Cybersäkerhetsförordningen: den som gör lagen tillämpbar

Svensk lagstiftningsteknik lägger det som riksdagen ska besluta i lag och det som regeringen ska kunna ändra utan riksdagsbeslut i förordning. Vilka myndigheter som har tillsynen hör till det senare, eftersom myndighetsstrukturen förändras oftare än skyldigheterna gör.

Konsekvensen för er är att de två texterna svarar på olika frågor och att ingen av dem är fullständig ensam. Lagen säger att ni ska anmäla er, att ni ska vidta lämpliga och proportionella åtgärder och att incidenter ska rapporteras. Förordningen säger vart anmälan går, vem som granskar åtgärderna och vem som får precisera dem.

Det är också därför förordningen kan ändras utan att lagen rörs. En omorganisation på myndighetssidan slår igenom i förordningen, och en efterlevnadsdokumentation som bara refererar till lagen kommer inte att märka det.

Försvarets radioanstalt utses i förordningen till gemensam kontaktpunkt, till CSIRT-enhet, till cyberkrishanteringsmyndighet och till samordnare gentemot tillsynsmyndigheterna. I praktiken utövas rollerna genom Nationellt cybersäkerhetscenter, och CERT-SE är sedan den 1 juli 2026 en del av NCSC.

Att det är samma myndighet gör det lätt att behandla rollerna som en, vilket fungerar ända tills något ska skickas någonstans. Anmälan av verksamheten går enligt 5 § till den gemensamma kontaktpunkten. Incidentrapporten går enligt 6 § till CSIRT-enheten. Det är två olika ärendeslag med olika underlag och olika mottagningsfunktion.

Rollen som cyberkrishanteringsmyndighet är den ni sannolikt aldrig ser i normal drift. Den aktiveras vid storskaliga incidenter och kriser, och den är inte en kanal ni rapporterar till.

Förordningen fördelar rätten att meddela närmare föreskrifter. Post- och telestyrelsen får meddela föreskrifter om säkerhetsåtgärder, om vad som utgör en incident, om informationskrav och om avgifter. Försvarets radioanstalt får meddela föreskrifter om undantag, om kriterier för etablering, om utbildning, om incidentrapportering och om säkerhetsgranskningar.

Uppdelningen är värd att notera därför att den avgör var ni ska leta. En fråga om vad som räknas som en betydande incident och en fråga om hur rapporten ska utformas kan alltså ha svar hos olika myndigheter.

Föreskrifter är också det lager som ändras oftast. Ange därför i era bedömningar vilken föreskrift ni läst, med beteckning och datum, och spara utdraget. Det är den enda uppgiften som gör det möjligt att i efterhand avgöra om bedömningen var aktuell.

Denna förordning träder i kraft den 15 januari 2026.

Det första är att slå upp er sektor i 7 § och skriva ned vilken myndighet raden ger, med datum. Det tar några minuter och det är den uppgift som allt annat hänger på.

Det andra är att skilja på kontaktpunkt och CSIRT-enhet i era rutiner, även om båda i dag är FRA genom NCSC. Rutinen ska klara att de en dag inte är samma organisation, och den ska framför allt inte skicka en incidentrapport genom anmälningskanalen.

Det tredje är att lägga båda föreskriftsregistren i er bevakning. Ändringar där når er inte automatiskt, och de kan förändra vad som förväntas av er utan att en enda rad i lagen ändras.