Krav incidenthantering: NIS2, GDPR, Säkerhetsskyddslag ETC

Incidenthatering är ett myller av lagstiftningar, nu NIS2 men totatlt sett träffas företag, myndigheter, regioner och kommuner av en mängd regelverk.

Ulf Dellborg

Incidenthantering är inte bara incidentrapportering. Precis som när ett flygplan råkar ut för en incident, t ex ett motorstopp, ska du du både kunna ta hand om incidenten initialt, kunna antera den kris som uppstår samt hantera kontinuitet. Även om det inte alltid känns så för dig, så är det tur att det finns det massa regler för incidentrapportering. För att du ska få det lättare reder jag här ut reglerna, alla på en gång.

Syfte och avgränsningar

Här reder jag ut reglerna för incidenthantering, inkluderande krishantering, kontinuitetshantering och incidentrapportering. Vilka krav som ställs enligt NIS2-genomförandeförordningen GDPR och MCF föreskrifter samt sektorspecifika regler.

Syftet är att du ska kunna hitta vad som gäller dig och din organisation på ett sammantällt sätt.

NIS2 Genomförandeförordning

Förordningens rättsliga status och harmoniseringseffekt

Till skillnad från direktiv är en genomförandeförordning direkt tillämplig. Genomförandeförordning riktar sig formellt till vissa specifika digitala leverantörer (DNS, molntjänster, datacenter, MSP:er, marknadsplatser online m.fl.). För kommuner är detta normerande av två skäl:

Leverantörskedjan: Kommuner är beroende av dessa tjänster. Kraven som ställs på leverantörerna sätter standarden för vilken information kommunen kan förvänta sig och måste avtala fram i leverantörskedjan.
Harmoniserad praxis: Nationella myndigheter bygger sina föreskrifter kring dessa tekniska standarder (exempelvis krav på incidentloggning, sårbarhetshantering och kryptering) för att undvika fragmentering. Kommunala bolag som agerar IT-driftleverantörer kan även träffas direkt av förordningen.

Definitionen av betydande incidenter: En kvantitativ revolution

Genomförandeförordningen kodifierar begreppet "betydande incident" med kvantitativa tröskelvärden:

Finansiell förlust: Överstiger 500 000 EUR eller 5 % av den totala årsomsättningen föregående räkenskapsår (vilket som är lägst).
Mänsklig säkerhet: Orsakar eller kan orsaka dödsfall eller betydande skada på en fysisk persons hälsa.
Tjänstens tillgänglighet (Sektorsspecifik): Exempelvis för molntjänster anses en incident betydande om tjänsten är totalt otillgänglig i över 30 minuter, eller om tillgången är begränsad för >5 % av användarna i unionen (eller >1 miljon användare) i mer än en timme.
Datakompromettering: Om integriteten, konfidentialiteten eller autenticiteten för data äventyras till följd av en misstänkt skadlig handling.
Återkommande incidenter: Flera mindre incidenter som inträffar minst två gånger inom sex månader och har samma grundorsak ska kollektivt betraktas som en betydande incident om de sammantaget når upp till beloppsgränserna.

Tekniska och metodologiska krav på incidenthantering (Bilagan)

I bilagan till genomförandeförordningen, punkt 3 "Incidenthantering", detaljeras de processuella kraven.

Incidenthanteringsstrategi: Enligt punkt 3.1.1 ska entiteten ha dokumenterade roller, ansvarsområden och förfaranden för upptäckt, analys, begränsning, svarsåtgärder, återställande, dokumentation och rapportering av incidenter.
Övervakning och loggning: Ett omfattande krav enligt punkt 3.2 är att använda loggar för att upptäcka och utreda incidenter. Dessa ska omfatta:
- Relevant nätverkstrafik (in/ut).
- Åtkomst till system och all privilegierad åtkomst (administratörskonton).
- Händelseloggar från säkerhetsverktyg (antivirus, brandväggar). Loggarna måste skyddas, säkerhetskopieras och ha synkroniserade tidskällor för korrelation.
Efterhandsgranskning: När incidenten är hanterad krävs (enligt punkt 3.6) en strukturerad genomgång ("lessons learned") för att fastställa grundorsaken och förbättra processerna och nätverkssäkerheten.

Tidsfrister och rapporteringsmekanismer

Direktivet ställer aggressiva krav på tidsfrister för att säkerställa snabb kännedom hos det nationella incidentcentret (CERT-SE):

Rapporttyp	Tidsfrist (från kännedom)	Syfte och Innehåll
Varning (Early Warning)	24 timmar	Flagga potentiell kris. Ange om den misstänks vara olaglig/avsiktlig eller ha gränsöverskridande påverkan.
Incidentanmälan	72 timmar	Uppdatering med preliminär bedömning, påverkan, "Indicators of Compromise" (IoC).
Slutrapport	1 månad	Slutlig bedömning, detaljerad beskrivning av grundorsak (root cause), samt vidtagna åtgärder för att minska konsekvenser och förhindra upprepning.

MCF Föreskrifter

Under arbetet med transponeringen utreddes "2 kap. 17 §" i MSB:s tidiga förslag, vilket bland annat handlade om incidenthanteringsrutiner och spårbarhet. Detta materialiserades därefter i de antagna föreskrifterna MCFFS 2026:8. För kommuner (Offentlig förvaltning) preciserar dessa föreskrifter exakt vad som avses med en betydande incident:

Nationella kvantitativa tröskelvärden (MCFFS 2026:8):

Offentlig förvaltning (4 kap 1 §): En driftstörning är allvarlig om sektorsverksamhet endast kunnat bedrivas i begränsad utsträckning i mer än fyra timmar, eller om personal behövt använda alternativa arbetssätt i mer än tolv timmar.
Ekonomisk skada (3 kap 3 §): För offentlig förvaltning räknas ekonomisk skada baserat på "fem procent av verksamhetsutövarens anslag eller totala intäkter under föregående räkenskapsår".
Dricksvatten/Avloppsvatten (4 kap 8-9 §§): Nedsatt funktionalitet i mer än fyra timmar, eller alternativa arbetssätt i över åtta timmar.
Personuppgifter/Information (3 kap 6 §): Skada föreligger om information i behov av utökat skydd tillhörande 500 eller fler fysiska personer blir tillgänglig för obehöriga eller förvanskas.

Informationsskyldigheten (5 kap i MCFFS 2026:8): Det tidiga föreslagna kravet på extern kommunikation är nu reglerat i 5 kap. 1–2 §§ MCFFS 2026:8.

Kravet: Kommunen ska "så snart det kan ske" informera tjänstemottagarna (invånarna) om incidenter eller betydande cyberhot som påverkar dem.
Innehåll: Informationen ska inkludera vad incidenten består i, vilka konsekvenser den kan få, samt – mycket viktigt – vilka åtgärder mottagarna själva kan vidta för att minimera skada (ex. byta lösenord eller koka dricksvatten).

Parallellt med cybersäkerhetslagen lyder kommuner under GDPR. Medan NIS2 (via MCF) fokuserar på systemets tillgänglighet och ekonomisk skada, fokuserar GDPR på individens integritetsrisker.

Artikel 33 och 34: Incidentrapporteringens kärna

Artikel 33 stadgar att en personuppgiftsincident ska anmälas till Integritetsskyddsmyndigheten (IMY) utan onödigt dröjsmål, och helst inom 72 timmar. Artikel 34 kräver att registrerade (invånare) informeras om incidenten medför hög risk för deras fri- och rättigheter.

Riskbedömning för fysiska personers fri- och rättigheter

GDPR kräver riskbedömning för individen: finns det risk för diskriminering, identitetsstöld, finansiell förlust eller skada på anseende? En incident där ett socialt register tillfälligt görs läsbart för fel kommuntjänstemän är en allvarlig GDPR-incident, även om driften i stort (NIS2-kriterierna i MCFFS 2026:8) påverkas marginellt.

Skärningspunkten mellan personuppgiftsincidenter och nätverksincidenter

För en kommun är överlappet mellan MCF:s och IMY:s regelverk betydande vid ransomware-angrepp. Data blir obrukbar (NIS2 påverkan) och exfiltreras (GDPR konfidentialitetsbrott). Konflikten är tidskritisk: NIS2 kräver första larm på 24 timmar, men utredningen för att förstå vidden av GDPR-läckaget tar ofta mycket längre tid.

Säkerhetsskyddslagen

Säkerhetsskyddslagen utgör den tyngsta lagstiftningen i hierarkin, då den adresserar hot mot Sveriges oberoende och fortbestånd.

Lagens tillämpning på kommunal verksamhet

Flera kommunala ansvarsområden klassas ofta som säkerhetskänslig verksamhet, däribland strategisk vattenförsörjning, energiförsörjning och totalförsvarsplanering.

Incidentrapportering vid säkerhetshotande verksamhet

Enligt Säkerhetspolisens och Försvarsmaktens föreskrifter föreligger strikt anmälningsplikt till tillsynsmyndigheten och/eller Säpo om: En säkerhetsskyddsklassificerad uppgift kan ha röjts. En IT-incident inträffar i ett system av betydelse för den säkerhetskänsliga verksamheten.

Tidsfristen "Snarast" kontra NIS2:s "24 timmar"

I säkerhetsskyddsförordningen (2021:955) 2 kap 4 § ställs krav på att rapportering ska ske "skyndsamt" eller "snarast". Vid en allvarlig IT-incident som hotar säkerhetskänslig verksamhet måste anmälan till Säpo/Länsstyrelsen göras omedelbart – man får inte invänta de 24 timmar som Cybersäkerhetslagen medger för den inledande varningen till MCF.

Sektorsspecifik Lagstiftning

Patientdatalagen och HSLF-FS 2016:40

Kommunal vård (ex. äldreomsorg) hanterar journaler. Socialstyrelsens föreskrifter (HSLF-FS 2016:40) bygger på PDL och ställer krav på systematiska kontroller av loggar för att upptäcka intern överanvändning av behörighet. Ett internt snokande upptäckt i loggarna är en incident som triggar GDPR, men sällan NIS2.

Lex Maria: Patientsäkerhet och vårdskador

En IT-krasch (NIS2) i ett vårdsystem som leder till att medicinering uteblir är en vårdskada. Detta utlöser rapportering till Inspektionen för vård och omsorg (IVO) enligt Lex Maria i Patientsäkerhetslagen (3 kap 5 §) som anger att rapportering ska ske snarast. Utredningens fokus är kliniskt, inte tekniskt.

Offentlighets- och sekretesslagen (OSL)