Cyber­säkerhets­lagen, kort.

Läget 17 oktober 2026. Cybersäkerhetslagen (SFS 2025:1506) gäller sedan 15 januari 2026. Den genomför EU:s NIS2-direktiv i Sverige. Det är alltså en och samma reglering. Nedan står det som berör utbildning, ledning och incidenter. Varje påstående har en källa.*

I den kostnadsfria konsultationen får ni hela sammanställningen. Den innehåller sex bilagor med lagtext, vår tolkning och frågorna att gå igenom för er verksamhet.

Vad som ändrats under 2026

  • Lagen är oförändrad sedan den trädde i kraft. Förordningen (SFS 2025:1507) har ändrats en gång, genom SFS 2026:623.
  • Sedan 1 juli 2026 är FRA gemensam kontaktpunkt och CSIRT genom NCSC. FRA skriver också föreskrifterna. Tidigare låg det ansvaret hos MCF.
  • Fyra föreskrifter gäller. MCFFS 2026:1 handlar om anmälan, 2026:8 om incidentrapportering, 2026:11 om säkerhetsåtgärder och ledningens utbildning och 2026:12 om revision och skanning. MCFFS 2026:11 gäller från 1 oktober 2026.
SFS 2026:623 · FRA, Föreskrifter

Vem som omfattas

  • Verksamheter i de sektorer som räknas upp i NIS2:s bilagor 1 och 2, om de är minst medelstora, och vissa verksamheter oavsett storlek.
  • Alla kommuner, regioner och kommunalförbund, utan storlekskrav. Hela kommunen anmäler sig som en verksamhetsutövare. Fullmäktige är undantaget.
  • En kommun eller region är väsentlig om den är större än ett medelstort företag, annars viktig.
  • Ett kommunalt bolag omfattas om det självt uppfyller kraven på sektor och storlek. Det räknas då som enskild verksamhetsutövare, inte som offentlig.
  • Anmälan görs till NCSC vid FRA så snart det kan ske. Sedan 1 juli 2026 sker den med krypterad e-post enligt NCSC:s anvisning.
1 kap. 3–9 och 14 §§, 2 kap. 2 § · NCSC, Att anmäla en verksamhet

Ledningens ansvar

Lagen säger att ledningen ska genomgå utbildning om säkerhetsåtgärder. Kravet att ledningen godkänner och övervakar åtgärderna finns i föreskriften MCFFS 2026:11, som gäller sedan 1 oktober 2026.

  • I ett aktiebolag är ledningen styrelse och vd. I en kommun eller region är det kommunstyrelsen eller regionstyrelsen.
  • Ingen regel anger antal timmar eller hur ofta utbildningen ska ske.
  • Sanktionsavgifter tas ut av verksamheten, inte av personer. Ledningsförbud kan bara riktas mot enskilda väsentliga verksamhetsutövare, aldrig mot kommuner, regioner eller myndigheter.
2 kap. 4 §, 4 kap. 6 § · MCFFS 2026:11 3 kap. 4 § · prop. 2025/26:28

Personalens utbildning

Ingen lag kräver att varje anställd utbildas på ett visst sätt. Sedan 1 oktober 2026 ska verksamheten bestämma vilken utbildning personalen ska genomgå, före och under anställningen. Interna regler ska kommuniceras till den personal de berör.

Utbildningsplaner, loggar och kunskapstester är råd, inte krav. Vår bedömning är att en tillsynsmyndighet ändå frågar efter dem.

2 kap. 3 § p. 7 · MCFFS 2026:11 3 kap. 3 och 9 §§

Incidentrapportering

NärVad
Inom 24 timmarUpplysning om en betydande incident
Inom 72 timmarIncidentanmälan
En månad efter anmälanSlutrapport

Mottagare är NCSC via cyberportalen. Lagen räknar tiden från att verksamheten fått kännedom om incidenten. Föreskriften räknar från att den identifierats som betydande. För offentlig förvaltning är trösklarna för vad som är betydande låga.

2 kap. 5–8 §§ · MCFFS 2026:8 · NCSC, Rapportera en betydande incident

Sanktionsavgifter

VerksamhetsutövareHögsta avgift
Enskild, väsentligKronor motsvarande 10 miljoner euro eller 2 % av global årsomsättning, det högre
Enskild, viktigKronor motsvarande 7 miljoner euro eller 1,4 % av global årsomsättning, det högre
Offentlig: myndighet, kommun, region, kommunalförbund10 miljoner kronor

Lägsta avgift är 5 000 kronor. Avgiften är inte automatisk. Per 17 oktober 2026 har inget tillsynsbeslut och ingen sanktionsavgift publicerats.

4 kap. 9–10 §§

Källor

Det här är inte juridisk rådgivning. Kontrollera alltid aktuell lydelse hos källan.