Incidentrapportering enligt NIS2 i Sverige: frister och rapporteringsskyldighet

Vad kräver cybersäkerhetslagen (2025:1506) vid en incident?

Genom cybersäkerhetslagen (2025:1506) genomförs NIS2-direktivet i svensk rätt. Lagen ålägger både väsentlig verksamhetsutövare och viktig verksamhetsutövare en skyldighet att rapportera betydande incidenter till behörig myndighet.

En incident anses vara betydande om den (2 kap. 5 §):

• har orsakat eller kan orsaka allvarlig driftsstörning för den erbjudna tjänsten,
• har orsakat eller kan orsaka ekonomisk skada för verksamhetsutövaren, eller
• har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande skada.

Rapporteringsskyldigheten hänger ihop med de säkerhetsåtgärder som krävs enligt 2 kap. 3 § (allriskperspektiv med tio åtgärdsområden) och med ledningens ansvar och utbildningskrav enligt 2 kap. 4 §. Att rapportera en incident är alltså inte en isolerad uppgift, utan en del av hela ditt cybersäkerhetsarbete.

Frister: 24 timmar, 72 timmar och slutrapport

Cybersäkerhetslagen delar upp rapporteringen i flera steg (2 kap. 5–8 §§). Fristerna ser ut så här:

Om incidenten fortfarande pågår när slutrapporten annars skulle lämnas, lämnas i stället en lägesrapport och därefter en slutrapport inom en månad efter att incidenten har hanterats (2 kap. 8 §).

Observera: Sverige följer i lagtexten en modell där den första upplysningen ska ske inom 24 timmar och den fullständiga incidentanmälan inom 72 timmar (24 timmar för betrodda tjänster). Räkna alla frister från den tidpunkt då verksamhetsutövaren fick kännedom om incidenten.

Vilken myndighet tar emot rapporten?

Incidentrapportering enligt 2 kap. 5–8 §§ ska göras till CSIRT-enheten (förordning 2025:1507 § 6).

Lagen själv anger inte myndigheten utan delegerar frågan (1 kap. 17 §): den myndighet som regeringen bestämmer ska vara gemensam kontaktpunkt, cyberkrishanteringsmyndighet och CSIRT-enhet. Vem detta är regleras i förordning (2025:1507):

• Till och med 2026-06-30: Myndigheten för civilt försvar (MCF) är CSIRT-enhet och gemensam kontaktpunkt.
• Från och med 2026-07-01: Försvarets radioanstalt (FRA), som driver det nationella cybersäkerhetscentret, är CSIRT-enhet och gemensam kontaktpunkt.

Den gemensamma kontaktpunkten utövar en sambandsfunktion för gränsöverskridande samarbete med andra medlemsstater, kommissionen och Enisa (förordning 2025:1507 § 24).

Den exakta tekniska rapporteringskanalen/portalen till CSIRT-enheten fastställs av myndigheten och i föreskrifter och framgår inte av lag- eller förordningstexten ensam utan bekräftas hos den tillsynsmyndighet som gäller för din sektor.

Tillsyn och sanktioner om du inte rapporterar

Tillsynen i Sverige är sektorsindelad (3 kap. 1 §). Vilken tillsynsmyndighet som gäller beror på din sektor enligt förordning (2025:1507) §§ 7–8, till exempel:

• Post- och telestyrelsen – digital infrastruktur, domännamnsregistreringstjänster
• Statens energimyndighet – energi
• Finansinspektionen – bankverksamhet, finansmarknadsinfrastruktur
• Transportstyrelsen – transporter
• Läkemedelsverket – hälso- och sjukvård, medicintekniska produkter
• Livsmedelsverket – dricksvatten, avloppsvatten, livsmedel

En tillsynsmyndighet får besluta om sanktionsavgift vid överträdelse av skyldigheterna i 2 kap. 1–10 §§, vilket omfattar rapporteringsplikten (4 kap. 9 §). Avgiften bestäms till lägst 5 000 kronor och högst (4 kap. 10 §):

• väsentlig verksamhetsutövare: det högsta av 2 procent av den totala globala årsomsättningen närmast föregående räkenskapsår eller ett belopp i kronor motsvarande 10 000 000 euro,
• viktig verksamhetsutövare: det högsta av 1,4 procent av den totala globala årsomsättningen eller ett belopp motsvarande 7 000 000 euro,
• offentlig verksamhetsutövare: 10 000 000 kronor.

För viktiga verksamhetsutövare får tillsynsåtgärder enligt vissa paragrafer vidtas endast när myndigheten har anledning att anta att lagen inte följs (3 kap. 2 §).

Förbered dig innan incidenten inträffar

Fristerna är korta. När en betydande incident väl har inträffat har du bara 24 timmar till den första upplysningen — tid som snabbt tar slut om du saknar rutiner. Förbered därför:

• Kontaktväg till CSIRT-enheten och interna larmrutiner.
• Tydlig ansvarsfördelning för vem som klassar en incident som betydande enligt 2 kap. 5 §.
• Dokumentation som gör det möjligt att lämna incidentanmälan (72 h) och slutrapport (en månad).
• Anmälan/registrering hos behörig myndighet så snart det kan ske, och anmälan av förändringar senast 14 dagar efter att de ägde rum (2 kap. 2 §).

Vill du veta om din organisation omfattas som väsentlig eller viktig verksamhetsutövare och var era luckor finns? Använd vår kostnadsfria tillämplighetskontroll och vår kostnadsfria kontroll av NIS2-kraven för att kartlägga era skyldigheter enligt NIS2 och cybersäkerhetslagen.