Cybersäkerhet har gått från att vara en teknisk fråga för IT-avdelningen till att bli en avgörande verksamhetsfråga för hela organisationen. Med nya och skärpta krav i cybersäkerhetslagstiftningen behöver många verksamheter nu säkerställa att de har rätt arbetssätt, rutiner och kunskap på plats. Men var börjar man och hur går man från krav till praktisk handling?
I det här inlägget guidar vi dig steg för steg genom hur er organisation kan arbeta strukturerat för att uppfylla cybersäkerhetslagen. Ni får entydlig överblick över vad som krävs, vilka fallgropar som bör undvikas och hur ni kan skapa ett hållbart säkerhetsarbete som både uppfyller lagkraven och stärker organisationens motståndskraft mot cyberhot.
Vad är cybersäkerhetslagen?
Den nya svenska cybersäkerhetslagen (förkortas ”CSL”) implementerar EU:s NIS2-direktiv och trädde i kraft den 15 januari 2026. Den innebär skärpta krav för organisationer inom samhällsviktiga och viktiga sektorer. Det är därför viktigt att ni som organisation snarast börjar arbeta systematiskt med er cybersäkerhet och etablerar arbetssätt för att efterleva lagstiftningen
1. Identifiera om er organisation omfattas
Det första steget är att ta reda på om er organisation omfattas av CSL. Vi har författat ett helt inlägg med information för stöd i den bedömningen som ni kan läsa här: ”NIS2 och cybersäkerhetslagen – vilka omfattas och vad måste organisationer göra nu?”
Kortfattat gäller lagen främst medelstora och stora företag inom sektorer som energi, hälso- och sjukvård, bank och digital infrastruktur. I CSL benämns de sektorer som omfattas som viktigare respektive väsentliga verksamhetsutövare.Totalt rör det sig om 18 olika sektorer, vilket är en betydande utökning jämfört med tidigare reglering då endast sju sektorer omfattades.
Även om er organisation inte träffas direkt av CSL kan den nya lagstiftningen ändå påverka er indirekt. En indirekt påverkan innebär att ni själva inte behöver rapportera till en myndighet, men att ni kan bli skyldiga att uppfylla säkerhetskrav genom avtal med kunder som omfattas direkt av CSL. De organisationer som träffas direkt av lagen ansvarar nämligen för att säkerställa att även deras leverantörer och andra aktörer i leveranskedjan uppfyller cybersäkerhetslagens krav.
2. Anmäl er till rätt myndighet
Om ni gör bedömningen att er organisation omfattas av CSL ska ni anmäla er till den myndighet som regeringen har utsett, Myndigheten för civilt försvar. Det gäller oavsett vilken sektor verksamheten tillhör. Myndigheten fungerar nämligen som gemensam kontaktpunkt för alla tillsynsmyndigheter. Anmälan ska ske så snart ni har identifierat att ni omfattas av CSL. I anmälningsformuläret kommer ni bland annat behöva besvara frågor om:
- Organisationens namn, organisationsnummer, adress, e-post, telefonnummer
- Etablering (organisation i Sverige eller företrädare i Sverige)
- Sektorsverksamhet och eventuell delsektor (en eller flera kan väljas)
- Hur ni har identifierat er organisation som en NIS2 verksamhetsutövare
- Om ni är en väsentlig eller viktig verksamhetsutövare
Om de förhållanden som anmälan grundar sig på förändras ska er organisation anmäla förändringen så snart som möjligt, dock senast 14 dagar efter det att förändringen ägde rum. Anmälningsformuläret finns tillgängligt på Myndigheten för civilt försvars hemsida, formuläret ska sedan lämnas in via myndighetens e-tjänstportal. Anmälningsskyldigheten gäller för alla verksamheter som omfattas av den nya cybersäkerhetslagen, även ni som tidigare omfattats och anmält er enligtNIS1-direktivet.
3. Vidta säkerhetsåtgärder
Organisationer som omfattas av CSL ska vidta lämpliga och proportionerliga tekniska och organisatoriska säkerhetsåtgärder för att skydda sina nätverks-och informationssystem mot incidenter.
Kraven i CSL innebär att ni behöver arbeta mer systematiskt än tidigare med att hantera risker, skydda information och stärka cybersäkerheten. Säkerhetsarbetet ska utgå från ett helhetsperspektiv – där alla typer av risker inkluderas och utvärderas för att kunna vidta proportionerliga åtgärder för att skydda sig mot dessa. Allriskperspektivet innebär att man tar hänsyn till angrepp, misstag, systemfel och naturhändelser i sitt säkerhetsarbete.
Vid bedömning av om åtgärderna är proportionerliga ska ni bland annat ta hänsyn till:
- verksamhetens storlek,
- hur utsatt den är för risker,
- hur troligt det är att incidenter inträffar,och
- hur allvarliga de kan bli, inklusive deras samhälls-och ekonomiska konsekvenser.
Åtgärderna ska dessutom vara lämpliga. En åtgärd kan vara proportionerlig men ändå mindre lämplig än en annan åtgärd som är möjlig att vidta för samma risk.
Säkerhetsåtgärderna ska åtminstone avse (CSL 3§):
- Strategier för att analysera risker och skydda nätverk och informationssystem,
- incidenthantering,
- kontinuitetshantering och krishantering,
- säkerhet i leveranskedjan,
- säkerhet vid köp, utveckling och underhåll av nätverk och informationssystem,
- strategier för att bedöma effektiviteten i säkerhetsåtgärderna
- rutiner för att hålla hög cybersäkerhet och utbildning i cybersäkerhet för framförallt ledningen,
- strategier och förfaranden för användning av kryptografi samt, vid behov, kryptering,
- personalsäkerhet, strategier för åtkomstkontroll och tillgångsförvaltning, och
- användning av autentisering, säkra kommunikationer och nödkommunikationssystem vid behov.
4. Utbilda ledningen
Personer i organisationens ledning ska genomgå utbildning i cybersäkerhet och säkerhetsåtgärder. Vilka personer som omfattas beror på organisationens verksamhetsform. I ett aktiebolag avses styrelsen, den verkställande direktören och ersättare för dessa. I ett handelsbolag är det i stället bolagsmännen. För regioner och kommuner är det styrelsen som avses. Syftet är att ledningen ska ha tillräcklig kunskap för att kunna identifiera risker och fatta välgrundade beslut om vilka säkerhetsåtgärder som behöver vidtas. Mer exakt vad utbildningen ska omfatta och vilka moment som ska ingå i den kan variera bland annat utifrån vilken verksamhet som bedrivs.
Utbildningskraven för ledningen förväntas, enligt Myndigheten för civilt försvar, åtminstone omfatta:
- Ledningens roll i arbetet med cybersäkerhet
- Grundläggande terminologi och relevant reglering
- Riskhantering och övervakning som ett stöd för att leda och styra arbetet med cybersäkerhet
- Systematiskt och riskbaserat arbete
- Organisationens egna interna regler och arbetssätt av relevans för ledningen
Ledningen är viktig för att cybersäkerheten ska fungera. För att fatta beslut behöver ledningen veta vilka risker och incidenter som finns och hur säkerhetsåtgärderna fungerar. Minst en gång per år förväntas ledningen få en sammanställning av cybersäkerhetsnivån, inklusive brister, åtgärdsplaner och viktiga incidenter. Genomgången ska ge en helhetsbild som leder till beslut om prioriteringar, resurser och förbättringar.
5. Etablera rutiner för hanteringen av incidenter
Vid en betydande incident 1
ska organisationer utan onödigt dröjsmål informera Myndigheten för civilt försvar. Betydande incidenter ska alltså rapporteras till Myndigheten för civilt försvar oavsett vilken tillsynsmyndighet ni har. Detta ska göras senast inom 24 timmar från det att organisationen fått kännedom om incidenten. En fullständig incidentanmälan ska därefter lämnas in inom 72 timmar. För verksamhetsutövare som tillhandahåller betrodda tjänster 2 betrodda gäller i stället en tidsfrist på 24 timmar.
Organisationen ska även lämna delrapporter med redogörelse av incidenten på begäran av Myndigheten för civilt försvar. En slutrapport ska som huvudregel lämnas in senast en månad efter incidentanmälan. Om incidenten fortfarande pågår ska en lägesrapport lämnas in efter en månad, följt av en slutrapport inom en månad efter att incidenten har hanterats.
Om det är lämpligt ska organisationen även informera mottagarna av sina tjänster, exempelvis kunder eller klienter, när en betydande incident eller ett allvarligt cyberhot sannolikt påverkar tillhandahållandet av tjänsterna.
Incidenter som berör flera lagstiftningar ska rapporteras till samtliga berörda myndigheter. Det vill säga om en säkerhetsincident träffas av CSL och utgör personuppgiftsincident enligt GDPR ska det rapporteras både till Myndigheten för civilt försvar och Integritetsskyddsmyndigheten (IMY).
6. Kontinuerligt arbete och tillsyn
Det är viktigt att bedriva ett kontinuerligt och systematiskt arbete med cybersäkerhet för att skydda verksamhetens information, system och tjänster mot hot och angrepp. En central del i detta arbete är att regelbundet utbilda och informera personalen om säkerhetsrisker, riktlinjer och hur de ska agera vid misstänkta incidenter. Genom att höja medvetenheten och kompetensen hos medarbetarna minskar risken för mänskliga misstag, vilket är en vanlig orsak till säkerhetsincidenter.
Arbetet med cybersäkerhet bör också innefatta att utveckla, införa och följa upp interna rutiner, riskbedömningar och tekniska skyddsåtgärder. Detta arbete behöver ske löpande eftersom hotbilden ständigt förändras och nya sårbarheter kan uppstå.
Det kontinuerliga arbetet underlättar även när tillsynsmyndigheten genomför tillsyn av er organisation. Vilken myndighet som utövar tillsyn över just er organisation beror på vilken sektor ni tillhör. Till exempel ansvarar Finansinspektionen för tillsynen av bankverksamhet. Vilken myndighet som kommer utöva tillsyn över er organisation hittas i 7§ cybersäkerhetsförordnigen (2025:1507).
Verksamheter ska även vara medvetna om att tillsynsmyndigheter har rätt att genomföra granskningar för att kontrollera att lagar, föreskrifter och säkerhetskrav efterlevs. Det är därför viktigt att kunna visa att organisationen arbetar strukturerat och dokumenterat med cybersäkerhetsfrågor. Om kraven inte uppfylls kan tillsynsmyndigheten besluta om åtgärder, vilket i vissa fall kan innebära betydande sanktionsavgifter. Ett väl fungerande och proaktivt säkerhetsarbete bidrar därför inte bara till att minska risker utan även till att undvika juridiska och ekonomiska konsekvenser.
Att avgöra om ni omfattas av CSL och vilka åtgärder som krävs kan vara både komplext och tidskrävande. Vi hjälper er gärna att reda ut vad som gäller för just er verksamhet – från den första bedömningen till det praktiska genomförandet. Hör gärna av er så berättar vi mer om hur vi kan stötta er. Ni når oss på telefon: 046-2731717 eller på mejl: info@gdphero.se.
Fotnoter
- Följande typer av incidenter anses vara betydande enligt CSL:
- En incident som orsakat eller kan orsaka allvarlig driftsstörning för den erbjudna tjänsten eller ekonomisk skada för den berörda verksamheten, eller
- en incident som har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande materiell eller immateriell skada.
Vilka incidenter som är ”betydande” och därmed rapporteringspliktiga kommer att förtydligas i föreskrifter och vägledning från Myndigheten från civilt försvar framöver.
- Betrodda tjänster är digitala tjänster som oftast kostar pengar och används för att:
- Skapa, kontrollera och bekräfta elektroniska underskrifter, stämplar och tidsstämplar,
- skicka säkra elektroniska leveranser och hantera certifikat kopplade till dessa,
- skapa och kontrollera certifikat som visar att en webbplats är äkta, eller
- lagra och bevara elektroniska underskrifter, stämplar och certifikat.
