NIS2 och cybersäkerhetslagen i praktiken

Omfattas er verksamhet av cybersäkerhetslagen?

NCSC betonar att verksamheten själv behöver bedöma om lagen gäller. Verksamhetstyp, storlek och jurisdiktion ingår i bedömningen, och vissa undantag finns. Ett inköp av en samarbetsplattform avgör inte i sig om organisationen omfattas.

Utgå från NCSC:s vägledning om omfattning och dokumentera vilka delar av verksamheten, systemen och leverantörerna som berörs. Låt rätt sakkunniga granska bedömningen innan den används som kravbild.

Vilka säkerhetsföreskrifter ska ni utgå från?

MCFFS 2026:11 om säkerhetsåtgärder och ledningens utbildning gäller sedan 1 oktober 2026 för de verksamheter som ska tillämpa föreskrifterna. NCSC beskriver ett systematiskt och riskbaserat arbete med organisatoriska, tekniska, driftsrelaterade och fysiska åtgärder. Föreskrifterna anger en lägsta nivå; den egna riskbilden kan kräva mer.

Alla sektorer följer inte samma regler om säkerhetsåtgärder. Verksamheter under PTS tillsyn tillämpar enligt NCSC endast kapitlet om ledningens utbildning i MCFFS 2026:11; i övrigt gäller PTS föreskrifter eller EU:s genomförandeförordning. Fastställ därför först vilket regelverk som gäller verksamheten. Molnkontoret kan bidra med underlag om system och kontroller, men verksamhetens rättsliga bedömning behöver göras separat.

Från risk till kontroll och evidens

En användbar start är att koppla ett verkligt informationsflöde till en risk, en ansvarig och ett underlag som går att följa upp. Tabellen är exempel på arbetsfrågor för en digital arbetsyta, inte en fullständig eller universell kravlista.

Vad betyder det för en samarbetsyta?

En arbetsyta för dokument, möten och externa parter är bara en del av verksamhetens säkerhetsarbete. Innan införande behöver ni klargöra vem som äger informationen, hur interna och externa användare får åtkomst, var data finns och vem som sköter backup, uppdateringar och support.

Vald driftmodell och integrationer påverkar vilka parter som kan hantera informationen. Dessa val bör beskrivas som kundspecifika beslut. En teknisk komponent eller en svensk serverplats är inte i sig ett bevis på att verksamheten uppfyller cybersäkerhetslagen.

Incidenter, återställning och ansvar

Skilj en vanlig supportfråga från en säkerhetshändelse. Bestäm vem som tar emot signalen, vem som får besluta om åtgärder och hur händelsen dokumenteras och eskaleras. När personuppgifter kan vara berörda behöver dataskyddsansvariga också kunna kopplas in.

Beskriv vad som ska kunna återställas och testa ett avgränsat scenario. Ett dokumenterat test ger bättre beslutsunderlag än att bara ange att backup finns. Vilka incidenter som ska rapporteras och enligt vilka tidsfrister måste bedömas för den aktuella verksamheten.

Säkerhetsrevision och skanning i tillsynen

NCSC beskriver MCFFS 2026:12 om säkerhetsrevision och säkerhetsskanning som gemensamma regler för verktyg som tillsynsmyndigheter kan använda. Det ska inte läsas som ett generellt krav på varje kund att köpa en separat skanningstjänst.

Tester och granskningar kan ändå vara relevanta utifrån systemets risker och de regler som gäller för verksamheten. Avgränsa syfte, ansvar, omfattning och hur resultaten ska hanteras innan en sådan insats beställs.

Välj ett första steg som går att följa upp

Börja med ett kritiskt flöde eller en samarbetsyta. Kartlägg information, användare, leverantörer och befintliga kontroller. Identifiera sedan vem som äger åtgärderna, vilket underlag som saknas och när uppföljning ska ske.

Molnkontorets IT-ledning och systemkartläggning kan ge en sammanhållen nulägesbild. Planerad förvaltning kan hjälpa till att hålla ansvar och rutiner aktuella. Om behovet gäller dokument och samverkan kan Workspace utformas för det avgränsade användningsfallet.