Kort sagt:<\/strong><\/p>\n Den 15 januari 2026 tr\u00e4dde cybers\u00e4kerhetslagen (2025:1506) i kraft i Sverige. Lagen genomf\u00f6r NIS2-direktivet<\/a> i svensk r\u00e4tt och inneb\u00e4r rapporteringsskyldigheter och krav p\u00e5 s\u00e4kerhets\u00e5tg\u00e4rder f\u00f6r verksamhetsut\u00f6vare inom 18 utpekade samh\u00e4llsviktiga sektorer, d\u00e4ribland offentlig f\u00f6rvaltning.<\/p>\n Det avg\u00f6rande \u00e4r att fler organisationer nu r\u00e4knas som verksamhetsut\u00f6vare \u00e4n tidigare. Kommuner, regioner och statliga myndigheter som levererar samh\u00e4llsviktiga tj\u00e4nster, fr\u00e5n vattenf\u00f6rs\u00f6rjning och energi till h\u00e4lso- och sjukv\u00e5rd och digital infrastruktur, omfattas direkt av lagens krav. M\u00e5nga som tidigare betraktat informationss\u00e4kerhet som ett internt IT-\u00e4rende m\u00e5ste nu hantera det som ett lednings- och styrningsansvar med extern tillsyn.<\/p>\n Lagens centrala krav kan sammanfattas s\u00e5 h\u00e4r:<\/p>\n F\u00f6r organisationer som redan f\u00f6ljt NIS2-utvecklingen \u00e4r strukturen bekant. Den som vill f\u00f6rdjupa sig i vad kraven konkret inneb\u00e4r f\u00f6r svenska verksamheter kan l\u00e4sa mer om hur NIS2 p\u00e5verkar svenska organisationer<\/a>.<\/p>\n M\u00e5nga offentliga organisationer har grundl\u00e4ggande brister i sitt systematiska cybers\u00e4kerhetsarbete, enligt Cybers\u00e4kerhetskollen<\/a>.<\/strong> Bristerna handlar s\u00e4llan om avancerad teknik utan om grundl\u00e4ggande rutiner: dokumenterad riskhantering, uppdaterade kontinuitetsplaner och en tydlig ansvarskedja vid incidenter.<\/p>\n Ett \u00e5terkommande m\u00f6nster \u00e4r svagt ledningsengagemang. Cybers\u00e4kerhetskollen visar att informationss\u00e4kerhet ofta hanteras som en IT-fr\u00e5ga snarare \u00e4n ett styrningsansvar, vilket g\u00f6r att \u00e5tg\u00e4rder stannar p\u00e5 operativ niv\u00e5 utan budget eller mandat att genomf\u00f6ras fullt ut. Kommuner presterar generellt svagare \u00e4n statliga myndigheter, delvis p\u00e5 grund av mindre specialiserade s\u00e4kerhetsfunktioner och mer begr\u00e4nsade resurser per inv\u00e5nare.<\/p>\n S\u00e4rskilt utsatta \u00e4r verksamheter med driftteknik (OT), som vatten- och energif\u00f6rs\u00f6rjning. D\u00e4r m\u00f6ts brister i cybers\u00e4kerhetskompetens av system som \u00e4r sv\u00e5ra att uppdatera utan driftst\u00f6rningar, vilket skapar ett gap mellan vad lagen kr\u00e4ver och vad organisationen faktiskt klarar att \u00e5tg\u00e4rda p\u00e5 kort tid.<\/p>\n Det g\u00f6r m\u00e4tinstrument som Cybers\u00e4kerhetskollen och Infos\u00e4kkollen viktiga, inte bara som sj\u00e4lvskattning utan som underlag f\u00f6r att visa tillsynsmyndigheter att organisationen arbetar systematiskt med f\u00f6rb\u00e4ttring. En dokumenterad, om \u00e4n p\u00e5g\u00e5ende, f\u00f6rb\u00e4ttringsresa v\u00e4ger ofta tyngre vid tillsyn \u00e4n ett perfekt resultat utan sp\u00e5rbarhet.<\/p>\n En riskhanteringsprocess som h\u00e5ller f\u00f6r tillsyn beh\u00f6ver vara b\u00e5de systematisk och dokumenterad. Fem steg \u00e5terkommer i praktiken:<\/p>\n Ansvaret f\u00f6r detta ligger inte hos en enda funktion. Ledningen b\u00e4r det yttersta ansvaret f\u00f6r att resurser och mandat finns p\u00e5 plats, en s\u00e4kerhetsansvarig (ofta kallad CISO eller motsvarande) driver det operativa arbetet, dataskyddsombudet bevakar kopplingen till personuppgifter, och drift- och IT-funktionen genomf\u00f6r de tekniska \u00e5tg\u00e4rderna. Vid en betydande incident \u00e4r det i regel s\u00e4kerhetsfunktionen som f\u00f6rbereder rapporteringen, men beslutet att rapportera vilar p\u00e5 ledningen.<\/p>\n Vad som r\u00e4knas som en betydande incident varierar med sektor, men gemensamt \u00e4r att den m\u00e5ste ha en p\u00e5taglig p\u00e5verkan p\u00e5 tj\u00e4nstens tillg\u00e4nglighet, integritet eller konfidentialitet. F\u00f6reskrifter kopplade till cybers\u00e4kerhetslagen anger specifika tidsgr\u00e4nser och kriterier f\u00f6r rapportering, med tillsyn ut\u00f6vad av Myndigheten f\u00f6r civilt f\u00f6rsvar och det nationella cybers\u00e4kerhetscentret. Den som v\u00e4ntar med att klarg\u00f6ra sin rapporteringskedja riskerar att missa tidsfrister just n\u00e4r trycket \u00e4r som st\u00f6rst.<\/p>\n Proffstips:<\/strong> Testa incidentrapporteringen i en \u00f6vning innan den beh\u00f6vs p\u00e5 riktigt. Det \u00e4r d\u00e5 ni uppt\u00e4cker vem som faktiskt saknar telefonnummer till r\u00e4tt kontaktpunkt.<\/em><\/p>\n Kraven i cybers\u00e4kerhetslagen \u00f6vers\u00e4tts i praktiken till ett antal konkreta kontroller som de flesta offentliga verksamheter redan k\u00e4nner igen, men som ofta saknar systematik eller dokumentation.<\/p>\n Loggning f\u00f6rtj\u00e4nar s\u00e4rskild uppm\u00e4rksamhet eftersom den ofta utg\u00f6r personuppgiftsbehandling. DIGG:s riktlinjer<\/a> understryker att loggar med anv\u00e4ndaridentiteter eller andra personuppgifter m\u00e5ste hanteras enligt GDPR, med uppgiftsminimering, tydlig r\u00e4ttslig grund och dokumenterad hanteringsprocess. En vanlig miss \u00e4r att logga mer \u00e4n n\u00f6dv\u00e4ndigt \u201cf\u00f6r s\u00e4kerhets skull\u201d, vilket i sig skapar en ny risk snarare \u00e4n att minska en befintlig.<\/p>\n OT-s\u00e4kerhet \u00e4r ett av de omr\u00e5den d\u00e4r gapet mellan lagens krav och verksamheternas faktiska f\u00f6rm\u00e5ga \u00e4r som st\u00f6rst. MSB:s rapport om OT-s\u00e4kerhet pekar p\u00e5 bristande kompetens, otydlig kravst\u00e4llning i leverant\u00f6rskedjan och att OT-fr\u00e5gor ofta hamnar i skuggan av det traditionella IT-s\u00e4kerhetsarbetet. F\u00f6r verksamheter som styr vatten, energi eller annan fysisk infrastruktur inneb\u00e4r det att s\u00e4kerhetsarbetet m\u00e5ste omfatta b\u00e5de juridisk kravst\u00e4llning mot leverant\u00f6rer och teknisk granskning av styrsystemen, inte bara kontorsn\u00e4tverket.<\/p>\n Informationss\u00e4kerhet blir s\u00e4llan b\u00e4ttre \u00e4n det mandat och den budget ledningen ger den. MSB:s m\u00e4tningar visar g\u00e5ng p\u00e5 g\u00e5ng att svagt ledningsengagemang \u00e4r en av de mest \u00e5terkommande bristerna i offentlig sektor, och det \u00e4r ocks\u00e5 den fr\u00e5ga tillsynsmyndigheter tenderar att granska f\u00f6rst vid en incident.<\/p>\n Tre beslut h\u00f6r hemma p\u00e5 ledningsniv\u00e5 snarare \u00e4n hos IT-avdelningen:<\/p>\n Att anv\u00e4nda Cybers\u00e4kerhetskollen eller motsvarande verktyg som en \u00e5terkommande punkt p\u00e5 ledningsgruppens agenda g\u00f6r s\u00e4kerhetsarbetet synligt och j\u00e4mf\u00f6rbart \u00f6ver tid. Det ger ocks\u00e5 ett konkret underlag att visa tillsynsmyndigheter: inte ett perfekt resultat, utan ett dokumenterat m\u00f6nster av f\u00f6rb\u00e4ttring.<\/p>\n En trettio-sextio-nittio-dagarsplan ger struktur \u00e5t ett arbete som annars l\u00e4tt blir f\u00f6r stort f\u00f6r att komma ig\u00e5ng med.<\/p>\n Proffstips:<\/strong> B\u00f6rja med de tre eller fyra system som skulle skada verksamheten mest vid ett avbrott, snarare \u00e4n att f\u00f6rs\u00f6ka kartl\u00e4gga allt p\u00e5 en g\u00e5ng.<\/em><\/p>\n Den som redan arbetat med NIS2-f\u00f6rberedelser kan anv\u00e4nda samma struktur f\u00f6r att visa ledningen konkreta bevis p\u00e5 efterlevnad<\/a> inom samma tidsram.<\/p>\n Specialistf\u00f6retag inom dataskydd, informationss\u00e4kerhet och IT-juridik kan bist\u00e5 med roller som externt dataskyddsombud, DPIA-genomf\u00f6rande och incidentr\u00e5dgivning, ofta f\u00f6r verksamheter som saknar den kapaciteten internt.<\/p>\n Ett typiskt uppdrag f\u00f6ljer en tydlig fasindelning: en kartl\u00e4ggning av nul\u00e4ge och kritiska system, en prioritering av vilka \u00e5tg\u00e4rder som ger mest riskreduktion per insats, ett implementationsskede med konkreta rutiner och avtal, och slutligen en uppf\u00f6ljningsfas d\u00e4r arbetet dokumenteras och testas. Digitala verktyg som Trustview kan st\u00f6dja det l\u00f6pande arbetet med riskregister och dokumentation.<\/p>\n Den som vill se hur en GAP-analys eller s\u00e4kerhetsgranskning l\u00e4ggs upp i praktiken hittar mer under r\u00e5dgivning och GAP-analyser.<\/p>\n Den vanligaste missuppfattningen om cybers\u00e4kerhetslagen \u00e4r att den huvudsakligen handlar om teknik. Det den faktiskt testar \u00e4r styrning: om ledningen har fattat beslut, om ansvar \u00e4r tydligt f\u00f6rdelat och om organisationen kan visa sp\u00e5r av ett systematiskt arbete n\u00e4r en tillsynsmyndighet fr\u00e5gar.<\/p>\n Det som \u00e4r underskattat \u00e4r hur mycket av tillsynsrisken som ligger i dokumentation snarare \u00e4n i faktiska s\u00e4kerhetsh\u00e5l. En kommun med genomsnittlig teknisk s\u00e4kerhet men tydlig riskhantering och testade rutiner st\u00e5r sig ofta b\u00e4ttre vid tillsyn \u00e4n en organisation med b\u00e4ttre teknik men ingen sp\u00e5rbarhet. Det som \u00e4r \u00f6verskattat \u00e4r tron att ett enda stort investeringsbeslut, en ny brandv\u00e4gg eller ett nytt \u00f6vervakningssystem, l\u00f6ser problemet. Det g\u00f6r det inte, eftersom lagens krav i grunden handlar om ett \u00e5terkommande arbetss\u00e4tt, inte ett eng\u00e5ngsprojekt.<\/p>\n Min bed\u00f6mning \u00e4r att offentliga verksamheter vinner mest p\u00e5 att f\u00f6rst g\u00f6ra sin styrning trov\u00e4rdig: mandat, dokumentation och en testad incidentkedja. Tekniken f\u00f6ljer l\u00e4ttare n\u00e4r ansvaret \u00e4r p\u00e5 plats.<\/p>\n \u2014 Jesper<\/em><\/p>\n<\/blockquote>\n Evertrust hj\u00e4lper kommuner, regioner och myndigheter att oms\u00e4tta cybers\u00e4kerhetslagens krav i konkret arbete, genom GAP-analyser, DPIA, incidentr\u00e5dgivning och st\u00f6d av det digitala verktyget Trustview f\u00f6r l\u00f6pande dokumentation. Boka en genomg\u00e5ng via r\u00e5dgivning och konsulttj\u00e4nster f\u00f6r att se var er organisation st\u00e5r och vad som b\u00f6r prioriteras f\u00f6rst.<\/p>\n This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.<\/p>\n Lagen omfattar verksamhetsut\u00f6vare inom 18 utpekade samh\u00e4llsviktiga sektorer, d\u00e4ribland delar av offentlig f\u00f6rvaltning, energi, vatten och h\u00e4lso- och sjukv\u00e5rd, enligt regeringens beskrivning av lagen. Kommuner och regioner som levererar s\u00e5dana tj\u00e4nster r\u00e4knas normalt som verksamhetsut\u00f6vare.<\/p>\n F\u00f6reskrifterna kopplade till cybers\u00e4kerhetslagen anger specifika tidsgr\u00e4nser f\u00f6r rapportering till Myndigheten f\u00f6r civilt f\u00f6rsvar och det nationella cybers\u00e4kerhetscentret, med detaljerade kriterier per sektor. Organisationen b\u00f6r i f\u00f6rv\u00e4g ha en testad process f\u00f6r att klara tidsfristerna.<\/p>\n Loggning r\u00e4knas som personuppgiftsbehandling n\u00e4r loggarna inneh\u00e5ller uppgifter som kan kopplas till en identifierbar person, vilket DIGG:s riktlinjer klarg\u00f6r. I s\u00e5dana fall g\u00e4ller GDPR:s krav p\u00e5 r\u00e4ttslig grund och uppgiftsminimering fullt ut.<\/p>\n Cybers\u00e4kerhetskollen visar att m\u00e5nga organisationer i offentlig f\u00f6rvaltning har grundl\u00e4ggande brister i sitt systematiska cybers\u00e4kerhetsarbete, ofta kopplat till svagt ledningsengagemang, enligt MSB:s uppf\u00f6ljning. Kommuner tenderar att prestera svagare \u00e4n statliga myndigheter.<\/p>\n Evertrust erbjuder GAP-analyser, DPIA och incidentr\u00e5dgivning som st\u00f6d f\u00f6r offentliga verksamheter som beh\u00f6ver anpassa sig till cybers\u00e4kerhetslagen. Tj\u00e4nsterna beskrivs n\u00e4rmare p\u00e5 Evertrusts sida f\u00f6r r\u00e5dgivning och GAP-analyser.<\/p>\n F\u00f6rbered informationss\u00e4kerheten i offentlig sektor inf\u00f6r cybers\u00e4kerhetslagen 2026 med tre konkreta steg: ledningsmandat, kartl\u00e4ggning och…<\/p>","protected":false},"author":2,"featured_media":8493,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"content-type":"","site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[107],"tags":[9],"class_list":["post-8492","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sverige","tag-gdpr-specialist"],"acf":[],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8492","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/comments?post=8492"}],"version-history":[{"count":1,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8492\/revisions"}],"predecessor-version":[{"id":8496,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8492\/revisions\/8496"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media\/8493"}],"wp:attachment":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media?parent=8492"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/categories?post=8492"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/tags?post=8492"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
\nInneh\u00e5llsf\u00f6rteckning<\/h2>\n
\n
Vad s\u00e4ger den nya cybers\u00e4kerhetslagen och vilka verksamheter omfattas?<\/h2>\n
\n
Nul\u00e4get i offentlig sektor: vad Cybers\u00e4kerhetskollen och MSB visar<\/h2>\n
![\"Nul\u00e4get](\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/10\/1790700103501_Nulaget-i-offentlig-sektor-vad-Cybersakerhetskollen-och-MSB-visar-overview-diagram.jpeg\")
<\/p>\nKonkret: krav och praxis f\u00f6r riskhantering, styrning och incidentrapportering<\/h2>\n
\n
Tekniska och organisatoriska \u00e5tg\u00e4rder: loggning, \u00e5tkomst, \u00f6vervakning och OT<\/h2>\n
\n
![\"Bild](\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/10\/1790699949455_Illustration-av-OT-och-IT-i-kritisk-infrastruktur.jpeg\")
<\/p>\nLedningens roll: prioritering, resurser och kultur<\/h2>\n
\n
Handlingsorienterad checklista och prioriteringar f\u00f6r de f\u00f6rsta 90 dagarna<\/h2>\n
\n
Evertrusts syn: praktisk implementering och st\u00f6d till offentlig sektor<\/h2>\n
Vad kr\u00e4ver den nya lagstiftningen egentligen av oss?<\/h2>\n
\n
Tj\u00e4nster fr\u00e5n Evertrust som hj\u00e4lper offentlig sektor<\/h2>\n
![\"Evertrust\"](\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/08\/1786093780170_evertrust.jpg\")
<\/p>\nCentral l\u00e4sning och myndighetsk\u00e4llor<\/h2>\n
\n
K\u00e4llor<\/h2>\n
\n
Vanliga fr\u00e5gor<\/h2>\n
Vilka verksamheter omfattas av den nya cybers\u00e4kerhetslagen?<\/h3>\n
Hur snabbt m\u00e5ste en betydande incident rapporteras?<\/h3>\n
\u00c4r loggning alltid en personuppgiftsbehandling?<\/h3>\n
Vad visar Cybers\u00e4kerhetskollen om offentlig sektor idag?<\/h3>\n
Kan Evertrust hj\u00e4lpa v\u00e5r organisation att uppfylla de nya kraven?<\/h3>\n
Rekommendationer<\/h2>\n
\n