MSB, MCF eller NCSC: vem gör vad numera?

Den första förändringen var ett namnbyte med ändrad inriktning. Regeringen beslutade under hösten 2025 att Myndigheten för samhällsskydd och beredskap skulle heta Myndigheten för civilt försvar, med verkan från den 1 januari 2026. Myndigheten är densamma, och det nya namnet speglar en förskjutning från fredstida kriser mot civilt försvar.

Den andra förändringen var en riktig flytt. Den 1 juli 2026 fördes cyberverksamheten över från MCF till Nationellt cybersäkerhetscenter vid Försvarets radioanstalt. Det gäller föreskriftsarbetet kring cybersäkerhetslagen, mottagandet av anmälningar och incidentrapporter, och CERT-SE.

Skillnaden mellan de två spelar roll när ni läser äldre dokument. Ett dokument från februari 2026 som säger MCF är korrekt för sin tidpunkt men pekar på fel mottagare i dag. Ett dokument från 2024 som säger MSB pekar på fel namn och fel mottagare.

NCSC har den samordnande rollen nationellt gentemot tillsynsmyndigheter och verksamhetsutövare, och är Sveriges kontaktpunkt mot övriga medlemsstater. Det är dit anmälan går och dit incidentrapporterna skickas.

Tillsynsmyndigheterna gör vägledning och tillsyn inom sin sektor. NCSC skickar vidare inkomna incidentrapporter till den tillsynsmyndighet som ansvarar för er verksamhet, exempelvis Post- och telestyrelsen för leverantörer av elektronisk kommunikation.

MCF ansvarar för civilt försvar och krisberedskap. Myndigheten är fortfarande relevant för er, men i frågor om beredskap och robusthet, inte i frågor om anmälan enligt cybersäkerhetslagen.

CERT-SE blir den 1 juli 2026 en del av Nationellt cybersäkerhetscenter.

Söktermen msb nis2 har kvar sin volym därför att uppslagsordet levde i flera år innan lagen fanns. Under hela remiss- och utredningstiden var MSB den myndighet som svarade på NIS-frågor, och konsultmaterial, mallar och interna rutiner skrevs med det namnet.

Konsekvensen är praktisk snarare än akademisk. Ett internt incidenthanteringsdokument som pekar ut MSB skickar er personal till fel ställe under de timmar då tidsfristerna löper. Samma sak gäller mallar som fortfarande innehåller gamla e-postadresser.

Vår rekommendation är att söka igenom era styrande dokument på tre strängar, MSB, msb.se och Myndigheten för samhällsskydd, och avgöra för varje träff om den avser cyberrapportering, som ska peka på NCSC, eller beredskap, som fortfarande kan peka på MCF.

Anmälningsplikten i 2 kap. 2 § säger att verksamhetsutövare ska anmäla sig så snart det kan ske, och att förändringar ska anmälas senast 14 dagar efter att de ägde rum. Ett myndighetsbyte på mottagarsidan ändrar inte fristen, men det ändrar vart handlingen ska.

Om ni redan anmält er till rätt mottagare behöver ni inte göra om något. Det som behöver uppdateras är era egna rutiner, kontaktlistor och utbildningsmaterial, eftersom de är det ni kommer att följa under press.