Den 1 juli 2026 började de svenska föreskrifterna om incidentrapportering gälla. Sedan dess bedöms verksamheter inte på hur deras säkerhetspolicy är formulerad, utan på hur snabbt de kan berätta att något har hänt.

Vad gäller sedan den 1 juli 2026?

Föreskrifterna om incidentrapportering och informationsskyldighet, MCFFS 2026:8, trädde i kraft den 1 juli 2026. De vilar på cybersäkerhetslagen (2025:1506) och cybersäkerhetsförordningen (2025:1507), som gäller sedan den 15 januari 2026 och genomför EU:s NIS2-direktiv (2022/2555) i svensk rätt.

Rapporteringen sker i tre steg till Nationellt cybersäkerhetscenter (NCSC). En upplysning ska lämnas inom 24 timmar från att en betydande incident identifierats. En incidentanmälan med en första bedömning ska lämnas inom 72 timmar. En slutrapport ska lämnas inom en månad och beskriva orsak, konsekvenser och vidtagna åtgärder.

En incident räknas som betydande när den har orsakat eller kan orsaka allvarlig driftstörning eller ekonomisk skada, eller när den drabbar andra fysiska eller juridiska personer med betydande skada. Bedömningen görs av verksamheten själv, i skarpt läge, ofta av personer som samtidigt försöker stoppa det som pågår.

Rapporten går till NCSC oavsett sektor, men tillsynen är fördelad. Finansinspektionen, Post- och telestyrelsen, Transportstyrelsen och Inspektionen för vård och omsorg är några av de myndigheter som utövar tillsyn inom sina respektive områden och har publicerat egen vägledning. Vilken av dem som är er tillsynsmyndighet är värt att ta reda på innan den hör av sig.

Vilka verksamheter omfattas?

Cybersäkerhetslagen delar in dem som omfattas i väsentliga och viktiga verksamhetsutövare. Sektorerna är fler än under den tidigare NIS-lagen och rymmer bland annat energi, transport, hälso- och sjukvård, dricksvatten, livsmedel, digital infrastruktur, tillverkning och offentlig förvaltning.

Huvudregeln följer EU:s storlekskriterier och träffar verksamheter från medelstora och uppåt. Mindre aktörer kan ändå omfattas när de fyller en kritisk funktion. Anmälan görs i Myndigheten för civilt försvars portal, som öppnade den 2 februari 2026 i samband med föreskrifterna MCFFS 2026:1. Ändrade uppgifter ska anmälas senast 14 dagar efter att ändringen inträffat.

Varför är 24 timmar en fråga om organisation, inte om teknik?

Tidsgränsen mäter något annat än säkerhetsnivå. Den mäter hur snabbt information rör sig från den som ser något konstigt till den som får rapportera. I många verksamheter går den vägen genom tre chefsled och en jurist, och det är där dygnet tar slut.

De 24 timmarna räknas dessutom från identifiering, inte från intrång. Det gör upptäckten till den avgörande punkten. En verksamhet som inte vet vilka system den har, och vilka av dem som loggar något alls, upptäcker sent och rapporterar därefter.

Var sitter luckan i praktiken?

Luckan sitter oftast i systemen ingen äger. Kalkylblad som blivit rutin, ett internt verktyg någon byggde för sju år sedan, en integration mellan affärssystemet och en extern tjänst som ingen har rört sedan den sattes upp. De står sällan i systemförteckningen och de finns nästan alltid.

Samma sak gäller leverantörsledet. Cybersäkerhetslagen lägger ansvaret för säkerhet i leverantörskedjan på verksamhetsutövaren, vilket betyder att era leverantörers driftmodell blir er fråga. Var data ligger, vem som har åtkomst och hur snabbt leverantören kan bekräfta en incident, det är uppgifter ni behöver ha innan ni behöver dem.

Frågorna hör hemma i avtalet snarare än i incidenten. En leverantör som enligt avtal ska bekräfta en incident inom ett dygn är en leverantör ni kan rapportera i tid. En leverantör utan den skrivningen blir er flaskhals precis när tiden är som knappast.

Vad kostar det att ha fel?

Sanktionsavgifterna följer NIS2-direktivets nivåer. Enligt regeringens lagförslag om ett starkt skydd för nätverks- och informationssystem kan avgiften för en väsentlig verksamhetsutövare uppgå till högst 10 miljoner euro eller 2 procent av föregående räkenskapsårs globala omsättning, beroende på vilket belopp som är högst. För viktiga verksamhetsutövare är motsvarande nivåer 7 miljoner euro eller 1,4 procent.

Beloppen får uppmärksamheten. Den praktiska risken är mindre dramatisk och betydligt mer sannolik. Den ser ut som en rapport som lämnas för sent därför att ingen visste vem som skulle skriva den.

Vad innebär det för ledningen?

Ansvaret ligger uttryckligen på ledningen. NIS2-direktivet och den svenska lagen kräver att ledningsorganet godkänner riskhanteringsåtgärderna och följer upp att de genomförs, och att ledningen själv genomgår utbildning i cybersäkerhet. Det är inte längre en punkt som delegeras till IT-chefen och rapporteras en gång om året.

I praktiken betyder det att styrelsen behöver kunna svara på tre saker utan förberedelse. Vilka system som är kritiska, vem som rapporterar en incident, och när kedjan senast testades. Är svaret oklart i styrelserummet är det oklart också klockan två på natten.

Var börjar arbetet?

Det börjar med en förteckning, inte med en produkt. Vilka system finns, vem äger vart och ett, vilka av dem hanterar sådant som gör en störning betydande, och vilken logg finns att faktiskt titta i. Listan brukar vara längre än ledningen tror och kortare än IT befarar.

Därefter en beslutsväg med namn i. Vem gör bedömningen klockan två på natten, vem lämnar upplysningen till NCSC inom dygnet, vem tar över nästa morgon. En namngiven kedja klarar 24 timmar. En rutin utan namn gör det sällan.

Vi bygger interna webbappar ovanpå de system som redan finns, och det första som kommer ut är nästan alltid en ärlig bild av vad som körs och vem som rör det. Den bilden är samma underlag som cybersäkerhetslagen efterfrågar, vilket är en av få gånger där regelefterlevnad och vanligt hantverk pekar åt samma håll.