Cybersäkerhetsförordningen och föreskrifterna: vad de reglerar

Vår bedömning i korthet

• För de flesta företag avgör förordningen två praktiska saker: vilken myndighet som har tillsyn och vart anmälan och incidentrapporter ska skickas.
• Detaljkraven finns i föreskrifterna. Där står hur anmälan, incidentrapporteringen, säkerhetsåtgärderna och ledningens utbildning ska gå till.
• Föreskrifterna kan fortfarande bära MCF:s namn (MCFFS), trots att uppdraget flyttade till FRA och NCSC den 1 juli 2026. Föreskrifterna gäller oförändrat.

Vad är cybersäkerhetsförordningen?

Cybersäkerhetsförordningen (SFS 2025:1507) är regeringens förordning med kompletterande bestämmelser till cybersäkerhetslagen. Den utfärdades den 11 december 2025 och trädde i kraft den 15 januari 2026. Den ersatte förordningen (2018:1175) om informationssäkerhet för samhällsviktiga och digitala tjänster. Förordningen ändrades genom SFS 2026:623 från den 1 juli 2026, när uppgifter som tidigare låg hos Myndigheten för civilt försvar flyttades till Försvarets radioanstalt (FRA).

Vart anmäler ni er, och vart rapporterar ni incidenter?

• Anmälan enligt 2 kap. 2 § cybersäkerhetslagen görs till den gemensamma kontaktpunkten (5 §). Sedan den 1 juli 2026 är det FRA (23 §), där Nationellt cybersäkerhetscenter (NCSC) finns. NCSC tar i dag emot anmälningar på ett formulär som skickas med e-post enligt anvisningarna på ncsc.se. Se anmälan enligt cybersäkerhetslagen.
• Incidentrapporter enligt 2 kap. 5–8 §§ lämnas till CSIRT-enheten (6 §), som också är FRA (31 §). I praktiken rapporterar ni till NCSC i incidentrapporteringsverktyget i cyberportalen. Mottagare är NCSC genom CERT-SE, som skickar rapporten vidare till er tillsynsmyndighet. Se incidentrapportering enligt NIS2.

Vilken myndighet har tillsyn över er?

Tillsynen är fördelad efter sektor (7 §). Listan nedan är ett urval av sektorerna; se 7 § för hela listan.

• Statens energimyndighet: energi.
• Transportstyrelsen: transporter, tillverkning av motorfordon och andra transportmedel.
• Finansinspektionen: bankverksamhet, finansmarknadsinfrastruktur.
• Inspektionen för vård och omsorg: vårdgivare i hälso- och sjukvårdssektorn.
• Läkemedelsverket: hälso- och sjukvårdssektorn utom vårdgivare, tillverkning av medicintekniska produkter.
• Livsmedelsverket: dricksvatten, avloppsvatten, livsmedel.
• Post- och telestyrelsen (PTS): digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post och bud, rymden.
• Länsstyrelserna i Norrbottens, Skåne, Stockholms, Västra Götalands, Örebro och Östergötlands län: bland annat avfallshantering, forskning, offentlig förvaltning, tillverkning av kemikalier, datorer, elapparatur och maskiner.

Länsstyrelsernas tillsyn är fördelad geografiskt (10–15 §§). Det är länet där verksamhetsutövaren har sitt säte som avgör vilken av de sex länsstyrelserna som har tillsyn. Länsstyrelsen i Stockholms län har till exempel tillsyn över verksamhetsutövare med säte i Stockholms eller Gotlands län.

För IT-leverantörer och driftbolag: Den som förvaltar IKT-tjänster åt andra företag och omfattas av lagen har PTS som tillsynsmyndighet.

Vilka föreskrifter gäller?

Förordningen ger myndigheter rätt att meddela föreskrifter (37–39 §§). PTS meddelar föreskrifter för sina tillsynsområden. FRA får meddela föreskrifter om bland annat anmälan, ledningens utbildning, incidentrapportering och säkerhetsrevisioner och säkerhetsskanningar (38 §). För de tillsynsområden som inte är PTS:s får FRA även meddela föreskrifter om säkerhetsåtgärder och om vad som räknas som en betydande incident (39 §). De föreskrifter som har meddelats hittills bär namnet MCFFS:

• MCFFS 2026:1: anmälan och identifiering av väsentliga och viktiga verksamhetsutövare. Gäller från den 2 februari 2026.
• MCFFS 2026:8: incidentrapportering och informationsskyldighet. Gäller från den 1 juli 2026.
• MCFFS 2026:11: säkerhetsåtgärder och ledningens utbildning. Gäller från den 1 oktober 2026.
• MCFFS 2026:12: säkerhetsrevision och säkerhetsskanning (föreskrifter och allmänna råd). Gäller från den 1 oktober 2026.

Hämta alltid den gällande versionen hos NCSC (ncsc.se). Föreskrifter ändras oftare än lagen.

Andra regler i förordningen som är bra att känna till

• Personuppgiftsincidenter: tillsynsmyndigheten ska samarbeta med IMY när en incident även är en personuppgiftsincident (18 §). Se NIS2 och GDPR.
• Förbud att inneha ledningsfunktion: när ett sådant beslut har vunnit laga kraft underrättar domstolen Bolagsverket, som avregistrerar personen som befattningshavare under förbudstiden (41–42 §§). Se ledningens ansvar enligt NIS2.

Vad bör ni göra nu, och vad kan vänta?

Gör nu: Ta reda på vilken tillsynsmyndighet som gäller för er, och spara länken till de föreskrifter som gäller er sektor. Kontrollera att anmälan är gjord.

Kan vänta: Sektorsspecifika föreskrifter från andra myndigheter än FRA och PTS, om sådana kommer för er sektor. Bevaka dem i stället för att gissa.

Så har vi resonerat

Allt i artikeln bygger på förordningens text på riksdagen.se, i lydelse till och med SFS 2026:623, och på NCSC:s information om föreskrifterna. Vi återger inte föreskrifternas detaljkrav här, eftersom de är långa och ändras. Vi pekar i stället på var de finns.

Källor

• Cybersäkerhetsförordning (2025:1507), lydelse t.o.m. SFS 2026:623, riksdagen.se (öppnas i ny flik)
• Cybersäkerhetslag (2025:1506)
• NCSC: Lagar och förordningar gällande cybersäkerhetslagen (öppnas i ny flik) (föreskrifterna)
• NCSC: Tidsplan för införandet (öppnas i ny flik)
• MCF: MCFFS 2026:1 (öppnas i ny flik) (gällande från 2026-02-02); MCFFS 2026:12 (öppnas i ny flik) (gällande från 2026-10-01)
• NCSC: Incidentrapportering enligt cybersäkerhetslagen (öppnas i ny flik)
• NCSC: Att anmäla en verksamhet (öppnas i ny flik)