Vad innebär MCF:s nya cybersäkerhetsföreskrifter i praktiken?
Myndigheten för civilt försvar (MCF) har beslutat om nya föreskrifter och allmänna råd om säkerhetsåtgärder och ledningens utbildning för väsentliga och viktiga verksamhetsutövare. Föreskrifterna, MCFFS 2026:11, beslutades den 15 juni 2026 och träder i kraft den 1 oktober 2026. Sedan den 1 juli 2026 har Nationellt cybersäkerhetscenter (NCSC) vid Försvarets radioanstalt (FRA) tagit över den cybersäkerhetsverksamhet som tidigare bedrevs av MCF. NCSC ansvarar nu för information, stöd och vägledning kopplat till cybersäkerhetslagen och de nya föreskrifterna.
Föreskrifterna kompletterar cybersäkerhetslagen och konkretiserar vilka säkerhetsåtgärder verksamhetsutövare behöver vidta för att upprätthålla en lämplig nivå av cybersäkerhet. Kraven omfattar bland annat organisatoriska, tekniska, driftrelaterade och fysiska säkerhetsåtgärder samt krav på ledningens utbildning.
En central utgångspunkt är att cybersäkerhetsarbetet ska vara systematiskt och riskbaserat. Verksamhetsutövaren ska identifiera och analysera krav och risker, införa säkerhetsåtgärder och därefter följa upp, utvärdera och vid behov förbättra dem. Arbetet ska integreras i organisationens befintliga styrning.
Organisatorisk säkerhet
Ledningen ska fastställa mål och inriktning för cybersäkerheten, säkerställa tillräckliga resurser och följa upp arbetet. Verksamhetsutövaren ska också utse roller eller ansvarsområden för bland annat samordning av cybersäkerhetsarbetet, informationsägarskap och systemägarskap.
Riskhanteringen ska bland annat omfatta informationsklassning, riskanalyser, kriterier för riskacceptans och dokumenterade åtgärdsplaner. Ledningen ska dessutom få relevant underlag för att kunna styra och övervaka cybersäkerhetsarbetet.
Föreskrifterna innehåller även krav på personalens kompetens och utbildning. Ledningen ska genomgå utbildning som ger den kunskap som krävs för att kunna styra cybersäkerhetsarbetet och övervaka säkerhetsåtgärderna.
Tekniska och driftrelaterade säkerhetsåtgärder
Föreskrifterna innehåller ett stort antal konkreta krav på den digitala miljön. Bland annat ska verksamhetsutövaren arbeta med:
• segmentering och säker konfiguration av system,
• behörighetsstyrning och multifaktorsautentisering,
• övervakning och säkerhetsloggning,
• säkerhetsuppdateringar och sårbarhetshantering,
• intrångsdetektering och intrångsskydd,
• säkerhetstester och granskningar, samt
• säkerhetskopiering och återställning.
Exempelvis ska multifaktorsautentisering (MFA) användas i flera situationer som anges i föreskrifterna, bland annat vid administrativ åtkomst och extern åtkomst till vissa system. Säkerhetsuppdateringar ska genomföras skyndsamt och mjukvara som inte längre får säkerhetsuppdateringar ska bytas ut eller uppgraderas. Verksamhetsutövaren ska också kunna testa och granska att de införda säkerhetsåtgärderna faktiskt fungerar och är lämpliga i förhållande till riskerna.
Leverantörer och digitala leveranskedjor
Cybersäkerhetsarbetet omfattar även leverantörer. Innan system förvärvas eller informationsbehandling utkontrakteras ska riskerna bedömas och hanteras. Verksamhetsutövaren ska säkerställa att relevanta cybersäkerhetskrav uppfylls av leverantören och bedöma om kraven kan uppfyllas under hela avtalstiden.
Även befintliga avtal ska ses över. Om möjligt ska avtal som ingåtts före den 1 oktober 2026 kompletteras med nödvändiga cybersäkerhetskrav. Risker i digitala leveranskedjor och från underleverantörer ska också identifieras och hanteras.
Kontinuitet, incidenter och fysisk säkerhet
Verksamhetsutövaren ska ha förmåga att upprätthålla och återställa verksamheten vid störningar. Det innebär bland annat krav på kontinuitetsplanering, prioritering av återställning, alternativa arbetssätt och säkerhetskopiering.
Incidenter och tillbud ska kunna identifieras, hanteras och analyseras. Efter en incident ska verksamheten återställas och åtgärder vidtas för att minska risken för att liknande incidenter inträffar igen.
Föreskrifterna omfattar även fysisk säkerhet. Lokaler där information behandlas ska skyddas mot obehörigt tillträde, förlust och fysisk skada, och behovet av särskilda it- och ot-utrymmen ska identifieras och hanteras.
Vad är nytt?
Den viktigaste förändringen är att verksamhetsutövare får konkretare krav på vilka säkerhetsåtgärder som ska vidtas inom olika delar av cybersäkerhetsarbetet. Kraven omfattar både styrning och organisation och mer tekniska frågor som loggning, MFA, segmentering, säkerhetsuppdateringar och säkerhetstester.
Samtidigt ger de allmänna råden mer praktisk vägledning. De är inte bindande, men ska förtydliga innebörden av lag, förordning och föreskrifter och ge rekommendationer om hur kraven kan tillämpas.
Det innebär att verksamhetsutövare behöver kunna skilja mellan bindande krav och rekommendationer, men också använda de allmänna råden som stöd i det praktiska cybersäkerhetsarbetet.
Vad behöver verksamhetsutövare göra?
Inför ikraftträdandet den 1 oktober 2026 bör verksamhetsutövare bland annat se över:
• om roller, ansvar och styrning för cybersäkerhet är tydligt fördelade,
• om riskanalyser, informationsklassning och åtgärdsplaner är aktuella,
• om tekniska säkerhetsåtgärder motsvarar kraven,
• om cybersäkerhetskrav finns i leverantörsavtal,
• om kontinuitets- och incidenthanteringen är tillräcklig, och
• om säkerhetsåtgärderna följs upp och förbättras regelbundet.
De nya föreskrifterna innebär sammantaget att cybersäkerhetsarbetet blir mer konkret och lättare att omsätta i praktiken. Samtidigt tydliggörs att cybersäkerhet inte enbart handlar om tekniska lösningar, utan om ett sammanhållet och riskbaserat arbete som omfattar hela verksamheten.
För mer information och fortsatt vägledning om cybersäkerhetslagen och föreskrifterna hänvisas till Nationellt cybersäkerhetscenter (NCSC).