Föreskrifterna enligt cybersäkerhetslagen

Lagen har gällt sedan 15 januari 2026, men det är föreskrifterna som gör kraven operativa. Det första steget kom 1 juli 2026: MCFFS 2026:8 reglerar vilka incidenter som är rapporteringspliktiga, hur rapporteringen går till och vilka uppgifter som ska lämnas. Samtidigt öppnade incidentrapporteringsverktyget i cyberportalen (cyberportal.ncsc.se), och mottagare är NCSC, Nationellt cybersäkerhetscenter, en del av FRA. Fristerna: upplysning senast 24 timmar efter att incidenten identifierats som rapporteringspliktig, incidentanmälan senast 72 timmar, slutrapport senast en månad efter incidentanmälan.

Det andra steget gäller från 1 oktober 2026 och består av två författningar: föreskrifter om säkerhetsåtgärder och ledningens utbildning (MCFFS 2026:11) samt föreskrifter om säkerhetsrevisioner och säkerhetsskanningar (MCFFS 2026:12). De bygger på en riskbaserad ansats: verksamhetsutövaren ska bedöma sina risker, värdera sina informationstillgångar och vidta lämpliga säkerhetsåtgärder utifrån sina förutsättningar. Områdena motsvarar minimiåtgärderna i cybersäkerhetslagens 2 kap. 3 § (NIS2 art. 21.2): riskhantering, incidenthantering, kontinuitet, leverantörssäkerhet, kryptografi, behörigheter, multifaktorautentisering och grundläggande cyberhygien.

För de flesta verksamhetsutövare är 1 oktober det datum som avgör vad tillsynen kommer att mäta mot. Kraven på säkerhetsrevisioner och säkerhetsskanningar innebär dessutom att det inte räcker med dokumenterade rutiner: efterlevnaden ska kunna verifieras tekniskt och återkommande.