Osäker på om ni är omfattade? Ring oss. Vi går igenom sektor, storlek och undantag – och vad ni i så fall måste ha på plats redan i dag.
Omfattning
Gäller cybersäkerhetslagen oss?
Sverige införde NIS2 genom cybersäkerhetslagen (2025:1506). Lagen omfattar verksamheter inom en rad samhällsviktiga sektorer – energi, transport, hälso- och sjukvård, dricksvatten, avlopp, digital infrastruktur, IT-tjänster, offentlig förvaltning, post, avfallshantering, kemikalier, livsmedel, tillverkning av vissa produkter och digitala tjänster.
Grovt räknat gäller den medelstora och stora verksamheter: minst 50 anställda eller över 10 miljoner euro i omsättning. Vissa verksamheter omfattas oavsett storlek – till exempel kvalificerade betrodda tjänster, DNS-tjänster och leverantörer av allmänt tillgängliga elektroniska kommunikationstjänster. Det finns också undantag, och gränsdragningen är inte alltid självklar.
Är ni osäkra: utgå från att ni kan vara omfattad och bygg rutinen ändå. Kostnaden för att ha en fungerande incidentprocess är liten jämfört med att upptäcka kravet mitt i en kris.
Rapporteringen
Tre frister, tre olika syften
-
Tidig varning – inom 24 timmar
En kort underrättelse om att en betydande incident har inträffat. Ni behöver inte veta orsaken, omfattningen eller konsekvenserna. Syftet är att myndigheten ska kunna larma andra och sätta in resurser tidigt. Rapporteringen görs via den nationella cyberportalen.
-
Incidentanmälan – inom 72 timmar
Här bedöms incidenten: allvarlighetsgrad, orsak, konsekvenser och indikatorer på intrång (till exempel filnamn, IP-adresser eller konton som använts). Det här är den rapport som kräver mest arbete – och den går inte att skriva i efterhand.
-
Slutrapport – inom en månad
En beskrivning av vad som hände, vad som orsakade det, vilka åtgärder som vidtagits och vad som görs för att det inte ska hända igen. Här ligger också eventuell gränsöverskridande påverkan.
Samma incident, flera anmälningar. En attack kan samtidigt kräva en tidig varning enligt cybersäkerhetslagen (24 timmar), en personuppgiftsincidentanmälan till IMY (72 timmar) och en polisanmälan. Ni behöver en person som håller ihop alla spåren så att uppgifterna inte motsäger varandra.
Innan det händer
Detta måste finnas på plats i förväg
24 timmar är kort tid. Allt som behöver uppfinnas mitt i krisen kommer att försena er.
- En kontaktlista med namn, roller, telefonnummer och när de kan nås – även på natten. Vem fattar beslut om ni inte får tag i varandra?
- En beslutsväg för när en incident är "betydande". Utan definition blir varje incident en diskussion i ledningsgruppen.
- Loggning som räcker. Kan ni svara på vilka konton som använts och när? Om inte, börja logga innan något händer.
- En rapportmall för de tre fristerna, med fälten ifyllda så långt det går i förväg.
- Registrering och ledningens deltagande. Verksamheter som omfattas ska registrera sig hos tillsynsmyndigheten, och ledningen ska godkänna riskhanteringsåtgärderna. Brister där kan leda till personligt ansvar.
- En övning. En torrkörning av ett scenario tar en halv dag och avslöjar nästan alltid tre luckor ni inte kände till.
Vanliga misstag
- Att vänta på att förstå incidenten. Den tidiga varningen kräver ingen analys. Skicka den, analysera sedan.
- Att tro att GDPR-anmälan räcker. Fristerna är olika, mottagarna är olika och innehållet är olika.
- Att lägga ansvaret på IT. Ledningen ansvarar, och det är ledningen som får frågor om varför rutinen inte fanns.
- Att inte öva. En process som aldrig testats fungerar inte klockan tre på natten.
- Att glömma underleverantörerna. En incident hos en leverantör kan vara er incident, om den påverkar er tjänst.
Frågor och svar
Det vi får frågor om
Är vi omfattade om vi har 40 anställda?
Huvudregeln är minst 50 anställda eller över 10 miljoner euro i omsättning, men vissa verksamhetstyper omfattas oavsett storlek. Gränsdragningen kräver en genomgång av er sektor och era tjänster.
Vad räknas som en betydande incident?
En incident som orsakar eller kan orsaka allvarlig driftsstörning i tjänsten eller ekonomisk förlust. Bedömningen görs av er, och den ska vara dokumenterad – därför behövs kriterier i förväg.
Vart skickar vi anmälan?
Rapporteringen sker via den nationella cyberportalen, och er sektors tillsynsmyndighet kan ha egna anvisningar. Kontrollera vilken myndighet som gäller för just er verksamhet.
Vad händer om vi rapporterar för sent?
Försenad eller utebliven rapportering är en egen överträdelse, skild från incidenten. Sanktionsavgifterna enligt cybersäkerhetslagen kan bli betydande.
Kan en incident kräva både NIS2- och GDPR-anmälan?
Ja, och det är vanligt. Samma händelse kan vara både en betydande incident enligt cybersäkerhetslagen och en personuppgiftsincident enligt GDPR.
Hjälper ni till med rapporteringen?
Ja. Vi bygger rutinen, mallarna och beslutsvägen i förväg, och vi skriver rapporterna tillsammans med er när det gäller.
Källor och vidare läsning
- PTS – incidentrapportera enligt cybersäkerhetslagen
- NCSC – så fungerar incidentrapportering
- Cybersäkerhetslag (2025:1506)
Myndighetsinformation ändras. Kontrollera alltid aktuella regler och tidsfrister hos ansvarig myndighet, och ta juridisk rådgivning vid rättsliga bedömningar.
Fler akuta lägen