Sammanfattning: Den 1 oktober 2026 börjar nya föreskrifter om säkerhetsåtgärder och ledningens utbildning att gälla för många verksamheter som omfattas av Cybersäkerhetslagen. Kraven blir därmed betydligt mer konkreta. Här är fem områden organisationer bör kontrollera redan nu – från ledningens ansvar och riskhantering till kontinuitet, leverantörer och uppföljning.
Den svenska Cybersäkerhetslagen, som genomför NIS2 i svensk rätt, har gällt sedan den 15 januari 2026. Den 1 oktober tas nästa viktiga steg när MCFFS 2026:11, föreskrifter och allmänna råd om säkerhetsåtgärder och ledningens utbildning, träder i kraft. Samtidigt börjar även MCFFS 2026:12 om säkerhetsrevision och säkerhetsskanning att gälla.
För organisationer som redan har arbetat med NIS2 under en längre tid är det därför ett bra tillfälle att gå från frågan:
”Har vi börjat med NIS2?”
till:
”Kan vi visa att vårt säkerhetsarbete faktiskt fungerar?”
De nya föreskrifterna bygger tydligt på ett systematiskt och riskbaserat arbetssätt. Organisationen ska inte bara identifiera risker och införa åtgärder, utan också följa upp, utvärdera och förbättra dem. Arbetet ska dessutom integreras med organisationens befintliga ledning och styrning.
Här är fem områden vi tycker är särskilt viktiga att kontrollera inför den 1 oktober.
1. Har ledningen rätt kunskap – och tar den faktiskt ansvar?
Ledningens ansvar är en central del av Cybersäkerhetslagen.
Det räcker inte att informationssäkerhetschefen, CISO:n eller IT-chefen känner till kraven.
Enligt de nya föreskrifterna ska ledningens utbildning ge tillräcklig kunskap och kompetens för att ledningen ska kunna sätta mål och inriktning för cybersäkerheten, bedöma vilka säkerhetsåtgärder som behövs och följa upp genomförandet.
Kontrollera därför:
- Har ledningen genomgått relevant utbildning?
- Förstår ledningen organisationens viktigaste cyberrisker?
- Finns tydliga mål och en beslutad inriktning för cybersäkerhetsarbetet?
- Är roller, befogenheter och resurser tydligt fördelade?
- Får ledningen återkommande rapportering om risker, åtgärder och säkerhetsnivå?
Föreskrifterna anger också att ledningen ska informeras om genomförandet av säkerhetsåtgärder och organisationens cybersäkerhetsnivå vid behov, men minst en gång per år.
Det här gör cybersäkerhet till en tydlig del av verksamhetsstyrningen – inte en fråga som kan lämnas helt till IT.
2. Är riskarbetet aktuellt och kopplat till verksamheten?
Ett riskregister som uppdaterades för två år sedan är ett dåligt beslutsunderlag för dagens säkerhetsarbete.
Föreskrifterna ställer krav på att risker identifieras, analyseras och värderas utifrån konsekvens och sannolikhet. Riskarbetet ska bland annat bygga på informationsklassning, omvärldsbevakning samt erfarenheter från incidenter och tillbud. Organisationen ska också fastställa kriterier för riskacceptans och kunna uppdatera analyser när hot och sårbarheter förändras.
Kontrollera därför inte bara om det finns riskanalyser. Fråga:
- Är de fortfarande relevanta?
- Är våra mest kritiska informationstillgångar och system identifierade?
- Är riskerna kopplade till konkreta åtgärder och ansvariga?
- Finns det beslutade kriterier för vilken risk organisationen faktiskt accepterar?
Det är också här en nuläges- eller gap-analys kan vara värdefull – men bara om resultatet leder vidare till prioritering och genomförande.
3. Fungerar incident, kontinuitet och återställning tillsammans?
Att ha en incidentplan är inte samma sak som att kunna hantera en allvarlig störning.
De nya föreskrifterna ställer tydliga krav på kontinuitet. Organisationen ska bland annat bedöma behovet av kontinuitet för informationsbehandlingen, fastställa prioriteringsordning för återställning och ta fram alternativa arbetssätt där sådana behövs. De allmänna råden anger också att alternativa arbetssätt och återställning av sektorskritiska system bör övas vid behov, men minst årligen.
Det innebär att några praktiska frågor behöver ha tydliga svar:
- Vilka verksamheter och tjänster måste prioriteras?
- Vilka system är mest kritiska?
- Hur länge kan de vara otillgängliga?
- Hur fortsätter verksamheten om systemen inte går att använda?
- Hur återställs system och information?
- När testades backup och återställning senast?
- När aktiveras incidentprocess, kontinuitetsplan respektive krisledning?
En plan som aldrig har testats bygger till stor del på antaganden.
Det är därför test, övning och återkommande verifiering behöver vara en naturlig del av arbetet.
4. Har ni kontroll på leverantörerna – även efter att avtalet är signerat?
Leverantörsrisken blir också tydligare.
Innan system köps in eller informationsbehandling läggs ut ska organisationen värdera och hantera cybersäkerhetsriskerna. En tilltänkt leverantör ska dessutom bedömas utifrån sin förmåga att uppfylla ställda säkerhetskrav under hela avtalstiden.
Det betyder att leverantörshanteringen behöver omfatta mer än ett säkerhetsformulär inför upphandlingen.
För kritiska leverantörer bör organisationen veta:
- vilken information och vilka tjänster leverantören hanterar
- vilken risk leverantören innebär
- vilka underleverantörer som används
- vilka säkerhetskrav som finns i avtalet
- hur incidenter och sårbarheter ska kommuniceras
- hur kontinuitet och återställning fungerar
- hur efterlevnaden följs upp under avtalsperioden
- vad som händer när avtalet avslutas
Föreskrifterna tar dessutom särskilt upp befintliga avtal. Organisationen ska identifiera och hantera behovet av att, när det är möjligt, komplettera avtal som ingåtts före den 1 oktober 2026 om cybersäkerhetskraven är otillräckliga.
Det gör leverantörsgranskning och löpande tredjepartsriskhantering till en viktig del av förberedelserna.
5. Kan ni visa att säkerhetsåtgärderna faktiskt fungerar?
Det här är kanske den viktigaste kontrollen.
Det räcker inte längre särskilt långt att kunna visa en policy, en riskanalys och ett antal tekniska inställningar.
Organisationen behöver kunna följa upp om säkerhetsåtgärderna är ändamålsenliga och proportionella i förhållande till krav, behov och risker.
För sektorskritiska system ska uppföljning och utvärdering enligt MCFFS 2026:11 ske när det behövs och minst en gång per år. Som metoder nämns bland annat granskning, mätning och tester samt egenkontroll, intern och extern revision.
Frågan är alltså inte bara ”Har vi infört MFA?” utan också ”Omfattas rätt användare, konton och system – och kontrollerar vi fortfarande det?”
Inte bara ”Har vi backup?” utan ”Har vi verifierat att den går att återställa inom den tid verksamheten behöver?”
Inte bara ”Har vi en incidentprocess?” utan ”Har den övats och vet berörda personer vad de ska göra?”
Samtidigt träder MCFFS 2026:12 om säkerhetsrevision och säkerhetsskanning i kraft. Föreskriften reglerar bland annat hur revision och skanning ska genomföras när sådana åtgärder beslutas inom tillsynen, och en säkerhetsrevision omfattar både utformningen och den faktiska tillämpningen av säkerhetsåtgärder.
Det förstärker en viktig princip: dokumentation är nödvändig – men det är den faktiska tillämpningen som behöver hålla.
Börja inte med att skapa mer dokumentation än ni behöver
Det är lätt att möta nya krav genom att skriva fler policyer, instruktioner och checklistor.
Men föreskrifterna pekar snarare mot ett sammanhängande arbetssätt.
Cybersäkerhetsarbetet ska integreras med organisationens befintliga styrning. Risker ska leda till åtgärder. Åtgärder ska följas upp. Resultatet ska återföras till ledningen och arbetet förbättras över tid.
Har organisationen redan ett fungerande ledningssystem enligt exempelvis ISO 27001 bör det därför vara naturligt att bygga vidare på detta, i stället för att skapa ett helt separat ”NIS2-system”.
Så kan Kristensson i Skåne stödja arbetet
Kristensson i Skåne hjälper organisationer att omsätta Cybersäkerhetslagen och NIS2 till ett praktiskt och proportionerligt säkerhetsarbete.
Vi kan bland annat stödja med:
- omfattnings- och nulägesbedömning
- gap-analys mot Cybersäkerhetslagen och föreskrifterna
- riskanalys och prioriterad åtgärdsplan
- styrmodell, roller och ledningsrapportering
- lednings- och säkerhetsutbildning
- incident-, kontinuitets- och återställningsarbete
- leverantörsgranskningar och tredjepartshantering
- teknisk verifiering av säkerhetsåtgärder
- intern uppföljning och revisionsförberedelser
- löpande GRC- och CISO-stöd
Vår utgångspunkt är att arbetet ska fungera efter att projektet är avslutat.
Målet är inte att producera så många dokument som möjligt inför den 1 oktober. Målet är att organisationen ska förstå sina risker, ha genomfört rätt säkerhetsåtgärder och kunna visa att de fungerar.
Vill ni veta om ni är redo inför den 1 oktober? Läs mer om vårt arbete med informationssäkerhet och styrning eller kontakta oss så tar vi ett första samtal om nuläge och nästa steg.
Observera om tillämpningsområdet
MCFFS 2026:11 gäller inte på exakt samma sätt för samtliga sektorer. För verksamhetsutövare som uteslutande bedriver verksamhet inom bland annat digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster mellan företag, post- och budtjänster samt rymd gäller av MCFFS 2026:11 endast bestämmelsen om ledningens utbildning. För flera av dessa aktörer finns gemensamma säkerhetskrav i EU:s direkt tillämpliga genomförandeförordning.
Varje organisation behöver därför bedöma vilka bestämmelser och sektorsspecifika krav som gäller för just den egna verksamheten.
Källor och vidare läsning: Nationellt cybersäkerhetscenter (NCSC), MCFFS 2026:11 och MCFFS 2026:12 samt NCSC:s vägledning om Cybersäkerhetslagen. Detta är en översikt och inte juridisk rådgivning.