandra då NIS2-direktivet reglerar det systematiska cybersäkerhetsarbetet även i samhällsviktig verksamhet som identifieras under CER-direktivet.

Cybersäkerhetslagen

Läs mer om CER

Skälen är vägledande, artiklarna är krav.

De flesta kommer att bli det. Reglerna framgår i lag, förordning och föreskrifter. Mer information kommer i vägledningen, som kommer att förtydliga kraven.

Cybersäkerhetslagen kommer inte att gälla för statliga myndigheter som till övervägande del bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen eller som till övervägande del bedriver brottsbekämpande verksamhet.

Cybersäkerhetslagen gäller inte heller för en enskild verksamhetsutövare som enbart bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen eller som enbart erbjuder tjänster till sådana statliga myndigheter som avses i första stycket.

Skyldigheterna att lämna uppgifter enligt cybersäkerhetslagen gäller inte uppgifter som är säkerhetsskyddsklassificerade enligt säkerhetsskyddslagen.

Mer information om detta återfinns i lagen.

Cybersäkerhetslagen

Om ni identifierat att ni omfattas av lagen går det att komma igång på flera sätt. Om verksamheten tidigare omfattats av NIS i någon del, så fortsätt utveckla arbetet där och titta på hur ni kan dra nytta av det i andra delar av organisationen.

Om verksamheten inte tidigare omfattats av NIS:

Ta del av vad cybersäkerhetslagen (NIS2) direktivet är och hur ni kan kommunicera det i verksamheten med hjälp av vår grundpresentation

Cybersäkerhetslagen för berörda verksamheter

Känna till hur NIS2 direktivet ser ut i svensk rätt

Sedan ska organisationen anmälas enligt föreskriftskraven.

Mer information om att anmäla en verksamhet enligt cybersäkerhetslagen

För att ge ledningen information kring cybersäkerhetslagen och deras roll i arbetet har vi tagit fram särskild information:

Cybersäkerhetslagen för ledningen

För att förbereda och stötta införandet har vi kontinuerligt webbinarier, som går att se i efterhand:

Webbinarier

Organisationen behöver kanske se över det systematiska cybersäkerhetsarbetet och det kan göras med hjälp av Cybersäkerhetskollen och Metodstödet.

Cybersäkerhetskollen

Metodstödet

Behöver organisationen stöd i det systematiska cybersäkerhetsarbetet kan man kontakta Cybersäkerhetsrådgivningen för råd och stöd.

Cybersäkerhetsrådgivningen

Många fler organisationer omfattas av cybersäkerhetslagen (NIS2) än av den tidigare NIS-regleringen. Den som omfattas av cybersäkerhetslagen kallas verksamhetsutövare. Verksamhetsutövarna finns i 18 olika sektorer, som bedriver någon av de specificerade verksamheterna. Organisationen behöver själv bedöma om den omfattas av den kommande cybersäkerhetslagen.

Läs mer om hur organisationer kan bedöma om verksamheten som omfattas eller inte

Ja.

Läs mer om att anmäla en verksamhet enligt NIS2

Tidigare MSB och PTS fick i regeringsuppdrag under 2025 att förbereda genomförandet av NIS2, vilket bland annat innebar att förbereda föreskrifter innan lag och förordning beslutats. Föreskrifterna har under vintern 2025 varit ute på remiss. I förordningen, som gavs ut i december 2025, framgår det att Myndigheten för civilt försvar och PTS har rätt att meddela föreskrifter. Föreskrifterna kommer efter cybersäkerhetslagen trätt i kraft den 15 januari och ges ut löpande under våren 2026.

NIS-regleringen och säkerhetsskyddslagen

Läs mer om tidsplanen

Förslag och beslutade föreskrifter

Cybersäkerhetsförordningen

För vissa sektorer är verksamheten svår att hänföra till ett specifikt land. Därför har EU beslutat att kraven för sådana verksamhetsutövare ska vara gemensamma, istället för att utfärdas i respektive medlemsstat. De gemensamma kraven anges i en genomförandeförordning på EU-nivå.

Läs mer om genomförandeförordningen

Det finns inte en sammanställning över de tekniska åtgärderna som krävs för att efterleva cybersäkerhetslagen, utan verksamheten måste själv arbeta med säkerhetsåtgärderna som lag och föreskrift presenterar och identifiera eventuellt ytterligare lämpliga säkerhetsåtgärder utifrån de krav som ställs. I föreskrifterna och vägledningarna kommer det att finnas mer information om hur lagen ska tillämpas. Vägledningar kommer under våren 2026.

När lagen träder i kraft och föreskrifter finns tillgängliga ska lagen efterlevas. Det är därför viktigt att organisationer snarast börjar arbeta systematiskt med cybersäkerhet och etablerar arbetssätt för att efterleva lagstiftningen vid ikraftträdandet.

Föreskrifter och vägledningar kommer löpande under våren 2026.

Tidsplan för införandet av cybersäkerhetslagen

Myndigheten för civilt försvar stöttar organisationer i efterlevandet av cybersäkerhetslagen genom utbildningar om det systematiska cybersäkerhetsarbetet, material och webbinarier. Myndigheten för civilt försvar erbjuder även organisationer stöd via Cybersäkerhetsrådgivningen som stöttar och ger rådgivning kring cybersäkerhetslagen och det förebyggande cybersäkerhetsarbetet.

NIS1 upphörde att gälla den 15 januari då cybersäkerhetslagen (NIS2) trädde i kraft. De sektorsspecifika föreskrifterna gällde fram till den 15 januari. Föreskrifterna för cybersäkerhetslagen kommer ut löpande under våren 2025.

Tidsplan för införandet av cybersäkerhetslagen

Förslag till nya föreskrifter

Det finns en Cybersäkerhetsförordningen som beslutades samtidigt som cybersäkerhetslagen i december 2025.

Cybersäkerhetsförordningen

Allriskperspektivet är centralt för cybersäkerhetslagen och NIS2-direktivet. Det innebär att man i det systematiska cybersäkerhetsarbetet strävar efter att bedöma alla typer av risker för något som ska skyddas och att analysera alla möjliga orsaker till att en risk realiseras. Vilket innebär att man tar hänsyn till angrepp, misstag, systemfel och naturhändelser.

• Förstå vad cybersäkerhetslagen innebär.Det här är cybersäkerhetslagen
• Titta på informationen om anmälan.Anmälan
• Se över hur organisationen omfattas.Omfattning
• Läs på om incidentrapportering.
  Incidentrapportering
• Titta närmare på föreslagna och beslutade föreskrifter.Föreslagna och beslutade föreskrifter
• Se över det systematiska cybersäkerhetsarbetet med hjälp av Cybersäkerhetskollen och Metodstödet.CybersäkerhetskollenMetodstödet
• Informera ledningen.Cybersäkerhetslagen för ledningenBevaka tidsplanenTidsplan

Anmälan av verksamhet ska göras till Myndigheten för civilt försvar. Anmälningstjänsten lanseras den 2 februari. Tillsynsmyndigheterna kommer få en samlad förteckning över vilka verksamhetsutövare som tillhör vardera sektor av Myndigheten för civilt försvar.

Att anmäla en verksamhet enligt Cybersäkerhetslagen

I anmälan menas detta att antingen kan man omfattas av regleringen på grund av EU:s gemensamma huvudregler eller omfattas av regleringen genom att på nationell nivå, då det har lagts till ytterligare verksamhetsutövare. Det kan göras med sådana som är viktiga för samhällets funktionalitet, men inte uppfyller storlekskraven i huvudreglerna. Vilka som de är framgår av föreskrifterna.

Anmälan kan begäras ut, men en sekretessprövning görs och information döljs när den inte är lämplig att delas.

Listan över verksamhetsutövare kommer inte vara tillgänglig publikt, utan sammanställas och delas med respektive tillsynsmyndighet. En del av sammanställningen kommer att delas med EU-kommissionen och ENISA.

Ja, alla verksamheter som omfattas av den nya cybersäkerhetslagen kommer att behöva anmäla sig även om man tidigare omfattats av NIS1.

Organisationer ska anmäla sig skyndsamt som om man identifierat sig som verksamhetsutövare enligt cybersäkerhetslagen och alla behöver inte anmäla sig samma dag som anmälningstjänsten öppnar utan så fort identifiering och analys av verksamhetens omfattning är genomförd. Det finns ingen sista anmälningsdag.

En generell kontroll kommer att göras av varje anmälan av Myndigheten för civilt försvar. Tillsynsmyndigheterna kommer i sin tur att kontrollera de anmälda verksamheterna inom dess sektorer. Skulle en verksamhetsutövare felaktigt bedöma att den inte omfattas och därför inte anmäler sig kan tillsynsmyndigheten inleda en tillsyn.

Registrering vid anmälan kommer att göras med BankID eller Freja ID. Det kommer inte att behövas en digital signatur.

Organisationsnummer kommer att behöva uppges vid anmälan. Mer information om vad som ska uppges finner du på vår webb.

Att anmäla en verksamhet

Vid anmälan kommer det att finnas alternativ för om verksamheten är ett företag eller företräder ett företag. Det kommer även i anmälan att behöva framgå om verksamhetsutövaren även har verksamhet inom EU/EES. Information om detta finns på vår webb, i föreskrift och det kommer mer information i vägledningen för anmälan.

Att anmäla en verksamhet

Det kommer finnas möjlighet att göra en anmälan på uppdrag av tredje part, men en fullmakt kommer inte att behövas vid anmälan. Anmälan på uppdrag av tredje part kommer att behöva styrkas vid tillsyn.

Det kommer att framgå i anmälningstjänsten och i vägledningen för anmälan hur sektorerna ska anmälas. Anmälningstjänsten kommer att utgå ifrån de 18 NIS2-sektorerna.

Att anmäla en verksamhet

De 18 sektorerna

Om en koncern omfattas av flera sektorer ska koncernen anmäla sig för samtliga sektorer, så länge dotterbolagen eller anknutna partner företag inte har egna organisationsnummer då ska de göra egna anmälningar. Det vill säga en verksamhetsutövare kommer att kunna anmäla flera sektorer för en verksamhet.

Att anmäla en verksamhet

Omfattas verksamheten

Nej, en verksamhet som anmält sig via den tillfälliga anmälningstjänsten kommer inte att behöva anmäla sig igen.

En verksamhet behöver anmäla sig efter att anmälningstjänsten öppnat den 2 februari och så snart den har identifierat att den omfattas av cybersäkerhetslagen.

Hela kommunen omfattas av cybersäkerhetslagen som offentlig förvaltning och ska där med anmäla sig. I anmälan ska kommunen uppge vilka sektorer och delsektorer som omfattas det vill säga vilka förvaltningar som är verksamhetsutövare under andra sektorer än offentlig förvaltning.

Att anmäla en verksamhetOmfattas verksamheten

En person ska utses av verksamheten för att genomföra anmälan.

Verksamheten bör utse en person som genomför anmälan. Hur beslut tas och vem personen är avgör verksamheten.

Via e-tjänsten för anmälan får man en bekräftelse att anmälan skickats in. Anmälningarna kommer att kontrolleras och om en verksamhet har gjort en felaktig anmälan, uppgett felaktig information eller att information saknas kommer verksamheten att få återkoppling om det.

Ja, anmälan ska innehålla kontaktuppgifter. Vad anmälan ska innehålla finner du mer information om på vår webb.

Att anmäla en verksamhet

Verksamheten behöver först identifiera och analysera dess omfattning av cybersäkerhetslagen. När identifiering och analys är klar kan en anmälan enligt cybersäkerhetslagen genomföras. Tillhör verksamheten en sektor där det behövs mer vägledning och information kring omfattning bör verksamheten invänta föreskriftens vägledning innan en anmälan genomförs.

Att anmäla en verksamhet

Omfattas verksamheten

När verksamheten utser en företrädare för anmälan ska det vara en juridisk person som anmäler.

Vad anmälan ska innehålla finner du mer information om på vår webb. Föreskrift och vägledningen för föreskriften kommer att förtydliga vad anmälan ska innehålla. Vägledningen kommer att ges ut strax efter att anmälningstjänsten öppnat.

CSIRT står för Computer Security Incident Response Team, och är en incidenthanteringsfunktion. Incidenter ska rapporteras till CSIRT (vilket i Sverige är Myndigheten för civilt försvar).

Incidentrapporteringen har förändrats med cybersäkerhetslagen, men rapportering kommer ska göras till Myndigheten för civilt försvar.

Mer information om incidentrapportering enligt cybersäkerhetslagen

Nej, tillsyn kan ske efter en incident men det behöver inte leda till det. Det är av största vikt att alla rapporteringspliktiga incidenter rapporteras.

Vi som kommun har olika tillsynsmyndigheter. Hur vet vi vid en incident om den ska rapportera till tillsynsmyndigheten eller Myndigheten för civilt försvar? Incidenter ska rapporteras till Myndigheten för civilt försvar oavsett vilken tillsynsmyndighet man har.

Incidenter som berör flera lagstiftningar ska alltid rapporteras till samtliga berörda myndigheter. Det vill säga om en incident berör både cybersäkerhetslagen (NIS2) och är en personuppgiftsincident enligt GDPR ska det rapporteras både till Myndigheten för civilt försvar och Integritetsskyddsmyndigheten (IMY).

En betydande incident som har orsakat mateirell eller immateriell skada kan till exempel vara ett dataintrång som manipulerar en process samtidigt som data stjäls från organisationer. Incidenter behöver inte leda till både materiell och immateriell skada men det är vanligt att incidenter leder till direkta och indirekta konsekvenser för it-miljön, verksamheten och samhället. Vilka incidenter som är rapporteringspliktiga kommer att förtydligas i föreskrift och vägledning.

Ja en sådan incident ska anmälas och är ett bra exempel på en incident om man tittar utifrån allriskperspektivet. En sån incident uppstår på grund av en naturhändelse som leder till påverkan i den digitala miljön.

Vid rapportering av betydande incidenter ska ekonomisk skada uppges. Mer information om detta finns i förslaget till ny föreskrift om incidentrapportering och informationsskyldighet.

Förslag till nya föreskrifter

Ja, incidenter som både påverkar organisationen själv och andra ska rapporteras om de är rapporteringspliktiga. Leverantör och underleverantör kan dock omfattas av olika rapporteringskrav. Verksamheter som inte omfattas av cybersäkerhetslagen behöver inte rapportera enligt lagen.

Incidenter enligt Genomförandeförordningen behöver inte rapporteras för de verksamhetsutövare som inte omfattas av den.

Information om genomförandeförordningen

Information om incidentrapportering enligt cybersäkerhetslagen

Hur rapporteringen ska gå till framgår av instruktionerna för att rapportera en it-incident och kommer att förtydligas i föreskrift, vägledning och när den nya incidentrapporteringstjänsten lanseras senare under 2026.

Instruktioner för att rapportera it-incident

Den nya tjänsten som lanseras senare under 2026 kommer att vara en ny och bättre tjänst. Mer information kommer och vi uppdaterar vår webb löpande med mer information.

Information om hur incidentrapportering enligt cybersäkerhetslagen går till

Nej incidentrapporter har alltid delats med berörd tillsynsmyndighet, det vill säga det har även gjorts för det tidigare NIS-direktivet (NIS1).

Det finns inte med bland sektorerna i formuläret ni har publicerat.
Alla rapporteringspliktiga incidenter enligt cybersäkerhetslagen ska rapporteras, instruktioner för statliga myndigheter och för verksamhetsutövare enligt cybersäkerhetslagen finns på vår webb.

Instruktioner för att rapportera it-incident

Det finns instruktioner för incidentrapporteringen som förklarar steg för steg.

Instruktioner för att rapportera it-incident

Vissa sektorer omfattas av Genomförandeförordningen och de ska fortsatt rapportera utifrån den. PTS kommer att ta fram föreskrifter för resterande sektorer som inte omfattas av Genomförandeförordningen. Mer information kommer.

Genomförandeförordningen

Information om hur incidentrapportering enligt cybersäkerhetslagen går till

Tillsynsmyndigheternas information om omfattning

I instruktionerna för incidentrapportering framgår det att inom 24 timmar från det att verksamhetsutövaren identifierat en incident som är rapporteringspliktig ska verksamhetsutövaren inkomma med en Upplysning. Den ska redogöra för om den betydande incidenten misstänks ha orsakats av olagliga eller avsiktligt skadliga handlingar eller kan ha gränsöverskridande verkningar.

Instruktioner för att rapportera it-incident

Ja om incidenten har påverkat er verksamhet ska den rapporteras. Mer information om vilka incidenter som är rapporteringspliktiga finner du på vår webb.

Information om incidentrapportering enligt cybersäkerhetslagen

Instruktioner för att rapportera it-incident

Ja om det påverkat er verksamhet ska incidenten rapporteras. Om både omfattas av cybersäkerhetslagen ska båda verksamhetsutövarna rapportera incidenten, observera att rapporteringsplikten kan skilja sig mellan verksamheterna. Läs mer på vår webb.

Information om hur incidentrapportering enligt cybersäkerhetslagen går till

Instruktioner för att rapportera it-incident

Myndigheten för civilt försvar informerar om incidenten till flera tillsynsmyndigheter om flera sektorer drabbats och om den drabbade verksamhetsutövaren har flera olika tillsynsmyndigheter. En verksamhetsutövares incidentrapportering enligt cybersäkerhetslagen ska enbart göras till Myndigheten för civilt försvar och en verksamhetsutövare behöver inte göra flera rapporter även om den drabbat flera sektorer.

Information om hur incidentrapportering enligt cybersäkerhetslagen går till

Instruktioner för att rapportera it-incident

Ja. Om rapporteringsplikten enligt cybersäkerhetslagen träffar båda eller flera verksamhetsutövare ska samtliga rapportera incidenten.

Information om hur incidentrapportering enligt cybersäkerhetslagen går till

Instruktioner för att rapportera it-incident

Det går att rapportera incidenter på uppdrag av andra verksamheter. I incidentrapporten ska det framgå vem som rapporterar och på uppdrag av vem. Vem i verksamheten som anmäler verksamheten enligt cybersäkerhetslagen och rapportera incidenter avgör verksamheten.

Information om hur incidentrapportering enligt cybersäkerhetslagen går till

Information om att anmäla en verksamhet enligt cybersäkerhetslagen

Vid pågående incident kan CERT-SE, Sveriges nationella CSIRT (Computer Security Incident Response Team), stötta verksamheten i att hantera incidenten. CERT-SE tillhandahåller rådgivning kring hantering av incidenten och ger stöd till drabbade verksamheter för att lindra påverkan av det inträffade och återställa funktion. CERT-SE är en del av Myndigheten för civilt försvar.

CERT-SE

Hur incidentrapporteringen går till finner du mer information om på vår webb men fram till att den nya portalen lanserats kommer det att ske via en interimslösning. Vi uppdaterar informationen löpande. Vad som ska rapporteras finner du även på vår webb.

Information om hur incidentrapportering enligt cybersäkerhetslagen går till

Instruktioner för att rapportera it-incident

Ja en verksamhetsutövare kan omfattas av flera olika tillsynsmyndigheter om verksamhetsutövaren faller under flera sektorer.

Läs mer om omfattning

Det finns ett nära samarbete sedan tidigare reglering mellan myndigheterna. Samarbetet fortsätter under den nya regleringen, som dessutom direkt anger att tillsynsmyndigheterna ska komma överens om hur tillsynen ska genomföras när det gäller gemensamma tillsynsobjekt.

Tillsynen kommer att påbörjas gradvis och det kommer att se olika ut utifrån förutsättningarna i respektive sektor och tillsynsmyndighet. Om tillsynen visar på överträdelser kan tillsynsmyndigheten besluta om ingripanden såsom anmärkning, föreläggande eller sanktionsavgift. Dessa utformas i så fall från fall till fall beroende på omständigheterna.

Tillsynsmyndigheterna har ett etablerat samarbete där dialog sker löpande. Hur tillsynen ska genomföras för verksamhetsutövare som omfattas i flera sektorer/av flera tillsynsmyndigheter är något som tillsynsmyndigheterna ska komma överens om enligt cybersäkerhetsförordningen. Syftet med samarbetet är att främja effektiv och likvärdig tillsyn.

Tillsyn kan genomföras på olika sätt, både dokumentgranskning, besök och tekniska kontroller kan bli aktuella. Det vanligaste är att tillsynsmyndigheten meddelar metod när en tillsyn annonseras.

Om det behövs ytterligare förtydligande utöver det som anges i lag, förordning, föreskrifter och vägledning ska sådana frågor ställas till tillsynsmyndigheten. Det är dock bra att hålla i minnet att det inte finns färdiga svar på allt och att tillsynsmyndigheterna har ett digert arbete med att hantera denna typ av tolkningsfrågor.

Som offentlig verksamhet omfattas en region i sin helhet i sektorn offentlig förvaltning, men kan även omfattas i andra sektorer specifikt i enskilda förvaltningar.

Läs mer om omfattas verksamheten av cybersäkerhetslagen

Om kollektivtrafiken finns i en region träffas den av cybersäkerhetslagen genom att hela regionen omfattas. Kollektivtrafik finns inte med under transportsektorn i cybersäkerhetslagen, men däremot i CER, vilket innebär att verksamheten kommer på grund av CER behöva efterleva cybersäkerhetslagen.

CER-direktivet

Det ställs inga krav på intern tillsynsroll, däremot ställs det krav på att man följer upp sitt eget arbetssätt och det skydd man infört för att verifiera att man faktiskt har den säkerhet som man behöver.

Hela kommunen ses som väsentlig verksamhetsutövare. Mer information om detta finner du på vår webb.

Läs mer om omfattas verksamheten av cybersäkerhetslagen

Detta kan läsa mer om på vår webb.

Läs mer om omfattas verksamheten av cybersäkerhetslagen 

Lagen förtydligar vilka lärosäten som omfattas.

Cybersäkerhetslagen

Till exempel är "tillverkare" en väldigt bred beskrivning. Är det först i föreskriften som det blir klart?

Lag och förordning kommer att förtydligas i de kommande föreskrifterna. Därefter tillkommer det vägledningar som kommer att precisera och förklara ytterligare.

Det finns ännu inte en vägledning om identifiering, preliminärt kommer den i månadsskiftet februari-mars. Mer information kommer men bevaka våra sidor.

Läs mer om omfattas verksamheten av cybersäkerhetslagen

Det kommer förtydligande av föreskriften för anmälan och identifiering i kompletterande vägledning. Mer information kommer.

Läs mer om omfattas verksamheten av cybersäkerhetslagen

Verksamheter som omfattas av flera sektorer ska följa lag, förordning och föreskrifter samt ta del av vägledningar för att efterleva regleringen för alla sektorerna. En organisation som faller inom flera sektorer kan ha flera olika tillsynsmyndigheter.

Om en organisation är osäker om den omfattas av cybersäkerhetslagen bör den i första hand ta del av vår information om omfattning och invänta föreskrifter och vägledning för förtydligande av omfattning och identifiering. Mer information kommer löpande.

Läs mer om omfattas verksamheten av cybersäkerhetslagen

Det kommer mer information i vägledningen om identifiering och anmälan. Håll utkik på vår webb.

Läs mer om omfattas verksamheten av cybersäkerhetslagen

Ledningen ska genomgå utbildning om säkerhetsåtgärder. Än så länge finns inga närmare detaljer om det här kravet. Mer information kommer att meddelas i föreskrift och vägledning. Enligt propositionen behöver det inte införas någon särskild reglering om att ledningen ska godkänna de säkerhetsåtgärder som vidtas och övervaka genomförandet av dem. Enligt den svenska utredningens bedömning ingår detta i ledningens normala ansvar för verksamheten och behöver inte regleras särskilt.
Ledningen ska också kunna ställas till svars för överträdelser när det gäller verksamhetsutövarens säkerhetsåtgärder. I särskilda fall föreslås tillsynsmyndigheterna kunna ingripa genom att ansöka om att en person inte ska få vara befattningshavare hos en viss verksamhetsutövare. Ett sådant förbud får inte riktas mot offentliga verksamhetsutövare.

Mer information om cybersäkerhetslagen för ledningen

Kravet på utbildning omfattar ledningsorganet. Enligt propositionen avses

• för aktiebolag, styrelse och vd,
• för statliga myndigheter, myndighetschef om det är en enrådighetsmyndighet, styrelse om det är en styrelsemyndighet och en nämnd om det är en nämndmyndighet.
• för regioner och kommuner, regions- eller kommunstyrelse.

Nej, förbud att utöva ledningsroll kan inte utfärdas i offentlig sektor.

Enligt propositionen avses kommun- respektive regionstyrelsen i enlighet med 6 kap. 1 § kommunallagen. Av paragrafen framgår att styrelsen ska leda och samordna förvaltningen av kommunens eller regionens angelägenheter och ha uppsikt över bland annat övriga nämnders verksamhet.

Hur utbildningen för ledningen ska utformas kommer fastställas när föreskrift och vägledning ges ut. Till dess kan man utgå ifrån förslaget till föreskrift och vår webb för mer information.

Cybersäkerhetslagen för ledningen

Förslag till nya föreskrifter

I cybersäkerhetslagen framgår det att för att en ledare ska ha brustit i sitt ansvar ska verksamheten om verksamhetsutövaren är väsentlig, inte har vidtagit åtgärder efter en tillsyn där det framkommit att verksamhetsutövaren åsidosatt sina skyldigheter enligt lag och föreskrift, överträdelsen som ligger till grund för föreläggandet är allvarligt och ledningen har orsakat överträdelsen uppsåtligen eller av grov oaktsamhet.

Cybersäkerhetslagen

Lag och förordning beslutades i december 2025 och trädde i kraft den 15 januari 2026. Föreskrifter och vägledningar kommer löpande under våren 2026. När lag, förordning och föreskrifter kommit ut är regleringen färdig i dess helhet.

Tidsplan

Det här är cybersäkerhetslagen

Så ser regleringen ut

Det här gäller för de verksamheter som omfattas

Om er organisation inte kan identifiera sig som verksamhetsutövare, så omfattas inte er verksamhet av cybersäkerhetslagen. Om ni inte omfattas av cybersäkerhetslagen kan ändå era kunder ställa krav i linje med lagen för att säkerställa att hela leveransen håller den säkerhetsnivån som krävs.

Läs mer om hur organisationer kan bedöma om verksamheten som omfattas eller inte

Läs mer om systematiskt cybersäkerhetsarbete

Förnärvarande finns det inga specifika medel att ansöka om för att efterleva cybersäkerhetslagen.
För en översikt av bidrag som kan sökas för projekt, se:

NCC-SEs aktuella utlysningar

Myndigheten för civilt försvars aktuella utlysningar

Cybersäkerhetslagen gäller sedan den 15 januari, för att efterleva lagen behöver presenterade säkerhetsåtgärder genomföras. Om organisationen identifierar att säkerhetsåtgärderna kräver att IT-systemet behöver förändras för att efterleva lagen är det en lämplig åtgärd.

Föreskrifterna för cybersäkerhetslagen kommer att ges ut löpande under våren 2026. Vi uppdaterar vår tidslinje med mer information när det finns tillgängligt.

Tidsplan

Man skall alltid ställa cybersäkerhetskrav i sina upphandlingar, och beroende på vad man handlar upp så är kraven olika. Det stämmer att cybersäkerhetslagen gäller bredare, i och med att hela kommunen omfattas.

Nej, då ni inte räknas som verksamhetsutövare så omfattas ni inte som egen organisation. Däremot kan era kunder ställa krav i linje med lagen för att säkerställa att hela leveransen håller den säkerhetsnivån som krävs.

Verksamheten för cybersäkerhet kommer att övergå till Nationellt cybersäkerhetscente (NCSC) den 1 juli 2026 enligt regeringsbeslut om att samla cybersäkerhetsverksamheten hos NCSC. Beslutet gäller för hela verksamheten för cybersäkerhet och inkluderar därmed arbetet med att förebygga och hantera it-incidenter.

Nyheten från Myndigheten för civilt försvar

Regeringsbeslutet

Mer information om CER kommer under 2026 och hur detta ska tolkas. Gemensamt för direktiven är att de båda handlar om motståndskraft i verksamheten, vilket inkluderar det fysiska skyddet.

Mer information om CER

Den nationella risk- och sårbarhetsanalysen kopplat till CER är klar och insänd. Mer information kommer.

Mer information om CER

Under våren 2026 kommer webbinarier om CER-direktivet. Håll utkik i vår kalender för mer information.

Myndigheten för civilt försvars kalender

De verksamheter som omfattas av CER omfattas även av cybersäkerhetslagen (NIS2). Vilka verksamheter som omfattas av CER är ännu inte klart då den svenska regleringen inte är färdig, men bilaga 1 i NIS2 är relativt likalydande bilagan i CER.

Mer information om CER

Vad jag hört tidigare så att vi anmäler oss till Myndigheten för civilt försvar enligt cybersäkerhetslagen (NIS2), men att vi blir meddelade om vi omfattas av CER.

De verksamheter som omfattas av CER kommer att pekas ut, men den svenska implementeringen av direktivet är ännu inte klart.

Mer information om CER

Den svenska regleringen för CER är ännu inte klar, men kommunerna bedriver flera av de samhällsviktiga verksamheterna som finns i bilagan för direktivet. Antagligen kommer kommuner inte att pekas ut som offentlig förvaltning utan enbart som verksamhetsutövare.

Mer information om CER

Rapportering enligt NIS1 stängdes den 15 januari 2026 då NIS-lagen (NIS1) upphörde att gälla. De som inlett rapporteringen av en incident som är rapporteringspliktig enligt NIS1 och inte slutfört denna rapportering förväntas nyttja pdf-filerna som tillhandahålls på webbplatsen för detta.

Information om incidentrapportering