Om cybersäkerhetslagen för verksamhetsutövare

• Leverans av el (elföretag).
• Drift, underhåll och utveckling av ett eldistributionssystem (systemansvariga för distributionssystem).
• Drift, underhåll och utveckling av ett elöverföringssystem (systemansvariga för överföringssystemet).
• Elproduktion (producenter) en fysisk eller juridisk person som framställer el.
  Med producent avses verksamhetsutövare vars huvudsakliga verksamhet är elproduktion. Det är alltså verksamheter vars primära verksamhet är elproduktion som omfattas av cybersäkerhetslagen. Dessa verksamhetsutövare omfattas utan krav på installerad effekt. Övriga verksamhetsutövare som har en elproduktion i mindre omfattning (en installerad effekt under 10 MW) och som i första hand används för eget bruk, exempelvis verksamhetsutövare som har solceller, omfattas inte.
• Nominerade elmarknadsoperatörers tjänster (nominerade elmarknadsoperatörer).
• Marknadsaktörer som tillhandahåller aggregering, efterfrågeflexibilitet eller energilagringstjänster.
• Laddningsoperatörer.
  Laddningsoperatörer är aktörer som har ansvar för förvaltning och drift av en laddningspunkt och som tillhandahåller en laddningstjänst till slutanvändare, även när detta utförs på uppdrag av en leverantör av mobiltjänster och i dess namn. Det som avses är laddningsoperatörer som tillhandahåller publika laddningspunkter inklusive betalningssystem. Regleringen omfattar inte verksamheter som en del i sin personal- eller kundservice tillhandahåller enstaka laddningspunkter.

• Överföring av olja (operatörer av oljeledningar).
• Oljeproduktion (operatörer av anläggningar för oljeproduktion).
• Raffinering och bearbetning av olja (operatörer av raffinaderier och bearbetningsanläggningar för olja).
• Lagring av olja (operatörer av anläggningar för lagring av olja).
• Centrala lagringsenheter (förvaltning av oljelager, inklusive beredskapslager och särskilda oljelager).

Det som avses är storskaliga fjärrvärmesystem som förser flera kunder med värme eller kyla.

Det har blivit otydligt i Myndigheten för civil försvars vägledning vad Energimyndigheten menar i vårt medskick gällande fjärrvärme. Energimyndigheten bedömer inte att enbart produktion av spillvärme utgör distribution av fjärrvärme. Om en värmeproduktionskälla hos en tredje part i form av rest- och spillvärme står för en betydande del av ett fjärrvärmenäts värmeproduktion, behöver fjärrvärmeaktören säkerställa denna leverans och se den som en del av verksamheten.

• Produktion av vätgas (operatörer av produktion av vätgas).
• Lagring av vätgas (operatörer av lagring av vätgas).
• Överföring av vätgas (operatörer av överföring av vätgas).

• Gasleverans eller gashandel (gashandelsföretag eller gashandlare).
• Distribution av gas (systemansvariga för distributionssystemet).
• Överföring av gas (systemansvariga för överföringssystemet).
• Lagring av gas (systemansvariga för lagringssystemet).
• Drift av ett system för flytande naturgas (LNG) (systemansvariga för en LNG‐anläggning)
• Produktion av naturgas (naturgasföretag).
• Inköp av naturgas (naturgasföretag).
• Raffinering och bearbetning av naturgas (operatörer av raffinaderier och bearbetningsanläggningar för naturgas).

Verksamhetsutövare som omfattas av cybersäkerhetslagen ska så snart det kan ske, från den 2 februari 2026 anmäla sig. Om anmälan inte inkommer inom 14 dagar kan tillsynsmyndigheterna komma att vidta åtgärder. Om ni var anmälda enligt den tidigare NIS-lagen (och även omfattas av nya cybersäkerhetslagen), behöver ni anmäla er på nytt.

Från och med 1 juli 2026 är cyberverksamheten hos Myndigheten hos civilt försvar flyttad till Nationellt cybersäkerhetscenter (NCSC) vid FRA och ni som omfattas av cybersäkerhetslagen ska anmäla er till NCSC.

Att anmäla en verksamhet enligt cybersäkerhetslagen (ncsc.se)

Ni ska vidta lämpliga och proportionella säkerhetsåtgärder. Säkerhetsåtgärderna ska minst avse 

• strategier för riskanalys och för nätverks- och informationssystemens säkerhet 
• incidenthantering 
• kontinuitetshantering och krishantering 
• säkerhet i leveranskedjan
• säkerhet vid förvärv, utveckling och underhåll av nätverks- och informationssystem
• strategier och förfaranden för att bedöma effektiviteten i säkerhetsåtgärderna
• grundläggande praxis för cyberhygien och utbildning i cybersäkerhet
• strategier och förfaranden för användning av kryptografi samt, vid behov, kryptering 
• personalsäkerhet, strategier för åtkomstkontroll och tillgångsförvaltning 
• och vid behov användning av lösningar för autentisering, säkrade kommunikationer och säkrade nödkommunikationssystem.

I cybersäkerhetslagen tydliggörs att cybersäkerhet är en strategisk ledningsfråga. Bland annat ställs nu krav på att ledningen ska ha kännedom om organisationens cybersäkerhetsrisker och att ledningen ska övervaka det systematiska cybersäkerhetsarbetet. Arbetet ska vara integrerat i organisationens befintliga styrning och ledning och inte hanteras som ett separat spår, utan som en naturlig del av verksamhetsstyrningen. Det är även obligatoriskt med utbildning för ledningen.

Mer information

Föreskrifter och allmänna råd om säkerhetsåtgärder och ledningens utbildning MCFFS 2026:11 (ncsc.se)

Cybersäkerhetslagen för ledningen (ncsc.se)

Vid en betydande incident enligt cybersäkerhetslagen (2025:1506) ska verksamhetsutövaren rapportera till Nationellt cybersäkerhetscenter (NCSC). Mottagare av incidentrapporter är Nationellt cybersäkerhetscenter genom CERT-SE, som är Sveriges nationella CSIRT (Computer Security Incident Response Team). Incidentrapporterna skickas sedan vidare till aktuell/a tillsynsmyndighet/er.

Från och med 1 juli 2026 gäller nya regler och nytt verktyg för incidentrapportering.

Rapportering i tre skeden:

1. En upplysning ska lämnas så snart som möjligt, men senast 24 timmar efter det att verksamhetsutövaren bedömt incidenten som rapporteringspliktig.
2. En incidentanmälan ska lämnas så snart som möjligt, men senast 72 timmar efter det att incidenten bedömts vara rapporteringspliktig.
3. En slutrapport/lägesrapport utgör det sista skedet i incidentrapporteringen. Slutrapporten ska lämnas inom en månad från incidentanmälan enligt cybersäkerhetslagen. Om incidenten fortfarande är pågående efter en månad ska en lägesrapport lämnas följt av en slutrapport. Denna slutrapport ska lämnas senast en månad efter att incidenten har hanterats.

Mer information

Incidentrapportering enligt cybersäkerhetslagen (ncsc.se)

Cyberportalens rapporteringstjänst för incidenter (mcf.se)

Lagar och förordningar gällande cybersäkerhetslagen (ncsc.se)