NIS2 incidentrapportering – 24 timmar, 72 timmar, en månad

På den här sidan

Vem måste rapportera incidenter?
När är en incident betydande?
De tre stegen: 24 timmar, 72 timmar och en månad
Till vem och hur rapporterar ni?
Information till kunder och mottagare
Personuppgifter: ofta två anmälningar
Så förbereder ni er steg för steg
Vad händer om ni inte rapporterar?
Vanliga frågor
Hjälp på vägen
Källor

Den som drabbas av en betydande incident ska rapportera i tre steg: upplysning inom 24 timmar, incidentanmälan inom 72 timmar och slutrapport inom en månad.

NIS2 incidentrapportering är den skyldighet som gör att myndigheterna får veta när en verksamhet drabbas av en allvarlig it-incident. I Sverige regleras den i cybersäkerhetslagen (2025:1506) och i Myndigheten för civilt försvars (MCF) föreskrifter MCFFS 2026:8. Den här guiden är till för VD, IT-chef och ekonomiansvarig som vill veta vad som ska rapporteras, när, till vem och hur ni förbereder er. Den är inte skriven för jurister.

Rapporteringen gäller inte alla incidenter, bara de som är betydande. Att bedöma det är ofta det svåraste steget, så vi börjar där.

Vem måste rapportera incidenter?

Skyldigheten gäller verksamhetsutövare som omfattas av cybersäkerhetslagen, både väsentliga och viktiga. Vilka som omfattas beskriver vi i guiden Vilka sektorer omfattas av NIS2?. Att anmäla verksamheten till myndigheten är en annan skyldighet, som vi går igenom i NIS2 anmälan.

Skyldigheten ligger på verksamhetsutövaren. Även om driften är utlagd till en leverantör är det ni som har rapporteringsplikten.

Vissa verksamheter följer andra regler. MCFFS 2026:8 anger att reglerna om vad som är en betydande incident (3–4 kap.) inte gäller sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av it-tjänster (mellan företag), post- och budtjänster samt rymden. NCSC skriver att digital infrastruktur och digitala leverantörer följer en EU-genomförandeförordning och att telekom, rymd samt post och bud följer föreskrifter från Post- och telestyrelsen. Hör till en sådan sektor? Kontrollera då vilka regler som gäller för just er.

När är en incident betydande?

Lagen definierar en incident som en händelse som undergräver tillgängligheten, autenticiteten, riktigheten eller konfidentialiteten hos uppgifter eller tjänster i nätverks- och informationssystem (1 kap. 2 §). Betydande är den om den har orsakat eller kan orsaka allvarlig driftsstörning eller ekonomisk skada för er, eller har påverkat eller kan påverka andra personer genom att vålla betydande skada (2 kap. 5 § andra stycket).

MCFFS 2026:8 gör detta mätbart. De generella kriterierna (3 kap.) är bland annat:

Typ av konsekvens	Kriterium i föreskriften
Allvarlig driftstörning	Sektorskritiska system otillgängliga eller nedsatta så att verksamheten bara kunnat bedrivas i begränsad utsträckning i mer än 12 timmar, eller att personalen behövt alternativa arbetssätt i mer än 48 timmar
Allvarlig driftstörning	Information i behov av utökat skydd har blivit tillgänglig för obehöriga, förvanskats eller förstörts
Ekonomisk skada	Incidentens samlade kostnad överstiger fem procent av årsomsättningen föregående räkenskapsår (för offentlig förvaltning: anslag eller totala intäkter)
Skada för andra	Information som ni behandlar för en annan juridisk person eller minst 500 fysiska personer har blivit tillgänglig för obehöriga, förvanskats eller förstörts
Skada för andra	Föroreningsskada, eller att incidenten lett till allvarlig personskada, sjukdom eller dödsfall
Återkommande incidenter	Minst två incidenter inom sex månader med samma grundorsak som tillsammans orsakat ekonomisk skada enligt ovan

Det finns också sektorsspecifika tröskelvärden i 4 kap. För offentlig förvaltning är gränserna lägre: mer än fyra timmar med begränsad verksamhet eller mer än tolv timmar med alternativa arbetssätt. Även energi, transport, hälso- och sjukvård samt vatten har egna kriterier. Läs kapitlet för er sektor.

Kriterierna räknar också med att incidenten kan orsaka konsekvenserna, till exempel när ett betydande cyberhot eller en betydande sårbarhet har uppstått inom era system. Vid ekonomisk skada ska ni räkna med både direkta och indirekta kostnader: återställning av information och system, externa rådgivare och it-forensik, extra personalkostnader, uteblivna avtalsförpliktelser och uteblivna intäkter (3 kap. 5 §). Går skadan inte att fastställa vid rapporteringen ska ni uppskatta den.

De tre stegen: 24 timmar, 72 timmar och en månad

Tidsfristerna räknas i föreskriften från att ni har identifierat incidenten som betydande. Lagtexten talar om att verksamhetsutövaren har fått kännedom om incidenten. Utgå därför från att tiden börjar löpa så snart ni vet eller har anledning att förstå att incidenten uppfyller kriterierna. Rapportera hellre tidigt än sent. Lagen kräver alltid att det sker så snart det kan ske.

Steg	Senast	Innehåll (enligt MCFFS 2026:8, 2 kap.)
1. Upplysning (tidig varning)	24 timmar	Namn, kontaktuppgifter och organisationsnummer. Om incidenten pågår, händelseförlopp, hur och när den upptäcktes, misstanke om avsiktligt skadliga eller olagliga handlingar, ursprung hos leverantör, påverkan på verksamheten, konsekvenser och risk för gränsöverskridande konsekvenser. Uppgifterna kan bygga på en preliminär bedömning.
2. Incidentanmälan	72 timmar	Uppdatering av steg 1 samt när incidenten inträffade, när den upphörde eller hur länge den väntas pågå, bedömd orsak, påverkan på system, angreppsindikatorer och påverkan på information i behov av utökat skydd, i tillämpliga fall
3. Slutrapport	En månad efter incidentanmälan, eller en månad efter att incidenten hanterats	Slutlig bedömning av konsekvenserna, så långt möjligt grundorsak, samt vidtagna och planerade tekniska och organisatoriska åtgärder

Särskilda regler gäller för vissa verksamheter. Den som tillhandahåller betrodda tjänster ska lämna incidentanmälan inom 24 timmar i stället för 72 (2 kap. 6 § i lagen).

Är incidenten fortfarande pågående efter en månad ska ni i stället för slutrapport lämna en lägesrapport. Den ska förklara varför incidenten pågår, uppskatta hur länge den väntas fortsätta, ange om verksamheten fortfarande påverkas och, i tillämpliga fall, ge angreppsindikatorer. Slutrapporten lämnas därefter inom en månad efter att incidenten har hanterats (2 kap. 8 § i lagen). På begäran av myndigheten ska ni också lämna en delrapport med statusuppdateringar (2 kap. 7 §).

Till vem och hur rapporterar ni?

Enligt cybersäkerhetsförordningen (2025:1507) 6 § ska incidentrapporteringen göras till CSIRT-enheten, och Försvarets radioanstalt (FRA) är CSIRT-enhet (31 §). FRA:s Nationellt cybersäkerhetscenter (NCSC) tar emot rapporterna. Enligt NCSC rapporteras betydande incidenter i en webbaserad cyberportal som öppnade den 1 juli 2026, och NCSC vidarebefordrar rapporten till rätt tillsynsmyndighet. Föreskriften anger att uppgifterna ska lämnas på det sätt och via de kontaktvägar som FRA har anvisat (2 kap. 1 §).

Portalen utvecklas löpande enligt NCSC. Kontrollera därför aktuell länk och rutin på NCSC:s sida om incidentrapportering innan ni behöver den. För stöd under en pågående incident anger NCSC CERT-SE på telefon 010-382 80 00 och cert@cert.se.

Statliga myndigheter som redan har rapporterat samma incident enligt förordningen (2022:524) om statliga myndigheters beredskap ska komplettera sina rapporter inom tidsfristerna i cybersäkerhetslagen (2 kap. 2 §).

Information till kunder och mottagare

Rapporteringen till myndigheten är inte allt. Verksamhetsutövare ska, när det är lämpligt, så snart det kan ske informera mottagarna av sina tjänster om en betydande incident som sannolikt påverkar tjänsterna (2 kap. 9 §). Vid ett betydande cyberhot ska ni informera de mottagare som kan påverkas om skydds- och motåtgärder (2 kap. 10 §).

MCFFS 2026:8 (5 kap.) anger vad informationen ska innehålla: vad incidenten eller hotet består i och, i tillämpliga fall, vilka åtgärder mottagarna behöver vidta och vad som kan hända om de inte gör det. Informationen ska inte lämnas om den kan försvåra hanteringen av incidenten eller förvärra konsekvenserna.

Personuppgifter: ofta två anmälningar

En incident kan också vara en personuppgiftsincident enligt GDPR. Då gäller en separat anmälan till Integritetsskyddsmyndigheten (IMY), normalt inom 72 timmar efter att ni fått vetskap om den (artikel 33 i GDPR). De två anmälningarna ersätter inte varandra. Tillsynsmyndigheten enligt cybersäkerhetslagen ska samarbeta med IMY vid incidenter som även är personuppgiftsincidenter (förordningen 18 §). Läs mer i Personuppgiftsincident enligt GDPR.

Så förbereder ni er steg för steg

Utse ansvariga. Bestäm vem som bedömer om en incident är betydande, vem som rapporterar och vem som är ersättare. Frister räknas i timmar, även under helger.
Gå igenom kriterierna för er sektor. Skriv ned tröskelvärdena i 3–4 kap. i MCFFS 2026:8 som en enkel beslutsguide för er incidenthantering.
Ta reda på vilka system som är sektorskritiska. Kriterierna utgår från dem. Ni hittar dem i er riskanalys.
Sätt rutiner för att dokumentera från start. Tidpunkter, händelseförlopp, vad som upptäcktes och hur. Uppgifterna behövs i alla tre rapporterna.
Reglera leverantörer. Ställ krav på att leverantörer meddelar er snabbt vid incidenter. Utan det kan ni inte hålla 24-timmarsfristen. Se NIS2-krav på leverantörer.
Förbered kundinformationen. Ha en mall för vad ni berättar för kunder och mottagare.
Öva. Gå igenom ett scenario med ledningen och mät hur lång tid bedömningen och rapporteringen tar.

Vad händer om ni inte rapporterar?

Tillsynsmyndigheten ska ingripa om en verksamhetsutövare åsidosatt sina skyldigheter enligt 2 kap. 1–10 §§ (4 kap. 1 §). Att inte ha fullgjort rapporterings- eller informationsskyldigheten, eller att ha lämnat falska eller grovt oriktiga uppgifter vid incidentrapportering, räknas som en allvarlig överträdelse (4 kap. 3 §). Ingripandet kan vara ett föreläggande (som kan förenas med vite), en ansökan om förbud att inneha ledningsfunktion, en sanktionsavgift eller en anmärkning. Hur myndigheterna kommer att bedöma enskilda fall i praktiken går ännu inte att säga.

Vanliga frågor

Vad innebär NIS2 incidentrapportering i praktiken?

Ni ska rapportera betydande incidenter i tre steg: en upplysning inom 24 timmar, en incidentanmälan inom 72 timmar och en slutrapport senast en månad efter incidentanmälan. Rapporten lämnas via de kontaktvägar som FRA anvisar, i dag NCSC:s cyberportal.

Vilka incidenter ska rapporteras enligt NIS2?

Bara betydande incidenter. De bedöms mot kriterierna i 3–4 kap. i MCFFS 2026:8: allvarlig driftsstörning, ekonomisk skada eller betydande skada för andra. En incident som inte når tröskelvärdena behöver inte rapporteras, men det kan ändå finnas skäl att utreda och dokumentera den.

Till vem ska man rapportera incidenter enligt cybersäkerhetslagen?

Till CSIRT-enheten, som är FRA. I praktiken tar NCSC emot rapporterna via sin cyberportal och skickar dem vidare till tillsynsmyndigheten för er sektor. Ni rapporterar alltså inte separat till tillsynsmyndigheten.

Räknas 24 timmar från att incidenten inträffade?

Nej. Föreskriften räknar från att ni har identifierat incidenten som betydande, och lagtexten från att ni fått kännedom om incidenten. Skriv ned tidpunkten för er bedömning, så att ni kan visa hur fristen räknats.

Hjälp på vägen

Vill ni ha ordning på ansvar, kriterier och dokumentation innan något händer kan Nisenta hjälpa er att samla underlaget. Börja annars med vår checklista för NIS2.

Källor

Vill ni se det med er egen verksamhet?

Att komma igång som kund tar några minuter. Ni väljer regelverk, svarar i den takt ni hinner och bygger efterlevnaden steg för steg - utan konsultarvode.

Kom igång som kund Se priser