Sammanfattning: Cybersäkerhetslagen gör cybersäkerhet till ett ledningsansvar. Från den 1 oktober 2026 gäller dessutom föreskrifter om säkerhetsåtgärder och ledningens utbildning. Här är tio frågor en ledning eller styrelse bör kunna få svar på, med en kort beskrivning av vad ett bra svar innehåller. Använd listan på nästa lednings- eller styrelsemöte och dokumentera svaren.
Den svenska cybersäkerhetslagen, som genomför EU:s NIS2-direktiv, gäller sedan den 15 januari 2026. Den 1 oktober 2026 börjar föreskrifterna om säkerhetsåtgärder och ledningens utbildning (MCFFS 2026:11) och om säkerhetsrevision och säkerhetsskanning (MCFFS 2026:12) att gälla. Föreskrifterna beslutades av Myndigheten för civilt försvar, men sedan den 1 juli 2026 ligger cyberuppgifterna och tillsynsvägledningen hos Nationellt cybersäkerhetscenter (NCSC) vid FRA, som också tar emot anmälan av verksamheter. Kraven är därmed konkreta, och ansvaret ligger uttryckligen hos ledningen.
Frågorna nedan är formulerade så att de kan ställas av någon som inte arbetar med IT eller säkerhet till vardags. Det är poängen. Ledningen ska kunna sätta mål, bedöma vilka åtgärder som behövs och följa upp genomförandet.
1. Omfattas vi av lagen, och är vi registrerade?
Lagen gäller väsentliga och viktiga verksamhetsutövare i ett stort antal sektorer, och verksamheter som omfattas ska registrera sig hos sin tillsynsmyndighet. Ett bra svar anger vilken sektor och vilken kategori ni tillhör, när registreringen gjordes och vem som är kontaktperson. Är svaret osäkert finns vår självskattning för att bedöma om ni omfattas.
2. Har ledningen gått utbildningen, och kan vi visa det?
Föreskrifterna kräver att ledningen har tillräcklig kunskap för att styra cybersäkerhetsarbetet. Ett bra svar innehåller vem som har utbildats, när, vad utbildningen omfattade och hur det dokumenterats. Nya ledamöter behöver en plan för att komma i kapp.
3. Vem äger arbetet, och hur rapporteras det till oss?
Cybersäkerhet kan inte lämnas till IT-avdelningen. Ett bra svar pekar på en ansvarig med mandat och resurser, beskriver hur risker, åtgärder och säkerhetsnivå rapporteras till ledningen och hur ofta. Föreskrifterna anger att ledningen ska informeras vid behov, men minst en gång per år.
4. Vilka är våra viktigaste informationstillgångar och system?
Utan informationsklassning vet ingen vad som ska skyddas mest. Ett bra svar är en kort lista över de tjänster, system och informationsmängder som verksamheten inte klarar sig utan, med en ägare per post.
5. Är riskanalysen aktuell, och har vi beslutat vilken risk vi accepterar?
Risker ska identifieras, analyseras och värderas utifrån konsekvens och sannolikhet, och organisationen ska ha kriterier för vilken risk den accepterar. Ett bra svar anger när analysen senast uppdaterades, vilka de största riskerna är, vilka åtgärder som är kopplade till dem och vem som beslutat om riskacceptansen. En analys som är äldre än ett år är sällan ett bra beslutsunderlag.
6. Klarar vi att rapportera en betydande incident inom 24 timmar?
Betydande incidenter följer en tidslinje i tre steg: en tidig förvarning inom 24 timmar från kännedom, en anmälan inom 72 timmar och en slutrapport inom en månad. Ett bra svar beskriver vem som bedömer om en incident är betydande, vem som rapporterar, hur beslutet fattas en helgkväll och när processen senast övades.
7. Hur länge klarar verksamheten sig utan de kritiska systemen?
Kontinuitet är ett uttryckligt krav: organisationen ska bedöma behovet av kontinuitet, fastställa prioriteringsordning för återställning och ta fram alternativa arbetssätt där de behövs. Ett bra svar anger per kritisk tjänst hur länge ett avbrott är acceptabelt, hur verksamheten arbetar under avbrottet och när återställning från säkerhetskopior senast testades.
8. Vet vi vilka leverantörer som är kritiska och vad avtalen kräver?
Cybersäkerhetsrisker ska värderas innan system köps in eller informationsbehandling läggs ut, och leverantörer ska bedömas utifrån sin förmåga att uppfylla säkerhetskraven under hela avtalstiden. Ett bra svar är en lista över kritiska leverantörer med vilken information de hanterar, vilka säkerhetskrav avtalet ställer och hur efterlevnaden följs upp. Avtal som ingicks före den 1 oktober 2026 ska ses över och kompletteras när det är möjligt om kraven är otillräckliga.
9. Hur vet vi att åtgärderna fungerar?
En policy och ett antal tekniska inställningar bevisar inte att säkerheten fungerar. Föreskrifterna om säkerhetsrevision och säkerhetsskanning pekar mot återkommande, oberoende kontroll. Ett bra svar innehåller när säkerheten senast granskades av någon utanför den egna driften, vad granskningen visade och vilka brister som åtgärdats.
10. Vad händer om vi inte klarar kraven?
Lagen backas upp av tillsyn och sanktionsavgifter. För en väsentlig verksamhetsutövare kan avgiften uppgå till det högsta av 2 procent av den globala årsomsättningen eller motsvarande 10 miljoner euro, för en viktig verksamhetsutövare det högsta av 1,4 procent eller motsvarande 7 miljoner euro. För offentliga verksamhetsutövare gäller särskilda regler. Ett bra svar handlar dock inte främst om avgifterna, utan om vad ett längre avbrott i era kritiska tjänster skulle kosta verksamheten och dem ni finns till för.
Så använder ni listan
Gå igenom de tio frågorna på ett ledningsmöte och skriv ner svaren, även de som är ”vet inte”. Frågor utan bra svar blir er prioriterade åtgärdslista. Upprepa övningen en gång per år, gärna i samband med den årliga rapporteringen till ledningen. Då blir uppföljningen en del av styrningen i stället för ett separat projekt.
Vill ni ha hjälp att ta fram svaren eller stänga gapen? Läs om vårt arbete med NIS2 och cybersäkerhetslagen eller kontakta oss för ett första samtal.
Källor: Cybersäkerhetslagen (genomför direktiv (EU) 2022/2555, NIS2); föreskrifter och allmänna råd om säkerhetsåtgärder och ledningens utbildning (MCFFS 2026:11) samt om säkerhetsrevision och säkerhetsskanning (MCFFS 2026:12), som gäller från den 1 oktober 2026; Nationellt cybersäkerhetscenter (NCSC) vid FRA, som förvaltar föreskrifterna sedan den 1 juli 2026; EUR-Lex, direktiv (EU) 2022/2555.
Den här texten är allmän information och utgör inte juridisk rådgivning i ett enskilt ärende.