Den 1 oktober 2026 passerar införandet av den svenska cybersäkerhetslagen en viktig gräns. Själva lagen trädde i kraft redan den 15 januari och reglerna för incidentrapportering började gälla den 1 juli, men från och med i dag gäller också de föreskrifter som mer konkret anger hur väsentliga och viktiga verksamhetsutövare ska arbeta med säkerhetsåtgärder, hur deras ledningar ska utbildas och hur säkerhetsrevisioner och säkerhetsskanningar ska kunna genomföras.
Det kan låta som ytterligare ett steg i genomförandet av EU NIS2-direktiv, men ur ett totalförsvarsperspektiv är förändringen större än så. Cyberförsvar har länge präglats av att staten kunnat ge råd, rekommendationer och metodstöd samtidigt som den faktiska säkerhetsnivån varierat kraftigt mellan organisationer; den nya regleringen förskjuter tyngdpunkten mot definierade skyldigheter och möjlighet till tillsyn och ingripanden när kraven inte uppfylls.
Cybersäkerhetslagen omfattar verksamhetsutövare inom 18 sektorer. Bland dessa finns sådana funktioner som energi, transporter, bankverksamhet och dricksvatten, alltså verksamheter där en cyberincident snabbt kan få fysiska och samhälleliga konsekvenser långt utanför den angripna organisationens egna IT-system.
Det nya ligger också i vad organisationerna förväntas skydda sig mot. NCSC beskriver ett systematiskt och riskbaserat arbete där organisationen kontinuerligt ska identifiera risker, införa och följa upp säkerhetsåtgärder och förbättra skyddet, men kraven omfattar uttryckligen också kontinuitetshantering och säkerhet i leveranskedjorna. Cyberfrågan flyttas därmed närmare den bredare totalförsvarsfrågan om hur samhällsviktig verksamhet faktiskt fortsätter fungera när delar av dess normala stödsystem slås ut.
Det är en viktig förändring. Ett elnätsföretags cybersäkerhet är inte bara en fråga om att skydda servrar och information, utan om att elen ska fortsätta levereras; ett vattenbolags säkerhet handlar ytterst om att dricksvatten fortfarande ska nå befolkningen och ett transportsystems digitala motståndskraft om att människor och varor ska kunna förflyttas även när ordinarie digitala funktioner störs.
Samma perspektiv gäller kommuner och regioner. Digitaliseringen har skapat betydande effektivitetsvinster, men samtidigt gjort verksamheter inom vård, omsorg, administration och teknisk försörjning beroende av system vars bortfall snabbt får konsekvenser i den fysiska världen. Regeringen har därför från början beskrivit den nya cybersäkerhetslagen som ett sätt att stärka både cybersäkerheten och motståndskraften i den offentliga verksamheten.
En av de mest betydelsefulla delarna i den reglering som nu börjar gälla är därför att cybersäkerheten uttryckligen lyfts in i organisationernas ledning och styrning. Ledningen ska känna till verksamhetens cyberrisker, följa det systematiska säkerhetsarbetet, besluta om mål och resurser och se till att roller, mandat och kompetens är tydligt fördelade; det finns dessutom särskilda utbildningskrav för personer i ledande ställning.
Det förändrar ansvarsförhållandet. En organisation kan inte längre betrakta cybersäkerhet som en fråga som i huvudsak hanteras av en IT-avdelning eller en informationssäkerhetsfunktion, eftersom beslut om redundans, investeringar, leverantörer, bemanning, reservrutiner och acceptabel risk ytterst är verksamhetsbeslut som påverkar organisationens möjlighet att utföra sitt uppdrag.
Här finns en tydlig parallell till den övriga utvecklingen av totalförsvaret. När en kommun planerar reservkraft, när en region bygger sjukvårdsberedskap eller när ett företag säkerställer alternativa leverantörer handlar problemet i grunden om samma sak: att identifiera vilka funktioner som absolut måste fungera, vilka beroenden de har och vilka resurser som krävs när de normala förutsättningarna inte längre finns.
Det digitala beroendet gör emellertid gränserna mellan organisationerna mindre tydliga. En kommun kan ha god intern säkerhet men samtidigt vara beroende av externa molntjänster, teleoperatörer, identitetslösningar, journalsystem och andra leverantörer, och en allvarlig störning hos en enda leverantör kan påverka ett stort antal verksamheter samtidigt. Det är därför betydelsefullt att NCSC uttryckligen inkluderar leverantörskedjan i det riskbaserade säkerhetsarbetet.
Samtidigt ska regleringen inte tolkas som att svenska samhällsviktiga verksamheter från och med i dag plötsligt blivit cybersäkra. Föreskrifterna skapar krav och verktyg för att höja lägstanivån, men den faktiska motståndskraften kommer fortfarande att bero på hur väl varje organisation identifierar sina verkliga beroenden, avsätter resurser, genomför åtgärder och framför allt prövar om reservrutiner och återställningsförmåga fungerar under realistiska förhållanden.
Här blir kopplingen till totalförsvaret särskilt viktig. Under ett väpnat angrepp eller en allvarlig säkerhetspolitisk kris måste Sverige räkna med att cyberangrepp inte sker isolerat utan kan kombineras med sabotage, informationspåverkan, störningar i fysisk infrastruktur och militära operationer. Ett system som fungerar vid ett normalt IT-haveri behöver därför inte nödvändigtvis fungera när flera beroenden angrips samtidigt.
Den nya regleringen bör därför ses som en grund snarare än ett slutmål. Dess viktigaste effekt kan bli att den tvingar fram den organisatoriska koppling mellan cyberrisk, kontinuitet och verksamhetsansvar som länge varit nödvändig men som inte alltid varit självklar.
Det är också i den riktningen som det svenska civila försvaret utvecklas i övrigt. Den nationella strategin för motståndskraft i samhällsviktig verksamhet utgår från att motståndskraft inte kan byggas av staten ensam, eftersom en stor del av de funktioner som måste fungera i kris och krig bedrivs av kommuner, regioner och privata företag; cyberregleringen ger nu denna princip en mer konkret och tvingande form inom det digitala området.
För Sveriges totalförsvar innebär den 1 oktober därför något mer än att ytterligare två föreskrifter börjar gälla. Det är ett steg från ett synsätt där cybersäkerhet främst varit en specialistfråga till ett system där ledningar för samhällsviktiga verksamheter själva måste kunna visa hur cyberriskerna hanteras, hur verksamheten hålls igång när systemen störs och hur beroenden till andra aktörer är under kontroll.
Källförteckning
Nationellt cybersäkerhetscenter – Föreskrifter
https://www.ncsc.se/sv/regler-och-foreskrifter/
Nationellt cybersäkerhetscenter – Säkerhetsåtgärder enligt cybersäkerhetslagen
https://www.ncsc.se/sv/radgivning-och-stod/cybersakerhetslagen-nis2/sakerhetsatgarder-enligt-cybersakerhetslagen/
Nationellt cybersäkerhetscenter – Cybersäkerhetslagen för ledningen
https://www.ncsc.se/sv/radgivning-och-stod/cybersakerhetslagen-nis2/cybersakerhetslagen-for-ledningen/
Nationellt cybersäkerhetscenter – Det här är cybersäkerhetslagen
https://www.ncsc.se/sv/radgivning-och-stod/cybersakerhetslagen-nis2/det-har-ar-cybersakerhetslagen/
Sveriges riksdag – Cybersäkerhetslag (2025:1506)
https://www.riksdagen.se/sv/dokument-och-lagar/dokument/svensk-forfattningssamling/cybersakerhetslag-20251506_sfs-2025-1506/
Regeringen – Ett starkt skydd för nätverks- och informationssystem – en ny cybersäkerhetslag
https://www.regeringen.se/rattsliga-dokument/proposition/2025/10/prop.-20252628/