Läser in
MCFFS 2026:11 gäller sedan 1 oktober 2026
Ledningens utbildning enligt cybersäkerhetslagen. Helt digital, med intyg och underlag för tillsynen.
2 kap. 4 § cybersäkerhetslagen (SFS 2025:1506) kräver att de som ingår i ledningen genomgår utbildning om säkerhetsåtgärder: styrelse, VD och deras ersättare, i kommuner och regioner kommun- respektive regionstyrelsen. NIS2-ledningsutbildning är en kurs i egen takt, utformad efter 2 kap. 1 § MCFFS 2026:11, som ger intyg per person, en organisationsrapport för styrelseprotokollet och årlig repetition.
Lagrum
SFS 2025:1506 2 kap. 4 §
Cybersäkerhetslagen
Föreskrift
MCFFS 2026:11 2 kap. 1 §
gäller sedan 1 oktober 2026
Format
Självstudie i egen takt
cirka 122 minuter
Pris
15 000 kr per år
Ingår i NIS2-samordnaren och i paketen
Vad kravet säger
Två meningar lag, en mening föreskrift.
Lagen säger att ledningen ska utbildas. Föreskriften säger vad utbildningen ska ge: tre förmågor. De fyra innehållspunkterna står i ett allmänt råd, som inte är tvingande, men det är mot målet i föreskriften tillsynen bedömer om utbildningen räcker. Inget krav finns på format, längd eller leverantör.
De personer som ingår i ledningen för en verksamhetsutövare ska genomgå utbildning om säkerhetsåtgärder.
Utbildningen ska ge ledningen den kunskap och kompetens som krävs för att kunna fastställa mål och inriktning för verksamhetsutövarens cybersäkerhet, bedöma vilka säkerhetsåtgärder som verksamhetsutövaren behöver genomföra för att upprätthålla en lämplig nivå av cybersäkerhet utifrån identifierade risker samt övervaka genomförandet av säkerhetsåtgärderna.
Allmänt råd till 2 kap. 1 §: utbildningen bör omfatta
- 01ledningens roll i ett systematiskt och riskbaserat cybersäkerhetsarbete inklusive relevant terminologi och reglering
- 02vilken betydelse cybersäkerheten hos verksamhetsutövaren har för att upprätthålla sektorsverksamhet och viktiga samhällsfunktioner
- 03riskhantering och övervakning som ett stöd för att leda och styra arbetet med cybersäkerhet
- 04för ledningen relevanta interna regler, arbetssätt och stöd
Allmänna råd har en annan juridisk status än föreskrifter. De är inte tvingande. Deras funktion är att förtydliga innebörden i lag, förordning och föreskrifter och att ge generella rekommendationer om deras tillämpning. MCFFS 2026:11, ingressen
Det går inte att ange ett fast antal timmar. Utbildningen ska vara individuellt anpassad. Vissa ledningar arbetar redan med cybersäkerhet och vet vilken roll de har vid en kris. Andra gör det inte. Prata internt och kom fram till vad just er ledning behöver. Utbildningen ska inte vara en engångsinsats utan bör ske kontinuerligt.
Vem räknas som ledningen
Styrelse, VD och ersättare. Inte ledningsgruppen av sig själv.
Ledningsgruppen omfattas inte automatiskt, men många organisationer tar med den eftersom det är där besluten bereds och eskaleringen äger rum. Personalens utbildning är ett separat krav i 3 kap. 9 § MCFFS 2026:11 och täcks av plattformens personalmodul.
För aktiebolag och ekonomiska föreningar avser ledningen styrelsen och verkställande direktör samt ersättare för dessa. För handelsbolag och enkla bolag är bolagsmännen ansvariga för förvaltningen och är således att betrakta som ledningen. För myndigheter som står under regeringen är ledningen den som framgår av myndighetens instruktion eller annan författning. För kommuner och regioner utgörs ledningen av kommun- respektive regionstyrelsen.
| Organisationsform | Ledningen |
|---|---|
| Aktiebolag och ekonomiska föreningar | Styrelsen och verkställande direktör, samt ersättare för dessa |
| Handelsbolag och enkla bolag | Bolagsmännen, som ansvarar för förvaltningen |
| Myndigheter under regeringen | Den ledning som framgår av myndighetens instruktion eller annan författning |
| Kommuner och regioner | Kommunstyrelsen respektive regionstyrelsen |
Vad kursen innehåller
11 moduler byggda runt de tre förmågorna i föreskriften.
Varje modul är märkt med vilken förmåga den bygger: fastställa mål och inriktning, bedöma säkerhetsåtgärder utifrån risk och övervaka genomförandet. Sammanlagd tid cirka 122 minuter. Kursversion 2.0; versionen skrivs på intyget och höjs när NCSC publicerar ny vägledning.
0110 min
Lagen, ledningens ansvar och vad som händer om det brister
Mål och inriktning
0210 min
Systematiskt och riskbaserat: vad orden betyder i praktiken
Mål och inriktningBedöma åtgärder
0312 min
Förmåga ett: att fastställa mål och inriktning
Mål och inriktning
0415 min
Förmåga två: att bedöma säkerhetsåtgärder utifrån risk
Bedöma åtgärder
0512 min
Förmåga tre: att övervaka genomförandet
Övervaka
0610 min
Besluten som är ledningens och ingen annans
Mål och inriktningÖvervaka
078 min
Vad er verksamhet betyder för samhället
Mål och inriktningBedöma åtgärder
0812 min
Incidenter och kris ur ledningens perspektiv
Bedöma åtgärderÖvervaka
098 min
Leveranskedjan: ert ansvar sträcker sig till leverantörerna
Bedöma åtgärderÖvervaka
1010 min
Er organisation
Samordnaren fyller i interna regler, riskacceptans, eskaleringsväg och vem som räknas som ledningen. Deltagaren läser och bekräftar. Det är så kursen blir anpassad efter organisationen, enligt det allmänna rådets fjärde punkt.
Anpassad efter er
1115 min
Kunskapstest
9 scenariofrågor, inte faktafrågor. Godkänt kräver minst 7 rätt och minst ett rätt per förmåga. Förklaringar visas efter inlämning för alla frågor.
Alla tre förmågorna
Så går det till
Fyra steg, allt i plattformen och via mejl.
Ingen gemensam tid behöver hittas. Samordnaren förbereder, ledamöterna går kursen när det passar, och underlaget för styrelseprotokollet skapas av sig självt.
- Steg 01
Samordnaren fyller i organisationsmodulen och ledningslistan
Interna regler, riskacceptans, eskaleringsväg, när ledningen informeras och vem som räknas som ledningen hos er. Ledamöterna läggs till med namn, roll och mejladress.
- Steg 02
Varje ledamot får en inbjudan och går kursen i egen takt
Ingen inloggning utöver länken i mejlet. Kursen fungerar i mobilen och kan pausas och återupptas. Hela genomgången tar cirka 122 minuter.
- Steg 03
Intyg med verifierings-ID per person
Intyget är en PDF med namn, roll, datum, kursversion och ett verifierings-ID som vem som helst kan kontrollera utan inloggning på cyberklar.se/verifiering/utbildning.
- Steg 04
Organisationsrapport för styrelseprotokollet
Vem som genomfört, vem som saknas och när nästa repetition infaller. Påminnelse skickas när ett intyg närmar sig 12 månader eller när en ny ledamot läggs till.
Vad som loggas
Det tillsynen frågar efter vid en dokumentgranskning.
Verksamhetsutövaren ska identifiera och hantera behovet av att dokumentera och spara information som behövs för uppföljning och utvärdering respektive för tillsynsändamål. MCFFS 2026:11 3 kap. 3 §
Det allmänna rådet till paragrafen pekar på beslut, analyser, bedömningar, planer och uppföljning. För utbildningen betyder det att det ska gå att visa vem som gått, när, vilken version och med vilket resultat.
Per deltagare
- Organisation och organisationsnummer
- Deltagarens namn och roll i ledningen
- Datum och tid för start och slutförande samt total tid
- Kursversion och regelversion
- Genomförda moduler, inklusive den organisationsspecifika
- Testresultat och antal försök
- Deltagarens bekräftelse
- Verifierings-ID som kan kontrolleras utan inloggning
Självstudie i plattformen jämfört med en livekurs
Samma krav, två sätt att möta det.
En livekurs med en bra föreläsare kan vara värdefull. Skillnaden ligger i vad som finns kvar efteråt, och i vad som händer när styrelsen byter ledamot i mars.
| Självstudie i plattformen | Livekurs | |
|---|---|---|
| Tid för ledningen | Cirka 122 minuter per person, när det passar | En gemensam tid som hela styrelsen ska hitta, ofta en halv dag |
| Anpassning till organisationen | Egen modul med era regler, riskacceptans och eskaleringsväg | Beror på förberedelsen inför tillfället |
| Bevis vid tillsyn | Logg per deltagare, intyg med verifierings-ID, organisationsrapport | Närvarolista och deltagarintyg, om kursgivaren lämnar sådana |
| Nya ledamöter under året | Lägg till personen, inbjudan går ut samma dag | Vänta till nästa tillfälle eller köpa ett nytt |
| Årlig repetition | Påminnelse efter 12 månader, samma flöde | Nytt tillfälle att planera och betala för |
| Prismodell | Per organisation och år, hela ledningen ingår | Per deltagare och tillfälle |
Vad intyget visar och inte visar
Ett intyg om genomförd utbildning. Inte ett godkännande.
Det finns ingen certifieringsordning för utbildningar enligt cybersäkerhetslagen. Ingen leverantör kan därför vara godkänd av en myndighet, och ingen kurs kan lova att kravet är uppfyllt. Bedömningen gör ni och tillsynsmyndigheten. Det vi kan ge är ett innehåll utformat efter föreskriften, ett intyg som går att kontrollera och ett underlag som håller vid dokumentgranskning.
Observera att ingen av utbildningarna gör anspråk på att uppfylla det formella utbildningskravet enligt cybersäkerhetslagen, men de ger en god grund och minskar insteget att uppfylla kraven.
Står på varje intyg
Intyg om genomförd utbildning
Utbildning om säkerhetsåtgärder för ledningen
Utbildningen avser utbildning om säkerhetsåtgärder enligt 2 kap. 4 § cybersäkerhetslagen (2025:1506). Innehållet är utformat utifrån 2 kap. 1 § MCFFS 2026:11 och tillhörande allmänna råd och omfattar:
- ledningens roll i ett systematiskt och riskbaserat cybersäkerhetsarbete, inklusive terminologi och reglering
- cybersäkerhetens betydelse för sektorsverksamhet och viktiga samhällsfunktioner
- riskhantering och övervakning som stöd för att leda och styra arbetet
- organisationens interna regler, arbetssätt och stöd (organisationsspecifik modul)
Intyget visar att utbildningen genomförts. Bedömningen av om verksamhetsutövaren uppfyller cybersäkerhetslagens krav görs av verksamhetsutövaren och tillsynsmyndigheten. CyberKlar är inte en certifieringsorganisation och intyget är inte ett godkännande från någon myndighet.
Utfärdare: CyberKlar, Mindverk AB (org.nr 559582-5570)
För IT-drift, hosting, moln och digitala leverantörer
Där utbildningskravet är hela MCFFS-uppgiften.
För digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster, post och bud samt rymden gäller bara 2 kap. 1 § i MCFFS 2026:11. Säkerhetsåtgärderna följer i stället genomförandeförordning (EU) 2024/2690, och PTS är tillsynsmyndighet. För dessa verksamheter är ledningens utbildning den enda punkten i föreskriften att dokumentera, och ofta det som gör att modulen köps fristående.
För verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden gäller endast kraven på ledningens utbildning om säkerhetsåtgärder i 2 kap. 1 § i denna författning.
De moduler i kursen som bygger på 3 kap. MCFFS 2026:11 visas för dessa sektorer som rekommenderade, inte föreskrivna. MCFFS 2026:11 1 kap. 1 §
Pris och paketering
Hela ledningen, ett pris per år.
NIS2-ledningsutbildning ingår i NIS2-samordnaren, NIS2 + AI-paketet och Komplett. Den säljs också fristående för den som bara behöver uppfylla utbildningskravet: typiskt IT-drift, hosting, moln och digitala leverantörer under PTS, eller en organisation som redan har sitt övriga NIS2-arbete på plats. Priset gäller per organisation och år, oavsett hur många som ingår i ledningen. Alla belopp exklusive moms.
Fristående modul
15 000 kr per år
Gäller 50 till 249 anställda. Andra storlekar
- Under 50 anställda
- 11 000 kr/år
- 50 till 249 anställda
- 15 000 kr/år
- 250 anställda och uppåt
- 23 000 kr/år
Vanliga frågor
De vi får oftast om ledningens utbildning.
Har NCSC eller MCF godkänt kursen?
Nej, och det gäller alla utbildningar på marknaden. Cybersäkerhetslagen och MCFFS 2026:11 har ingen certifieringsordning för utbildningar och ingen lista över leverantörer. Ingen myndighet godkänner kurser om säkerhetsåtgärder för ledningen. En leverantör som påstår något annat har fel. Det som finns är kravet i 2 kap. 4 § och preciseringen i 2 kap. 1 § MCFFS 2026:11 om vad utbildningen ska ge, och det är mot det innehållet kursen är utformad.
Räcker NCSC:s egna gratiskurser?
NCSC skriver själva: "Observera att ingen av utbildningarna gör anspråk på att uppfylla det formella utbildningskravet enligt cybersäkerhetslagen, men de ger en god grund och minskar insteget att uppfylla kraven." Kurserna är bra som grund. Det de inte ger är anpassningen till er organisation, intyg per person och underlag som visar vem som genomfört vad och när.
Hur lång måste utbildningen vara?
Det finns ingen föreskriven längd. NCSC: "Det går inte att ange ett fast antal timmar. Utbildningen ska vara individuellt anpassad. Vissa ledningar arbetar redan med cybersäkerhet och vet vilken roll de har vid en kris. Andra gör det inte. Prata internt och kom fram till vad just er ledning behöver. Utbildningen ska inte vara en engångsinsats utan bör ske kontinuerligt." Kursen tar cirka 122 minuter, och organisationsmodulen är det som gör den anpassad till just er ledning.
Måste hela styrelsen gå, även suppleanter?
Ja. NCSC anger att ledningen i ett aktiebolag är styrelsen och verkställande direktör samt ersättare för dessa, alltså även suppleanter och vice VD. För kommuner och regioner är det kommun- respektive regionstyrelsen. Vem som räknas in hos er skrivs in i organisationsmodulen, så att listan över vem som ska genomgå utbildningen är ett dokumenterat beslut.
Omfattas ledningsgruppen?
Inte automatiskt. Lagen pekar på de som ingår i ledningen för verksamhetsutövaren, i ett aktiebolag styrelse och VD. Chefer i ledningsgruppen omfattas inte av kravet i sig, men många organisationer låter dem gå samma kurs eftersom de bereder besluten och äger eskaleringen. Personalens utbildning är ett separat krav i 3 kap. 9 § MCFFS 2026:11 och täcks av plattformens personalmodul.
Hur ofta ska utbildningen upprepas?
Lagen anger ingen frekvens. NCSC skriver att utbildningen inte ska vara en engångsinsats utan bör ske kontinuerligt, och 3 kap. 4 § punkt 5 MCFFS 2026:11 kräver att ledningen informeras om läget minst en gång per år. Plattformen räknar 12 månader från varje intyg och påminner i god tid. Ny ledamot får inbjudan när hen läggs till.
Vad händer vid tillsyn?
Tillsynsmyndigheten kan granska dokument, och 3 kap. 3 § MCFFS 2026:11 kräver att ni identifierar vad som ska sparas för tillsynsändamål. För utbildningen loggar plattformen organisation och organisationsnummer, deltagarens namn och roll i ledningen, datum och tid för start och slutförande samt total tid, kursversion och regelversion, genomförda moduler, inklusive den organisationsspecifika, testresultat och antal försök, deltagarens bekräftelse, verifierings-id som kan kontrolleras utan inloggning. Organisationsrapporten sammanfattar det per ledning och kan läggas till styrelseprotokollet.
Kan vi köpa bara utbildningen utan resten av plattformen?
Ja. NIS2-ledningsutbildning säljs fristående för 15 000 kr per år exklusive moms, för hela ledningen, med priset efter organisationens storlek. Den ingår också i NIS2-samordnaren, NIS2 + AI-paketet och Komplett. Köp är pausat publikt, så första steget är anmäl intresse för NIS2-ledningsutbildning.