Anmälan enligt cybersäkerhetslagen går till NCSC, inte till MSB

Alla som omfattas ska anmäla sin verksamhet, oavsett vilken sektor den tillhör. Det gäller alltså även den som hamnar i den lägre klassen viktig verksamhetsutövare, och det är en vanlig missuppfattning att anmälningsplikten bara skulle träffa de väsentliga.

Bedömningen av om ni omfattas gör ni själva. Det finns ingen myndighet som hör av sig och talar om saken, och en utebliven bedömning är inte samma sak som att ha kommit fram till att lagen inte gäller.

Alla verksamhetsutövare som omfattas ska anmäla sig oavsett vilken sektor verksamheten tillhör.

Ansvaret har flyttats två gånger på kort tid, vilket är hela förklaringen till att sökresultaten pekar åt olika håll. Myndigheten för samhällsskydd och beredskap hade uppgiften först. Den gick vidare till Myndigheten för civilt försvar, MCF. Den 1 juli 2026 flyttades cyberverksamheten från MCF till Nationellt cybersäkerhetscenter vid Försvarets radioanstalt, och anmälningar tas sedan dess emot av NCSC.

Det betyder att en artikel eller en intern rutin som skrevs före sommaren 2026 sannolikt pekar på fel mottagare, även om den var korrekt när den skrevs. Kontrollera alltid mot NCSC:s egen sida innan ni följer en instruktion om anmälan.

Med anledning av att cyberverksamheten hos Myndigheten hos civilt försvar flyttar till Nationellt cybersäkerhetscenter (NCSC) vid FRA den 1 juli 2026, kommer anmälningar att tas emot av NCSC från och med den 1 juli.

Nej, inte i form av ett fast slutdatum. Det förekommer datum i omlopp på konsultsajter, oftast 30 september 2026, men NCSC anger inget sådant datum någonstans. Det NCSC anger är en skyndsamhetsregel med ett startdatum och en åtgärdsfrist på 14 dagar.

Skillnaden är inte akademisk. En skyndsamhetsregel innebär att dröjsmålet bedöms, inte att ni har tid fram till ett datum. Och 14-dagarsfristen gäller att anmälan inte inkommit, inte hur snabbt ändringar ska rapporteras.

Vad det kan kosta att låta bli står inte i skyndsamhetsregeln utan i sanktionsbestämmelserna. NIS2-direktivets artikel 34 sätter tak på minst 10 000 000 euro eller 2 procent av global omsättning för väsentliga verksamhetsutövare, och 7 000 000 euro eller 1,4 procent för viktiga. Det högre beloppet gäller.

Vid ändringar och kompletteringar hänvisar NCSC till samma adress som anmälan skickas till.

1. 01Gör och dokumentera bedömningenJämför verksamheten mot bilaga 1 och bilaga 2 samt EU:s storleksdefinition. Spara underlaget. Det är utgångspunkten vid tillsyn.
2. 02Skicka anmälanFormuläret går per e-post till [email protected].
3. 03Håll anmälan aktuellKontakta samma adress vid ändringar och kompletteringar.

Att ha anmält sig innebär att myndigheten vet att ni finns. Det säger ingenting om huruvida riskhanteringsåtgärderna är på plats, om ledningen kan redogöra för dem, eller om incidentrutinen fungerar när den behövs.

Den vanligaste kritiken mot den svenska implementeringen från praktikerhåll är just att formalia riskerar att tränga undan åtgärder som faktiskt höjer säkerheten. En anmälan tar en timme. Att kunna visa att skyddet håller tar längre tid, och det är den delen tillsynen kommer att fråga om.