Checklista: cybersäkerhetslagen från bedömning till uppföljning

Det första steget avgör allt som följer. Utan en dokumenterad bedömning finns ingen utgångspunkt för vare sig klassning eller tillsyn.

Alla verksamhetsutövare som omfattas ska anmäla sig oavsett vilken sektor verksamheten tillhör.

1. 01Slå upp er verksamhetstyp i bilaga 1 och bilaga 2Läs direktivets text, inte en sammanfattning. Beskrivningarna pekar ofta ut en roll snarare än en bransch.
2. 02Jämför mot EU:s storleksdefinitionRekommendation 2003/361/EG väger anställda, omsättning och balansomslutning, och partner- och koncernbolag räknas in.
3. 03Fastställ klassenBilaga 1 plus stort företag ger väsentlig. Övriga kombinationer ger viktig.
4. 04Dokumentera bedömningen med datumÄven ett nej. Bedömningen är det första en tillsynsmyndighet frågar efter.
5. 05Anmäl verksamheten till NCSCFormuläret går per e-post till [email protected]. Anmälan ska ske så snart det kan ske, från den 2 februari.

NCSC samordnar men granskar inte er. Tillsynen är sektorsindelad, och den myndighet som har den kan ha egna föreskrifter utöver lagen.

1. 01Identifiera er tillsynsmyndighetUtpekandet finns i cybersäkerhetsförordningen (2025:1507), per sektor.
2. 02Läs deras föreskrifterFöreskrifterna om incidentrapportering och informationsskyldighet trädde i kraft 1 juli 2026.
3. 03Notera vad som gäller utöver lagenLagtexten anger ramarna. Föreskrifterna anger vad som konkret ska göras.
4. 04Etablera kontaktvägen i förvägDen som ska begära in underlag vid en granskning bör inte vara ett namn ni letar upp under tiden.

Artikel 21 räknar upp tio områden som åtgärderna minst ska omfatta. Kravet är att de är lämpliga och proportionella i förhållande till risken, vilket betyder att ni ska kunna motivera nivån.

1. 01Riskanalys och informationssäkerhetspolicyerGrunden som allt annat motiveras mot. Odaterad riskanalys går inte att koppla till ett beslut.
2. 02IncidenthanteringUpptäcka, hantera och följa upp. Kopplar direkt till steg 4.
3. 03Kontinuitet och krishanteringSäkerhetskopiering, återställning och kris. En kopia som aldrig återställts är en obekräftad hypotes.
4. 04LeverantörskedjanEtt eget krav, inte en fotnot till inköp. Era leverantörers rutiner ingår i er riskbild.
5. 05Anskaffning, utveckling och sårbarhetshanteringInklusive rutin för att ta emot och hantera sårbarhetsrapporter.
6. 06Rutiner för att bedöma åtgärdernas effektivitetPunkt f. Den som oftast saknas, och den som skiljer ett åtgärdsregister från riskhantering.
7. 07Cyberhygien och utbildningFör alla i verksamheten, och för ledningen särskilt enligt föreskrifterna.
8. 08KryptografiPolicyer för kryptering, där det är lämpligt.
9. 09Personalsäkerhet, åtkomstkontroll och tillgångshanteringVem har åtkomst till vad, och hur upphör den när någon slutar.
10. 10Multifaktorautentisering och säkrad kommunikationUttryckligt uppräknat i artikel 21.2.

Fristerna gör att rutinen måste finnas innan den behövs. Trestegsmodellen kommer från artikel 23 och de svenska föreskrifterna är det operativa underlaget.

1. 01Bestäm vem som avgör om tröskeln är nåddEn incident är betydande om den orsakat eller kan orsaka allvarlig driftsstörning eller ekonomisk skada, eller påverkat andra.
2. 02Förbered kontaktvägen till CERT-SEMottagare av incidentrapporter är NCSC genom CERT-SE, som vidarebefordrar till tillsynsmyndigheten.
3. 03Bygg in det andra spåretRör incidenten personuppgifter gäller dessutom anmälan till IMY inom 72 timmar enligt artikel 33. Två klockor.
4. 04Dokumentera löpande under förloppetSlutrapporten ska lämnas inom en månad och beskriva orsak och förlopp. Anteckningar i efterhand är svagare.

Den sista delen är den som inte går att delegera, och den som avgör om resten går att visa upp.

1. 01Låt ledningen besluta om åtgärdernaProtokollfört. Att åtgärder vidtagits är inte samma sak som att ledningen beslutat om dem.
2. 02Genomför och dokumentera ledningens utbildningFöreskrifterna reglerar vilken utbildning ledningen ska genomföra.
3. 03Följ upp att åtgärderna fungerarPunkt f i artikel 21. Ett verifierat test är ett av få sätt att svara utan att gissa.

En checklista är en ordning att arbeta i, inte en efterlevnadsförklaring. Kraven är proportionella, vilket betyder att vad som är tillräckligt beror på er riskbild och inte går att lista i förväg.

Den ersätter inte heller föreskrifterna från er sektorsmyndighet, som är det som konkretiserar punkterna i steg 3. Använd listan för att se var ni står och läs föreskrifterna för att veta vad varje punkt kräver av just er.