Om tillsynsmyndigheten skannar er

Den 1 oktober 2026 börjar två föreskrifter gälla, inte en. MCFFS 2026:11 om säkerhetsåtgärder är den som diskuteras. Den andra heter MCFFS 2026:12 och handlar om säkerhetsrevision och säkerhetsskanning.

Den är kort, tjugofyra paragrafer, och skiljer sig från den första på en punkt: skyldigheterna ligger inte på er. Varje ”ska” i MCFFS 2026:12 riktar sig till tillsynsmyndigheten, eller till det oberoende organ eller den externa aktör som myndigheten anlitar. Verksamhetsutövaren är aldrig den som är skyldig något.

Ingen kräver att ni skannar

Varken MCFFS 2026:11 eller MCFFS 2026:12 kräver att en verksamhetsutövare skannar sina egna system. Säger någon att lagen kräver skanning, be dem peka på paragrafen.

Det närmaste man kommer står i 4 kap. 27 § i den första föreskriften, och det handlar inte om skanning utan om säkerhetstester och granskningar:

Säkerhetstester ska användas för att kontrollera att

1. systemen är uppdaterade till senaste godkända version,
2. publicerade sårbarheter är omhändertagna, och
3. valda konfigurationer har införts.

Granskningar ska användas för att kontrollera att införda tekniska och driftrelaterade säkerhetsåtgärder omhändertar systemets behov av cybersäkerhet.

Där står ”ska”, och det gäller system i it-segment. För ot-segment ska behovet bedömas. Paragrafen anger varken metod eller frekvens. Men den anger vad arbetet ska kunna visa, och det är svårt att visa i en miljö man inte har kartlagd. Det är vår slutsats, inte lagtext.

Vad ett säkerhetstest ska kunna visa

Paragrafen säger inget om hur ett test ska gå till. Den säger vad det ska kunna visa, och de tre punkterna är olika svåra att belägga.

Senaste godkända version. Vilken version ett system kör går att läsa av. Vad som är godkänt är däremot ert eget beslut och syns inte i miljön. Testet är jämförelsen mellan de två, och den halva som oftast saknas är den godkända listan.

Publicerade sårbarheter är omhändertagna. Att en version är berörd av en publicerad sårbarhet går att belägga mot leverantörens advisory. Omhändertagen är ett annat påstående, och det kan betyda uppdaterad, kompenserad eller medvetet accepterad. Det som belägger den halvan är två daterade körningar där tillståndet har ändrats emellan.

Valda konfigurationer har införts. Den punkten är den mest praktiska av de tre. Frågan är om konfigurationen gäller, inte om den är beslutad: är segmenten åtskilda, kan it nå ot, går autentiseringsuppgifter i klartext inne i nätet. Det går att se i trafiken utan att någon rör systemen.

Andra ledet faller ofta bort när paragrafen citeras. Granskningar ska kontrollera att åtgärderna omhändertar systemets behov av cybersäkerhet — en bedömning av om skyddet räcker för det behovet. Den bedömningen är er. Vi levererar de tekniska observationerna den vilar på, och vi utför ingen oberoende revision av er efterlevnad. Det är inte heller samma sak som säkerhetsrevisionen i 2026:12, som bara gäller när en tillsynsmyndighet anlitar ett oberoende organ.

Allmänna råd till paragrafen säger att etablerad testmetodik bör användas för både automatiserade och manuella säkerhetstester. Det är ett råd, och det nämner automatiserade tester uttryckligen.

För ot-segment ser tredje stycket annorlunda ut. Där ska verksamhetsutövaren ”identifiera och hantera behovet av” samma sak, vilket är en svagare skyldighet: att bedöma, inte att genomföra. En dokumenterad bedömning att aktiv testning är olämplig i en produktionsmiljö, med passiva belägg i stället, är ett sätt att hantera det. Det är också skälet till att vi aldrig arbetar aktivt mot ot.

Men tillsynen får skanna er

Säkerhetsskanning finns i regelverket som ett tillsynsverktyg. MCFFS 2026:12, 3 kap. 1 §:

Tillsynsmyndigheten ska genom säkerhetsskanning bedöma effektiviteten av genomförda säkerhetsåtgärder i verksamhetsutövarens digitala miljö.

Myndigheten utför skanningen och får anlita en extern aktör för genomförandet (3 kap. 2 §). Den får bara omfatta vad som är nödvändigt för tillsynen, och bara system som ni har rådighet över inom ramen för er verksamhet (3 kap. 3 §). Utkontrakterad drift ligger alltså utanför.

Hur urvalet görs

Enligt 3 kap. 7 § ska urvalet av verksamhetsutövare och system göras utifrån en riskbaserad metod, och bedömningen ska dokumenteras. Vad metoden bör bygga på står i allmänna råd. Det är råd, inte krav. Vid valet av verksamhetsutövare bör betydelsen för viktiga samhällsfunktioner beaktas. Vid valet av system bör följande beaktas:

• om systemet är sektorskritiskt,
• integrationer och beroenden,
• tidigare incidenter eller rapporterade sårbarheter,
• exponering mot internet, och
• teknisk riskprofil, såsom system som är kända för att innehålla sårbarheter.

Fyra av de fem går att ta reda på i förväg. Vilka system som är sektorskritiska ska ni ändå fastställa enligt 4 kap. 10 § i den första föreskriften. Integrationer och beroenden framgår av arkitekturdokumentationen. Exponering mot internet och teknisk riskprofil syns utifrån.

Ingen behöver skanna sig själv för att uppfylla ett krav. Men den som undrar hur sannolikt det är att bli utvald kan gå igenom listan och se hur den egna miljön står sig mot den.

Innan skanningen genomförs

Ska en säkerhetsskanning göras får ni inte bara ett besked om det. Ni ska vara med och förbereda den. 3 kap. 8 § lyder:

Innan en säkerhetsskanning genomförs ska tillsynsmyndigheten, om inte särskilda skäl talar emot, tillsammans med verksamhetsutövaren

1. bedöma risken för driftpåverkan,
2. planera genomförandet så att belastningen på systemen minimeras,
3. ta fram en plan för att kunna avbryta säkerhetsskanningen, och
4. bedöma behovet av att säkerställa förmåga att återställa de system som kan påverkas negativt.

Fyra punkter, och alla fyra ska göras tillsammans med er. Undantaget är om särskilda skäl talar emot.

Kan ni med kort varsel säga vilka av era system som inte tål aktiv belastning? Vet ni vilka som saknar fungerande återställning? Har ni inte svaren, gör myndigheten bedömningen ändå.

3 kap. 6 § lägger till två saker. Vid val av metod ska myndigheten beakta systemens betydelse för verksamheten. Sedan följer andra stycket:

Identifieras betydande risk för negativa konsekvenser för verksamhetsutövaren ska alternativa metoder för säkerhetsskanning övervägas och om säkerhetsskanning alls ska genomföras.

Den som kan beskriva risken i sin egen miljö har alltså något att säga innan metoden bestäms.

Vad ni får veta

Fynden ska ni få utan dröjsmål. 3 kap. 9 §:

Tillsynsmyndigheten ska säkerställa att verksamhetsutövaren utan dröjsmål och på lämpligt sätt informeras om brister och sårbarheter som upptäckts vid säkerhetsskanningen för att skyndsamt kunna vidta åtgärder.

Anlitar myndigheten en extern aktör gäller fyra villkor enligt 3 kap. 5 §. Aktören får bland annat inte använda informationen till något annat än den aktuella skanningen, och informationen ska förstöras när uppdraget är genomfört, om ni inte har avtalat något annat.

Säkerhetsskanning är inte säkerhetsrevision

De två går lätt att blanda ihop. Säkerhetsrevision ligger i 2 kap., och det kapitlet tillämpas endast när en tillsynsmyndighet anlitar ett oberoende organ för att utföra revisionen (1 kap. 2 §). Vid en revision ska det bedömas vilken nivå av cybersäkerhet verksamhetsutövaren har, och om säkerhetsåtgärderna uppfyller kraven i cybersäkerhetslagen (2 kap. 1 §).

Det är en granskning av om åtgärderna räcker, inte en teknisk mätning av vad som är nåbart. Oberoende organ är dessutom en roll med egna krav i föreskriften. En leverantör som skannar och dokumenterar är inte ett oberoende organ och ska inte framställa sig som ett.

Sammanfattat

• Ingen av föreskrifterna kräver att ni skannar era egna system.
• 4 kap. 27 § i MCFFS 2026:11 kräver däremot säkerhetstester som kontrollerar version, omhändertagna sårbarheter och införda konfigurationer, och granskningar som kontrollerar att åtgärderna omhändertar systemets behov. Det gäller it-segment; för ot-segment ska behovet bedömas.
• Tillsynsmyndigheten får skanna er, och urvalet bör bland annat bygga på exponering mot internet och teknisk riskprofil.
• Innan en skanning genomförs ska myndigheten tillsammans med er bedöma driftrisken, planera så att belastningen minimeras, ta fram en avbrottsplan och bedöma behovet av återställning.
• Fynden ska ni få utan dröjsmål.

Ingenting av det här är skäl att skynda. Det är skäl att veta vad man har. Den som vill kunna svara på frågan i 3 kap. 8 § behöver ingen ny policy. Det som behövs är en aktuell bild av miljön, och en uppfattning om vilka delar av den som inte tål belastning.

Alla citat är ordagranna ur MCFFS 2026:12 respektive MCFFS 2026:11, kontrollerade mot källan den 8 september 2026. Där vi drar en slutsats skriver vi ut det. Det här är inte juridisk rådgivning.