Remiss: Förslag till uppdaterade föreskrifter om rapportering av it-incidenter för statliga myndigheter enligt beredskapsförordningen

Statliga myndigheter är enligt 14 § förordning (2022:524) om statliga myndigheters beredskap (beredskapsförordningen) skyldiga att till stöd för arbetet med samhällets informationssäkerhet skyndsamt rapportera it-incidenter som inträffat i den rapporterande myndighetens informationssystem och som allvarligt kan påverka säkerheten i den informationshantering som myndigheten ansvarar för, eller som inträffat i tjänster som myndigheten tillhandahåller åt en annan organisation.

Rapportering ska ske till Myndigheten för civilt försvar och regleras idag närmare i Myndigheten för civilt försvars föreskrifter om rapportering av it-incidenter för statliga myndigheter (MSBFS 2020:8).

I samband med cybersäkerhetslagen (2025:1506) ikraftträdande har Myndigheten för civilt försvar sett över dessa föreskrifter och föreslår nu en uppdaterad version.

Uppdaterade föreskrifter om rapportering av it-incidenter

Syftet med föreslagen uppdatering av myndighetens föreskrifter om incidentrapportering för statliga myndigheter är att:

• få en mer heltäckande bild av inträffade incidenter på ett tidigare stadium än idag,
• förenkla för de statliga myndigheter som omfattas av krav på incidentrapportering enligt både beredskapsförordningen och cybersäkerhetslagen (2025:1506) samt
• korrigera hänvisningen till mandatet att utfärda föreskrifter respektive genomföra de justeringar som följer av att uppgiften att ta emot incidentrapporter enligt beredskapsförordningen kommer att flyttas över från Myndigheten för civilt försvar (tidigare Myndigheten för samhällsskydd och beredskap) till Försvarets radioanstalt den 1 juli 2026.

För de statliga myndigheter som endast omfattas av beredskapsförordningens krav på incidentrapportering kommer förändringarna som görs i syfte att skapa en förbättrad lägesbild att innebära att rapportering sker i ytterligare ett skede.