Anmälan enligt cybersäkerhetslagen: vem som ska anmäla sig, när och hur

Vår bedömning i korthet

• Anmälan går fort när ni väl vet att ni omfattas. Det svåra är bedömningen, inte formuläret.
• Ingen myndighet gör bedömningen åt er. Dokumentera hur ni har kommit fram till att ni omfattas, eller inte omfattas.
• Glöm inte ändringarna. Nya domäner, ip-adresser eller kontaktuppgifter ska anmälas inom 14 dagar.

Vem ska anmäla sig?

Den verksamhetsutövare som omfattas av lagen ska anmäla sig (2 kap. 2 §). Varje verksamhetsutövare anmäls för sig, med ett e-postmeddelande per verksamhetsutövare. I en koncern behöver därför varje bolag som omfattas göra en egen anmälan. Ni omfattas i huvudsak om ni (1 kap. 4 §)

• bedriver en sådan typ av verksamhet som räknas upp i bilaga 1 eller 2 till NIS2-direktivet,
• är minst ett medelstort företag, det vill säga har minst 50 anställda, eller har både årsomsättning och balansomslutning över 10 miljoner euro, och
• är etablerad i Sverige, eller omfattas av svensk jurisdiktion på annan grund.

Vissa verksamheter omfattas oavsett storlek (1 kap. 3 och 5–7 §§). Läs mer i vilka omfattas av NIS2?.

När ska anmälan göras?

• Så snart det kan ske (2 kap. 2 §). Lagen har gällt sedan den 15 januari 2026, och föreskrifterna om anmälan (MCFFS 2026:1) sedan den 2 februari 2026. Har ni inte anmält er ännu, gör det nu.
• Ändringar: om uppgifterna i anmälan ändras ska ändringen anmälas så snart det kan ske, dock senast 14 dagar efter att den ägde rum.

Vart görs anmälan?

Anmälan görs på det sätt som NCSC anvisar (MCFFS 2026:1 2 kap. 3 §). Sedan den 1 juli 2026 gäller detta:

• 1. Fyll i NCSC:s anmälningsformulär.
• 2. Skicka det med e-post till nis2anmalan@ncsc.se. Det fungerar bara med e-post som är krypterad under överföringen (TLS), och ni skickar en anmälan per verksamhetsutövare.
• 3. NCSC skickar en kvittens inom två arbetsdagar. Kommer ingen kvittens, kontakta NCSC.

Ändringar, kompletteringar och avanmälningar skickas till samma adress. Följ alltid de aktuella anvisningarna på ncsc.se, eftersom rutinen kan ändras.

Vad ska anmälan innehålla?

Enligt MCFFS 2026:1 2 kap. 1 § ska anmälan innehålla

• verksamhetsutövarens namn,
• adress, e-postadress, organisationsnummer och telefonnummer till verksamhetsutövaren eller dess svenska företrädare,
• identifierare mot internet, det vill säga ip-adresser och domännamn,
• vilka sektorer och viktiga samhällsfunktioner verksamheten bedrivs inom,
• vilken typ av verksamhet som bedrivs,
• om verksamheten är identifierad enligt 4 kap. i föreskriften, och
• om verksamhetsutövaren är väsentlig eller viktig.

Har ni sektorsverksamhet i andra EU- eller EES-länder ska anmälan också innehålla kontaktuppgifter till de etableringsställena (2 kap. 2 §).

Tips: Listan över ip-adresser och domännamn är det som oftast tar tid att få fram och som oftast ändras. Låt den som ansvarar för IT-miljön hålla den uppdaterad, så att ändringar kan anmälas inom 14 dagar.

Kostar det något?

Avgifterna i 3 kap. 11 § cybersäkerhetslagen gäller bara de verksamhetsutövare som avses i 1 kap. 6 §, det vill säga de som i Sverige tillhandahåller allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster. Av dem får tillsynsmyndigheten ta ut en avgift för handläggningen av anmälan, och den ska ta ut en årlig avgift. Lagen ger inget stöd för avgifter för andra verksamhetsutövare.

Vad händer om vi inte anmäler oss?

Anmälningsskyldigheten finns i 2 kap. 2 §. Om den inte följs ska tillsynsmyndigheten ingripa (4 kap. 1 §). Ingripandet sker genom ett föreläggande, en ansökan om förbud att inneha ledningsfunktion, en sanktionsavgift eller, om det inte finns skäl till något annat, en anmärkning.

• Föreläggande (4 kap. 4 §): tillsynsmyndigheten kan förelägga er att anmäla er. Föreläggandet får förenas med vite.
• Sanktionsavgift (4 kap. 9–10 §§): lägst 5 000 kronor. Det högsta beloppet beror på om ni är väsentlig eller viktig verksamhetsutövare.

Enligt NCSC kan tillsynsmyndigheterna vidta åtgärder om en anmälan inte har kommit in inom 14 dagar.

Vad bör ni göra nu, och vad kan vänta?

Gör nu

• 1. Gör och dokumentera bedömningen av om ni omfattas: sektor, storlek och jurisdiktion.
• 2. Ta fram listan över ip-adresser och domännamn.
• 3. Skicka anmälan och spara kvittensen.

Kan vänta

Ingenting i själva anmälan kan vänta. Säkerhetsåtgärderna enligt föreskrifterna är ett större arbete som ni kan planera efter anmälan. Se cybersäkerhetsförordningen och föreskrifterna.

Så har vi resonerat

Vi bygger på 2 kap. 2 § och 3 kap. 11 § cybersäkerhetslagen, MCFFS 2026:1 och NCSC:s anvisningar, kontrollerade den 30 oktober 2026. Anvisningarna för hur anmälan skickas har ändrats en gång redan, den 1 juli 2026. Kontrollera därför ncsc.se innan ni skickar.

Källor

• Cybersäkerhetslag (2025:1506), 1 kap. 4 och 6 §§, 2 kap. 2 §, 3 kap. 11 §, 4 kap. 1, 4, 9 och 10 §§, riksdagen.se (öppnas i ny flik)
• MCFFS 2026:1 (gäller från 2026-02-02), ncsc.se (öppnas i ny flik)
• NCSC: Att anmäla en verksamhet enligt cybersäkerhetslagen, ncsc.se (öppnas i ny flik)
• Kommissionens rekommendation 2003/361/EG, bilagan artikel 2 (storlek), lagen.nu (öppnas i ny flik)