NIS2 incidentrapportering i Sverige – praktisk steg-för-steg-guide

Steg 1: När utlöses rapporteringsskyldigheten?

Rapporteringsplikten i cybersäkerhetslagen (2025:1506) utlöses vid en betydande incident. Definitionen står i 2 kap. 5 §: en incident ska anses vara betydande om den

• har orsakat eller kan orsaka allvarlig driftsstörning för den erbjudna tjänsten, eller
• har orsakat eller kan orsaka ekonomisk skada för den berörda verksamhetsutövaren, eller
• har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande skada.

Lägg märke till formuleringen "kan orsaka". Du behöver alltså inte vänta på att skadan har inträffat — en trovärdig risk för allvarlig driftsstörning räcker för att klockan börjar ticka. Klockan startar när verksamhetsutövaren har fått kännedom om incidenten, inte när incidenten inträffade.

Detta gäller både väsentlig verksamhetsutövare och viktig verksamhetsutövare enligt klassificeringen i 1 kap. 9 §. Skillnaden mellan kategorierna påverkar tillsynen och sanktionsnivån, inte om du måste rapportera.

En viktig praktisk fråga: om det i annan lag eller författning finns krav på incidentrapportering vars verkan minst motsvarar skyldigheterna i 2 kap. 3–10 §§, ska de bestämmelserna gälla i stället (1 kap. 10 §). Sektorsspecifika regelverk kan alltså ta över — bedömningen görs mot omfattning, tillsyn och sanktioner.

Praktiskt tips: definiera i förväg, i din incidenthanteringsrutin (ett av de tio åtgärdsområdena i 2 kap. 3 §), vem som fattar beslutet "betydande eller inte" och hur beslutet dokumenteras med tidsstämpel.

Steg 2: Vem ska du rapportera till?

Cybersäkerhetslagen pekar inte själv ut myndigheten. Enligt 1 kap. 17 § ska "den myndighet som regeringen bestämmer" vara gemensam kontaktpunkt, cyberkrishanteringsmyndighet och enhet för hantering av it-säkerhetsincidenter (CSIRT-enhet). Myndigheterna anges i förordning (2025:1507).

• Incidentrapportering enligt 2 kap. 5–8 §§ ska göras till CSIRT-enheten (förordning 2025:1507 § 6).
• CSIRT-enhet till och med 2026-06-30: Myndigheten för civilt försvar (förordning 2025:1507 § 31).
• CSIRT-enhet från och med 2026-07-01: Försvarets radioanstalt (FRA), som driver det nationella cybersäkerhetscentret (förordning 2025:237).
• Gemensam kontaktpunkt (SPOC) följer samma övergång: MCF t.o.m. 2026-06-30, därefter FRA (förordning 2025:1507 § 23).

Tillsynen är en annan sak än rapporteringen. Den är sektorsvis enligt 3 kap. 1 § och förordning (2025:1507) §§ 7–8 — till exempel Post- och telestyrelsen för digital infrastruktur, Finansinspektionen för bankverksamhet och finansmarknadsinfrastruktur, Statens energimyndighet för energi, Läkemedelsverket och Inspektionen för vård och omsorg inom hälso- och sjukvård samt Livsmedelsverket för dricksvatten, avloppsvatten och livsmedel. Vilken tillsynsmyndighet som är din kräver en bedömning mot hela kartläggningen i förordning (2025:1507) §§ 7–22.

Den exakta tekniska rapporteringskanalen (portal, e-tjänst, formulär) framgår inte av lag- eller förordningstexten ensam utan fastställs av myndigheten och i föreskrifter: [Bekräfta detta: FRA (Försvarets radioanstalt) + sektorsvisa tillsynsmyndigheter (officiell källa).]. Skaffa och verifiera kanalen innan en incident inträffar — 24 timmar är för kort tid för att leta kontaktväg.

Steg 3: Fyra stadier och deras tidsfrister

Cybersäkerhetslagen delar upp rapporteringen i fyra moment (2 kap. 5–8 §§). Använd tabellen som körschema:

Tre saker som ofta missas i praktiken:

1. Upplysning och anmälan är två separata skyldigheter. Att ha ringt eller mejlat inom 24 timmar ersätter inte incidentanmälan enligt 6 §. 2. Betrodda tjänster har kortare frist. Där sammanfaller anmälan med upplysningen på 24 timmar. 3. Fristerna räknas från kännedom, i timmar — inte i arbetsdagar. Bemanningen måste därför fungera även fredag kväll.

Dokumentera tidpunkten för kännedom, vem som bedömde incidenten som betydande och när varje rapport skickades. Det är den dokumentationen som en tillsynsmyndighet efterfrågar.

Steg 4: Vad ska varje rapport innehålla?

Här måste vi vara tydliga med källorna. Den svenska lagtexten i 2 kap. 5–8 §§ anger tidsfristerna och stadierna, men det utdrag av nationell rätt som ligger till grund för den här guiden specificerar inte innehållet i varje rapport. Det närmare innehållet kan följa av föreskrifter: [Bekräfta detta: FRA (Försvarets radioanstalt) + sektorsvisa tillsynsmyndigheter (officiell källa).].

På denna punkt är det nationella utdraget alltså tyst, och direktiv (EU) 2022/2555 art 23(4) utgör grundnivån. Enligt direktivet ska rapporterna innehålla följande — observera att detta är direktivnivå, inte en formulering hämtad ur cybersäkerhetslagen:

• Tidig varning (early warning): där det är tillämpligt, uppgift om ifall incidenten misstänks vara orsakad av olagliga eller illvilliga handlingar och om den kan ha gränsöverskridande verkan.
• Incidentanmälan: uppdatering av de tidigare uppgifterna, en inledande bedömning av incidenten inklusive allvar och konsekvenser samt, om de finns tillgängliga, indikatorer på angrepp.
• Delrapport: relevanta statusuppdateringar på begäran.
• Slutrapport: detaljerad beskrivning av incidenten inklusive allvar och konsekvenser, typ av hot eller grundorsak, vidtagna och pågående begränsande åtgärder samt i förekommande fall gränsöverskridande verkan.

Även skyldigheten att i lämpliga fall informera mottagarna av tjänsten om betydande incidenter som sannolikt påverkar tjänsteleveransen negativt framgår av direktivet (art 23(1)) — det nationella utdraget här är tyst på den punkten. Enligt art 23(1) medför själva anmälan i sig inte ökat ansvar för den som anmäler.

En praktisk konsekvens: bygg mallar för de tre rapporttyperna nu. Att formulera en slutrapport från noll under pågående kris kostar dagar du inte har.

Vad händer om du inte rapporterar i tid?

En tillsynsmyndighet får besluta om sanktionsavgift vid överträdelse av skyldigheterna i 2 kap. 1–10 §§ — vilket omfattar rapporteringsskyldigheterna (4 kap. 9 §). Avgiften bestäms enligt 4 kap. 10 § till lägst 5 000 kronor och högst:

• för en väsentlig verksamhetsutövare: det högsta av 2 procent av den totala globala årsomsättningen närmast föregående räkenskapsår eller ett belopp i kronor motsvarande 10 000 000 euro,
• för en viktig verksamhetsutövare: det högsta av 1,4 procent av den totala globala årsomsättningen eller ett belopp motsvarande 7 000 000 euro,
• för en offentlig verksamhetsutövare: 10 000 000 kronor.

Avgiften betalas till tillsynsmyndigheten inom 30 dagar (4 kap. 13 §). För viktig verksamhetsutövare får tillsynsåtgärder enligt 3 kap. 3, 4, 6 och 7 §§ vidtas endast när tillsynsmyndigheten har anledning att anta att lagen, anslutande föreskrifter eller rättsakter enligt artiklarna 21.5 och 23.11 i NIS 2-direktivet inte följs (3 kap. 2 §).

Glöm inte grundregistreringen: verksamhetsutövare ska så snart det kan ske anmäla sig till den myndighet som regeringen bestämmer, och ändrade förhållanden ska anmälas senast 14 dagar efter förändringen (2 kap. 2 §). Ledningen ska dessutom genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §).

Nästa steg: vet du om din organisation räknas som väsentlig eller viktig verksamhetsutövare enligt 1 kap. 9 §, och vem som är din CSIRT-mottagare och sektorsvisa tillsynsmyndighet? Använd vårt kostnadsfria scoping- och gap-verktyg för att kartlägga din klassificering, dina rapporteringsvägar och luckorna i din incidentrutin — innan du behöver dem på skarp incident.