Cybersäkerhetslagen och kommuner – krav steg för steg

På den här sidan

Vilka omfattas av cybersäkerhetslagen i kommunsektorn?
Statliga myndigheter
Vad kräver lagen?
Ledningens roll i en kommun
Så kommer ni igång: steg för steg
Vem har tillsyn över kommuner och regioner?
Vad händer om kraven inte följs?
Vanliga frågor
Hur Nisenta kan hjälpa
Källor

Kommuner, regioner och kommunalförbund omfattas av cybersäkerhetslagen oavsett storlek. Här går vi igenom vad lagen kräver och i vilken ordning ni kan ta er an det.

Vilka krav ställer den nya cybersäkerhetslagen på kommuner och myndigheter? Den här guiden handlar om cybersäkerhetslagen och kommuner, regioner och kommunalförbund, och riktar sig till kommunchef, IT-chef, informationssäkerhetssamordnare och förtroendevalda som inte är jurister. Vi går igenom vilka som omfattas, vad lagen kräver, vem som har tillsyn och hur ni kan komma igång. Statliga myndigheter berörs kort i ett eget avsnitt.

Cybersäkerhetslagen (2025:1506) är Sveriges genomförande av EU:s NIS2-direktiv och gäller sedan den 15 januari 2026.

Vilka omfattas av cybersäkerhetslagen i kommunsektorn?

Enligt 1 kap. 3 § gäller lagen för en region, en kommun och ett kommunalförbund. Det finns inget storlekskrav för dem. Nationellt cybersäkerhetscenter (NCSC) skriver att regioner, kommuner och kommunalförbund omfattas oavsett storlek, under sektorn offentlig förvaltning.

Några saker är bra att veta:

Hela kommunen räknas som en verksamhetsutövare. NCSC svarar i sina vanliga frågor att hela kommunen ska anmäla sig som en verksamhetsutövare, inte förvaltning för förvaltning. På samma sätt gäller lagen hela regionen, även för till exempel kollektivtrafiken.
Vissa organ är undantagna. Enligt 1 kap. 14 § gäller lagen inte kommunfullmäktige, regionfullmäktige, förbundsfullmäktige eller förbundsdirektion i ett kommunalförbund.
Kommunala bolag bedöms för sig. NCSC:s sida om vilka som omfattas tar inte upp kommunala bolag särskilt. Ett bolag som till exempel bedriver energi-, vatten- eller avfallsverksamhet behöver därför själv bedöma om det omfattas, utifrån sektor och storlek. Se vilka sektorer som omfattas av NIS2.
Flera sektorer kan vara aktuella. En kommun eller region kan även bedriva sådan verksamhet som finns i lagens bilagor, och kan då ha fler än en tillsynsmyndighet. NCSC bekräftar att en verksamhetsutövare kan ha flera tillsynsmyndigheter.

Väsentlig eller viktig?

Lagen delar in verksamhetsutövare i väsentliga och viktiga. Enligt 1 kap. 9 § räknas en kommun eller region som väsentlig om den är större än ett medelstort företag. Övriga är viktiga verksamhetsutövare. Hur storleken räknas för en kommun eller ett kommunalförbund bör ni stämma av med tillsynsmyndigheten, eftersom vi inte funnit någon närmare vägledning i de källor vi använt.

Statliga myndigheter

För statliga myndigheter gäller lagen om myndigheten har befogenhet att fatta beslut som påverkar rättigheter när det gäller gränsöverskridande rörlighet för personer, varor, tjänster eller kapital (1 kap. 3 §). Lagen gäller också de myndigheter som regeringen bestämmer (1 kap. 8 §). I cybersäkerhetsförordningen (2025:1507) 4 § anges att myndigheter som omfattas av bilaga 1 till förordningen (2022:524) om statliga myndigheters beredskap omfattas, om de inte är undantagna.

Statliga myndigheter är alltid väsentliga verksamhetsutövare (1 kap. 9 §). Lagen gäller inte myndigheter som till övervägande del bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen eller brottsbekämpande verksamhet (1 kap. 12 §), och inte heller regeringen, Regeringskansliet, domstolarna och vissa andra organ (1 kap. 14 §). Kontrollera din egen myndighets status mot förordningen.

Vad kräver lagen?

Kraven är i stort sett desamma som för andra verksamhetsutövare. De viktigaste är:

Krav	Var det står	Kort innebörd
Anmälan	2 kap. 2 §	Anmäl er så snart det kan ske. Ändringar anmäls senast 14 dagar efter att de ägde rum.
Säkerhetsåtgärder	2 kap. 3 §	Lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder utifrån ett allriskperspektiv.
Ledningens utbildning	2 kap. 4 §	De som ingår i ledningen ska genomgå utbildning om säkerhetsåtgärder.
Incidentrapportering	2 kap. 5–8 §	Tidig varning inom 24 timmar, incidentanmälan inom 72 timmar och slutrapport senast en månad efter incidentanmälan.
Information till mottagare	2 kap. 9–10 §	Informera de som använder era tjänster vid betydande incidenter och cyberhot när det är lämpligt.

Säkerhetsåtgärderna ska åtminstone avse tio områden, bland annat riskanalys, incidenthantering, kontinuitets- och krishantering, säkerhet i leveranskedjan, åtkomstkontroll och tillgångsförvaltning samt cyberhygien och utbildning. Läs mer i checklistan för NIS2.

Ledningens roll i en kommun

Cybersäkerhetslagen och Myndigheten för civilt försvars (MCF) föreskrifter MCFFS 2026:11, som gäller från den 1 oktober 2026, lägger ansvar på ledningen. NCSC anger att ledningen i en kommun eller region är kommunstyrelsen respektive regionstyrelsen.

Enligt 3 kap. 4 § i föreskrifterna ska ledningen godkänna och övervaka genomförandet av säkerhetsåtgärderna. Det innebär att ledningen ska säkerställa att:

det finns fastställda mål och inriktning för cybersäkerheten,
ledningens egna uppgifter är tydliggjorda,
det finns resurser för ett systematiskt och riskbaserat cybersäkerhetsarbete,
roller och ansvarsområden har tillräckliga befogenheter och resurser,
ledningen informeras om genomförandet och om nivån på cybersäkerheten vid behov, men minst en gång per år.

Verksamhetsutövaren ska också utse roller för samordning av cybersäkerhetsarbetet, för säkerheten i informationsbehandling (informationsägare) och för säkerheten i system (systemägare). Alla system ska ha en utsedd systemägare.

Utbildningen enligt 2 kap. 1 § i föreskrifterna ska ge ledningen den kunskap som krävs för att fastställa mål och inriktning, bedöma vilka säkerhetsåtgärder som behövs och övervaka genomförandet. NCSC skriver att utbildningen ska vara individuellt anpassad och inte en engångsinsats.

Så kommer ni igång: steg för steg

Bekräfta att ni omfattas och klassa er. Dokumentera hur ni kom fram till att ni omfattas och om ni är väsentliga eller viktiga. Gör gärna självtestet som komplement.
Kartlägg vilka delar av verksamheten som kan omfattas av fler sektorer och om kommunala bolag behöver bedömas separat.
Anmäl er. Anmälan görs till den gemensamma kontaktpunkten (cybersäkerhetsförordningen 5 §), som är Försvarets radioanstalt (FRA, 23 §). Enligt NCSC skickas ett anmälningsformulär från och med den 1 juli 2026 med krypterad e-post till nis2anmalan@ncsc.se, ett mejl per verksamhetsutövare. Anmälan innehåller bland annat organisationsnummer, sektor, om ni är väsentliga eller viktiga samt IP-adresser och domännamn. NCSC skickar kvittens inom två arbetsdagar.
Ge kommunstyrelsen eller regionstyrelsen ett tydligt uppdrag. Ta fram ett beslut om mål, roller och resurser enligt listan ovan, och lägg in årlig uppföljning i styrelsens arbetsår.
Planera och genomför ledningens utbildning. Dokumentera vilka som har utbildats och när.
Gör en gap-analys mot MCFFS 2026:11. Gå igenom föreskrifternas kapitel om organisatoriska, tekniska, driftrelaterade och fysiska säkerhetsåtgärder och sätt en åtgärdsplan. I de allmänna råden pekar MCF på standarderna SS-ISO/IEC 27001 och 27002 som stöd.
Gå igenom leverantörer och avtal. Föreskrifterna kräver att ni värderar risker före förvärv och utkontraktering. Se NIS2-krav på leverantörer.
Förbered incidentrapportering. Betydande incidenter rapporteras till NCSC i incidentrapporteringsverktyget i Cyberportalen, som öppnade den 1 juli 2026. Bestäm vem som bedömer om en incident är betydande, och hur ni håller 24- och 72-timmarsfristerna även utanför kontorstid. Om incidenten också är en personuppgiftsincident gäller dessutom GDPR, se NIS2 och GDPR.
Dokumentera. Spara beslut, analyser, bedömningar, planer och uppföljning, eftersom MCF i de allmänna råden rekommenderar det för tillsynsändamål.

Vem har tillsyn över kommuner och regioner?

Tillsynen över kommuner och regioner utövas av sex länsstyrelser, som var och en ansvarar för ett antal län (cybersäkerhetsförordningen 7–15 §§):

Tillsynsmyndighet	Kommuner och regioner i
Länsstyrelsen i Norrbottens län	Jämtlands, Norrbottens, Västerbottens och Västernorrlands län
Länsstyrelsen i Skåne län	Blekinge, Kronobergs och Skåne län
Länsstyrelsen i Stockholms län	Gotlands och Stockholms län
Länsstyrelsen i Västra Götalands län	Hallands och Västra Götalands län
Länsstyrelsen i Örebro län	Dalarnas, Gävleborgs, Södermanlands, Uppsala, Värmlands, Västmanlands och Örebro län
Länsstyrelsen i Östergötlands län	Jönköpings, Kalmar och Östergötlands län

Länsstyrelserna är enligt samma förordning (9 §) också tillsynsmyndigheter för de statliga myndigheter som omfattas enligt 4 §, med undantag för länsstyrelserna själva, som i stället står under Post- och telestyrelsens tillsyn (8 §). Har en verksamhet flera tillsynsmyndigheter ska de komma överens om hur tillsynen genomförs (16 §).

Vad händer om kraven inte följs?

Tillsynsmyndigheten ska ingripa vid överträdelser, genom föreläggande, sanktionsavgift eller anmärkning (4 kap. 1 §). För en offentlig verksamhetsutövare får sanktionsavgiften vara lägst 5 000 kronor och högst 10 miljoner kronor (4 kap. 10 §). Vid valet av ingripande beaktas bland annat hur allvarlig överträdelsen är och vad verksamhetsutövaren har gjort för att begränsa skadan (4 kap. 2 §).

Möjligheten att förbjuda en person att ha en ledningsfunktion gäller enligt lagtexten enskilda verksamhetsutövare (4 kap. 6 §). NCSC anger i sina vanliga frågor att ett sådant förbud inte kan utfärdas i offentlig förvaltning.

Vanliga frågor

Omfattas små kommuner av cybersäkerhetslagen? Ja. Kommuner, regioner och kommunalförbund omfattas oavsett storlek enligt NCSC. Storleken kan påverka om ni räknas som väsentliga eller viktiga.

Vilka krav ställer cybersäkerhetslagen på kommuner? Kommunen ska anmäla sig, vidta säkerhetsåtgärder, se till att ledningen utbildas, rapportera betydande incidenter och stå under tillsyn. Föreskrifterna MCFFS 2026:11 ger de närmare kraven.

Vem ansvarar för cybersäkerheten i kommunen enligt lagen? Lagen riktar sig till kommunen som verksamhetsutövare. Det är ledningen, i kommunen kommunstyrelsen, som enligt föreskrifterna ska godkänna och övervaka säkerhetsåtgärderna.

Måste vi anmäla oss om vi redan omfattades av den gamla NIS-lagen? Enligt NCSC ska alla verksamhetsutövare som omfattas anmäla sig. Verksamheten avgör själv om den omfattas.

Hur Nisenta kan hjälpa

Om ni vill samla underlag, ansvarsfördelning och uppföljning på ett ställe kan Nisenta fungera som stöd i det löpande arbetet. Börja gärna med självtestet.

Källor

Vill ni se det med er egen verksamhet?

Att komma igång som kund tar några minuter. Ni väljer regelverk, svarar i den takt ni hinner och bygger efterlevnaden steg för steg - utan konsultarvode.

Kom igång som kund Se priser