Föreskrifterna: där kraven faktiskt konkretiseras

NCSC beskriver omfattningen i en mening som är värd att läsa noga, eftersom den knyter ihop det tekniska och det organisatoriska med ledningens egen utbildning.

Det sista ledet är det som oftast förbises. Utbildningen av ledningen är inte en rekommendation utan en del av vad som regleras.

Föreskrifterna reglerar tekniska, driftsrelaterade och organisatoriska åtgärder som verksamhetsutövaren behöver vidta för att skydda nätverks- och informationssystem samt vilken utbildning verksamhetsutövarens ledning ska genomföra för att uppfylla lagens krav.

Regeringen utser vilka myndigheter som får utfärda föreskrifter, och föreskriftsmandaten framgår av cybersäkerhetsförordningen. Myndigheten för civilt försvar och Post- och telestyrelsen fick i uppdrag att förbereda föreskrifter.

Konsekvensen för er är att lagtexten inte räcker som underlag. Vad som konkret krävs kan stå i en föreskrift från er sektorsmyndighet, och den kan ha kommit till efter att er interna rutin skrevs.

Regeringen utser vilka myndigheter som får utfärda föreskrifter. Föreskriftsmandaten framgår av cybersäkerhetsförordningen. Myndigheten för civilt försvar och Post- och telestyrelsen (PTS) fick i uppdrag att förbereda föreskrifter.

Föreskrifterna om incidentrapportering och informationsskyldighet trädde i kraft den 1 juli 2026, samma dag som cyberverksamheten flyttade från Myndigheten för civilt försvar till NCSC vid Försvarets radioanstalt.

De specificerar bland annat vad som ska anses utgöra en betydande incident och därmed vara rapporteringspliktig. Det är den tröskeln som avgör om något ska rapporteras alls, och den är konsekvensbaserad snarare än teknisk.

Fristerna som rutinen ska klara kommer från direktivets artikel 23: en tidig varning inom 24 timmar, en incidentanmälan inom 72 timmar och en slutrapport inom en månad. Anmälan om själva verksamheten har en separat åtgärdsfrist på 14 dagar, och de två ska inte blandas ihop.

Den vanligaste kritiken mot den svenska implementeringen från praktikerhåll är att den riskerar att belöna formalia framför åtgärder som höjer säkerheten. Den kritiken är rimlig, men den ändrar inte att föreskrifterna är det som gäller.

Det praktiska svaret är att läsa dem direkt, hos den myndighet som utfärdat dem, och att datera sin egen tolkning så att den går att följa upp när föreskriften ändras.