Vad som ändras den 1 oktober — och vad som inte gör det

Den 1 oktober 2026 börjar Myndigheten för civilt försvars föreskrifter om säkerhetsåtgärder, MCFFS 2026:11, att gälla. Runt det datumet kommer en hel del att låta mer dramatiskt än det är. Så det är värt att skilja på två saker: vad som ändras, och vad som redan gällde.

Vad föreskriften är

Cybersäkerhetslagen (SFS 2025:1506) sätter ramen. I 2 kap. 3 § räknas de tio säkerhetsåtgärder upp som en verksamhetsutövare ska arbeta med — riskhantering, incidenthantering, kontinuitet, leveranskedjor, och så vidare. Lagen säger vad som ska uppnås, men inte i detalj hur.

Föreskriften är det konkreta lagret under den. Den beskriver mer i detalj vad åtgärderna innebär i praktiken. Den 1 oktober är inte dagen då kraven uppstår. Det är dagen då den detaljerade tolkningen av dem börjar gälla.

För energisektorn är det Energimyndigheten som är tillsynsmyndighet. Dit vänder man sig, och därifrån kommer uppföljningen.

Läs bindningsnivån, inte rubriken

Här går mycket fel, och här lönar det sig att vara noga. Föreskrifter är skrivna på olika styrkegrader, och de betyder olika saker:

• ”ska” är ett krav. Då är det rimligt att säga att föreskriften kräver.
• ”ska identifiera och hantera behovet av” är svagare. Då kräver den att ni bedömer behovet av något, inte att ni inför just den saken.
• Allmänna råd och ”bör” är vägledning. Då råder föreskriften. Den kräver inte.

Skillnaden är inte akademisk. Den avgör om ni bryter mot en regel eller väljer bort ett råd. Den som säljer er något med orden ”lagen kräver” bör kunna peka på ordet ”ska” och på vilket system det gäller. En regel för ett produktionsnära system är inte automatiskt en regel för kontorsnätet.

Ett exempel: föreskriften kräver att ni håller relevant information om er digitala miljö aktuell (4 kap. 9 §). Att ni behöver veta vad ni har är vår slutsats av det, inte en formulering i texten. Det som är vår tolkning skriver vi ut som vår tolkning.

En sak värd att göra redan nu

Vill man peka på något konkret som gäller utan tolkningsutrymme finns andra stycket i 4 kap. 25 §. Där står ett tydligt ”ska”: kryptering ska användas för att skydda säkerhetsloggar och autentiseringsuppgifter vid överföring i den digitala miljön.

I praktiken betyder det att inloggning i klartext inne i nätet bryter mot ett krav. Ett administrationsgränssnitt över okrypterad HTTP, telnet till en switch, äldre hanteringsprotokoll som skickar lösenord i öppen text. Det går att observera passivt, utan att röra systemen, och det är ofta det första vi hittar på insidan. Det behöver ingen framtidsvision om kvantdatorer för att vara värt att åtgärda. Det är en öppen dörr idag.

(För rena OT-protokoll gäller inte samma sak. Modbus och liknande har aldrig haft någon säkerhetsmodell, och det hör hemma i frågan om segmentering, inte kryptering.)

Incidentklockan är värd att känna till

Två tidsgränser är bra att kunna innan de behövs, eftersom de börjar ticka när något redan har hänt. Enligt cybersäkerhetslagen ska en tidig varning lämnas så snart det kan ske, dock senast inom 24 timmar (2 kap. 5 §), och en incidentanmälan senast inom 72 timmar (2 kap. 6 §). Anmälan går till det nationella cybersäkerhetscentret vid FRA.

Det viktiga är inte att kunna paragraferna utantill. Det är att redan ha den förmåga som krävs för att starta klockan: att märka att något hänt, och att veta vem som ringer vem. Det är en fråga om upptäckt, och den är teknisk.

Så tänker vi

Vi löser inte cybersäkerhetslagen åt er. Det finns ingen som gör det, och den som säger sig göra det säljer en känsla, inte en tjänst. Vi gör vår del ordentligt: vi hjälper er se och minska er exponering, och belägga det tekniska arbetet för tillsynsmyndigheten. Efterlevnad är drivkraften, åtgärd är produkten.

En sak att stämma av tidigt: under vilken sektor ni är registrerade, och hos vilken tillsynsmyndighet. Vissa verksamheter, bland annat renodlad digital infrastruktur, faller under andra regler (1 kap. 1 §), och då ser kartan annorlunda ut.

Det här är en orientering, inte juridisk rådgivning. Läs alltid texten själva, eller med ert juridiska stöd, innan ni drar slutsatser för just er verksamhet.

Vill ni veta vad av det tekniska ni redan kan belägga? Hör av er.

Källor: Cybersäkerhetslagen (SFS 2025:1506), riksdagen.se; MCFFS 2026:11, FRA/NCSC; Energimyndigheten om cybersäkerhetslagen.