Ni rapporterar incidenten. Sedan börjar tillsynen.

1. Vad som gäller sedan 1 juli

Föreskrifterna om incidentrapportering (MCFFS 2026:8) trädde i kraft den 1 juli 2026. Rapportering sker i Cyberportalen hos Nationellt cybersäkerhetscenter och den går i tre steg:

• Upplysning, så snart som möjligt men senast tjugofyra timmar från att ni har identifierat incidenten som rapporteringspliktig.
• Incidentanmälan, så snart som möjligt men senast sjuttiotvå timmar från samma tidpunkt.
• Slutrapport, senast en månad efter incidentanmälan. Pågår incidenten fortfarande skickar ni en lägesrapport i stället.

Klockan börjar alltså inte ticka när något händer, utan när ni inser att det som hänt är rapporteringspliktigt. Det låter som en detalj. Det är det inte och vi återkommer till varför.

2. Gäller det er?

Rapporteringsplikten gäller både väsentliga och viktiga verksamhetsutövare. Ni omfattas om verksamheten ligger i en av lagens arton sektorer och ni har minst femtio anställda, eller mer än tio miljoner euro i omsättning.

Har ni färre än femtio anställda omfattas ni inte direkt, oavsett bransch. Men läs vidare ändå: era kunder som omfattas är skyldiga att granska sina leverantörer och den räkningen hamnar förr eller senare hos er.

Ett vanligt missförstånd är värt att reda ut. Väsentlig verksamhetsutövare kräver minst tvåhundrafemtio anställda. Ligger ni mellan femtio och tvåhundrafemtio är ni viktig verksamhetsutövare, inte väsentlig. Skillnaden avgör allt i den här texten.

3. Vad är en betydande incident?

Två saker gör en incident rapporteringspliktig. Den ena är att den har orsakat, eller kan orsaka, allvarlig driftstörning eller ekonomisk skada. Den andra är att den har påverkat, eller kan påverka, någon annan genom att vålla betydande skada.

Lägg märke till orden kan orsaka. Ni behöver inte ha förlorat pengar. Det räcker att det fanns en möjlighet. Ett kapat konto med åtkomst till kunddata är rapporteringspliktigt även om ni hann stänga det innan något hände.

4. Det ingen skriver om: rapporten startar er egen tillsyn

Här är den del som saknas i alla guider om blanketten.

För väsentliga verksamhetsutövare är tillsynen planlagd. Myndigheten kommer när den kommer, oavsett om något har hänt.

För viktiga verksamhetsutövare, alltså de flesta bolag mellan femtio och tvåhundrafemtio anställda, är tillsynen händelsestyrd. Den sker bara när tillsynsmyndigheten har anledning att anta att reglerna inte följs.

Och det är just det en incidentrapport är. En anledning.

Ni räcker upp handen själva. Ni berättar för myndigheten att något har hänt. Och sedan tittar de bakåt, på ett läge ni inte längre kan påverka.

Rapporten ni skickar in är samtidigt startskottet för granskningen av er själva.

Det är inte ett argument mot att rapportera. Ni måste rapportera och att låta bli är en betydligt värre historia. Det är ett argument för att förstå vad rapporten faktiskt sätter igång.

5. Vad de frågar efter och varför det inte går att fixa i efterhand

När granskningen börjar handlar frågorna sällan om själva incidenten. De handlar om vad ni gjorde innan den:

• Hur såg er säkerhet ut dagen före?
• När uppstod bristen som utnyttjades och visste ni om den?
• Granskar ni er miljö löpande, eller upptäckte ni det här för att det small?
• Kan ni visa det, eller berättar ni bara?

Skillnaden mellan planlagd och händelsestyrd tillsyn är hela poängen. Vid planlagd tillsyn får ni veta i förväg och då kan man skärpa sig veckan innan. Vid händelsestyrd tillsyn går det inte, för ingen vet när. Det ni inte kan visa i det ögonblicket går inte att visa i efterhand.

Det finns ingen knapp som rekonstruerar hur er Microsoft 365-miljö såg ut i mars.

6. Minns ni att klockan startar när ni inser?

Tjugofyra timmar låter gott om tid tills man tänker efter på vad de tjugofyra timmarna ska räcka till. Ni ska förstå vad som hänt, avgöra om det är rapporteringspliktigt och beskriva det för en myndighet. Samtidigt som ni försöker stoppa det som pågår.

Den svåraste frågan i det läget är nästan alltid densamma: när började det här? Öppnades dörren igår, eller har den stått öppen sedan i mars? Utan historik blir svaret en gissning och en gissning i en myndighetsrapport är en dålig plats att befinna sig på.

7. Vad ni kan göra före

Fyra saker och ingen av dem går att göra i efterhand:

• Vet vem som trycker på knappen. Tjugofyra timmar är ingen tid att reda ut mandat på. Bestäm idag vem som avgör om något är rapporteringspliktigt.
• Ha historik. Kunna visa hur läget såg ut, daterat, bakåt i tiden.
• Kunna svara på när något ändrades. Inte att det är fel nu, utan vilket datum det blev fel.
• Ha det på papper. Det som bara finns i en konsults huvud finns inte när tillsynen frågar.

8. Vanliga frågor

Måste vi rapportera även om ingen skada skedde?

Ja, om incidenten kunde ha orsakat allvarlig störning eller skada. Formuleringen i föreskriften är "orsakat eller kan orsaka". Att ni hann stänga dörren i tid gör den inte orapporteringspliktig.

Vi har färre än femtio anställda. Kan vi strunta i det här?

Ni omfattas inte av rapporteringsplikten. Men era kunder som omfattas ska granska sina leverantörer och då blir det er tur att svara på frågorna. Skillnaden är att ni svarar kunden i stället för myndigheten.

Vår IT-partner sköter säkerheten. Är det de som rapporterar?

Nej. Rapporteringsplikten ligger på verksamhetsutövaren, alltså på er. Er IT-partner kan hjälpa till med underlaget, men det är ni som ansvarar och enligt cybersäkerhetslagen är det ledningen som bär det ansvaret.

9. Hur PIANOLA hjälper och vad den inte gör

Låt oss vara raka med det sista först. PIANOLA upptäcker inga incidenter. Den larmar inte i realtid, den är ingen driftcentral och den kan inte rapportera åt er. Sådant ska ni inte köpa av oss.

Det PIANOLA gör är att varje dag granska er Microsoft 365-miljö och skriva ned vad den ser. Det ger tre saker som är svåra att skaffa när det redan brinner:

• Daterade bevis på läget före. Hur miljön såg ut veckan innan, i klartext, exporterbart.
• Svar på när något ändrades. Vi jämför gårdagens läge med dagens och säger vilket datum en kontroll gick från godkänd till öppen. Det är underlag till själva incidentberättelsen, inte bara till efterspelet.
• En månadsrapport som visar att ni granskade löpande. Skillnaden mellan en brist och en försummelse är om någon tittade.

PIANOLA är alltså inte det ni använder under incidenten. Det är det som gör tiden efteråt uthärdlig.

Se vad vi hittar hos er Gör NIS2-kollen, tre minuter

Källor: cybersäkerhetslag (2025:1506), föreskrifterna om incidentrapportering (MCFFS 2026:8) samt Nationellt cybersäkerhetscenters vägledning på ncsc.se. Texten är en översikt och inte juridisk rådgivning. Kontrollera alltid aktuella frister och krav mot myndighetens egen information innan ni agerar.