Cybersäkerhetslagen – vanliga frågor och svar

Cybersäkerhetslagen bygger på ett EU-direktiv som ställer krav på cybersäkerhet för verksamheter som är viktiga för samhället. Verksamheter som omfattas av cybersäkerhetslagen omfattas som huvudregel av regelverkets krav i hela sin verksamhet. Med andra ord så är det inte bara verksamhetens samhällsviktiga tjänst som omfattas.

Verksamheter delas in i två kategorier:

1. väsentliga verksamhetsutövare
2. viktiga verksamhetsutövare

Ni som verksamhetsutövare ska själva bedöma om ni omfattas av cybersäkerhetslagen och i så fall anmäla er. För att hjälpa er bedöma om er verksamhet omfattas, se vägledning om cybersäkerhetslagen för verksamhetsutövare och svara på frågorna i vår självutvärdering.

Vägledning om cybersäkerhetslagen för verksamhetsutövare

Självutvärdering

Exempel från energisektorn:

Om er verksamhet finns med i bilaga 1 till NIS2-direktivet och har:

• minst 50 sysselsatta eller
• minst 10 miljoner euro i omsättning

... så omfattas ni. Även mindre verksamheter kan komma att omfattas om de är särskilt kritiska, det kommer i så fall att framgå av föreskrifterna. Notera att partner- och anknutna företag påverkar hur storleken ska beräknas, se bilagans artikel 2 och 3 i EUR-Lex - 32003H0361.

EUR-Lex - 32003H0361 - SV (eur-lex.europa.eu)

Det ska dock finnas möjlighet att, under särskilda förutsättningar, undanta partnerföretag eller anknutna företag (se till exempel s. 125-126 i SOU 2024:18).

Nya regler om cybersäkerhet SOU 2024:18 (regeringen.se)

Verksamhetsutövare som omfattas av cybersäkerhetslagen ska (från och med 2 februari 2026) anmäla sig så snart som möjligt. Om anmälan inte inkommer inom 14 dagar kan tillsynsmyndigheterna komma att vidta åtgärder. Om ni var anmälda enligt den tidigare NIS-lagen (och även omfattas av nya cybersäkerhetslagen), behöver ni anmäla er på nytt.

Om ni omfattas av cybersäkerhetslagen ska ni:

• anmäla er som viktig eller väsentlig verksamhetsutövare
• bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete
• vidta tekniska, organisatoriska och driftsrelaterade åtgärder och åtminstone avse punkterna nedan.
• säkerställa utbildning för ledningen och i förekommande fall berörd personal
• rapportera betydande incidenter.

Säkerhetsåtgärderna ska inkludera:

1. strategier för riskanalys och för nätverks- och informationssystemens säkerhet
2. incidenthantering
3. kontinuitetshantering och krishantering
4. säkerhet i leveranskedjan
5. säkerhet vid förvärv, utveckling och underhåll av nätverks- och informationssystem
6. strategier och förfaranden för att bedöma effektiviteten i säkerhetsåtgärderna
7. grundläggande praxis för cyberhygien och utbildning i cybersäkerhet
8. strategier och förfaranden för användning av kryptografi samt, vid behov, kryptering
9. personalsäkerhet, strategier för åtkomstkontroll och tillgångsförvaltning
10. och vid behov användning av lösningar för autentisering, säkrade kommunikationer och säkrade nödkommunikationssystem.

I cybersäkerhetslagen tydliggörs att cybersäkerhet är en strategisk ledningsfråga. Bland annat ställs nu krav på att ledningen ska ha kännedom om organisationens cybersäkerhetsrisker och att ledningen ska övervaka det systematiska cybersäkerhetsarbetet. Arbetet ska vara integrerat i organisationens befintliga styrning och ledning och inte hanteras som ett separat spår, utan som en naturlig del av verksamhetsstyrningen. Det är även obligatoriskt med utbildning för ledningen.

Mer information

Föreskrifter och allmänna råd om säkerhetsåtgärder och ledningens utbildning MCFFS 2026:11 (ncsc.se)

Cybersäkerhetslagen för ledningen (ncsc.se)

För att räkna ut verksamhetens storlek måste ni ta hänsyn till anknutna företag och partnerföretag. Det kan till exempel ha att göra med om ni tillhör en koncern, eller om det finns förbindelse mellan ert bolag och ett annat.

I EU:s rekommendation 2003/361/EG finns det fler aspekter att ta hänsyn till för att bedöma om det finns anknutna företag eller partnerföretag. 

Vi rekommenderar att ta hjälp av EU:s Användarhandledning om definitionen av SMF-företag av Vinnova.

EU:s rekommendation 2003/361/EG (eur-lex.europa.eu)

Användarhandledning om definitionen av SMF-företag (vinnova.se)

Inte direkt, men ni kan påverkas indirekt. Verksamhetsutövare som omfattas av cybersäkerhetslagen måste bland annat vidta säkerhetsåtgärder som avser säkerhet i leveranskedjan.

Mer information finns i föreskrifterna.

Föreskrifter och allmänna råd om säkerhetsåtgärder och ledningens utbildning MCFFS 2026:11 (ncsc.se)

Enskilda verksamhetsutövare som bedriver säkerhetskänslig verksamhet eller brottsbekämpning omfattas av cybersäkerhetslagen i den delen av verksamheten som inte är säkerhetskänslig eller avser brottsbekämpning. Är ni en verksamhetsutövare som har säkerhetskänslig verksamhet, kan ni alltså behöva anmäla er till oss. 

Bedriver ni däremot enbart säkerhetskänslig verksamhet eller brottsbekämpning eller erbjuder ni enbart tjänster till statliga myndigheter som till övervägande del bedriver säkerhetskänslig verksamhet så kan ni falla utanför cybersäkerhetslagen. I sådana fall ska ni inte anmäla er enligt cybersäkerhetslagen.

Med producent avses verksamhetsutövare vars huvudsakliga verksamhet är elproduktion. Det är alltså verksamheter vars primära verksamhet är elproduktion som omfattas av cybersäkerhetslagen. Dessa verksamhetsutövare omfattas utan krav på installerad effekt.

Övriga verksamhetsutövare som har en elproduktion i mindre omfattning (en installerad effekt under 10 MW) och som i första hand används för eget bruk, exempelvis verksamhetsutövare som har solceller, omfattas ej.

Fjärrvärme definieras enligt EU:s definition som: 

"fjärrvärme eller fjärrkyla: distribution av värmeenergi i form av ånga, hetvatten eller kylda vätskor från centrala eller decentraliserade produktionskällor, via ett nät, till flera byggnader eller anläggningar i syfte att värma eller kyla ner utrymmen eller processer."  

Det som avses är storskaliga fjärrvärmesystem som förser flera kunder med värme eller kyla. 

Det har blivit otydligt i Myndigheten för civil försvars vägledning vad Energimyndigheten menar i vårt medskick gällande fjärrvärme. Energimyndigheten bedömer inte att enbart produktion av spillvärme utgör distribution av fjärrvärme. Om en värmeproduktionskälla hos en tredje part i form av rest- och spillvärme står för en betydande del av ett fjärrvärmenäts värmeproduktion, behöver fjärrvärmeaktören säkerställa denna leverans och se den som en del av verksamheten.

En laddningsoperatör är en aktör som har ansvar för förvaltning och drift av en laddningspunkt och som tillhandahåller en laddningstjänst till slutanvändare, även när detta utförs på uppdrag av en leverantör av mobiltjänster och i dess namn.

Det som avses är laddningsoperatörer som tillhandahåller publika laddningspunkter inklusive betalningssystem. Regleringen omfattar inte verksamheter som tillhandahåller enstaka laddningspunkter som en del i sin personal- eller kundservice.