title: Myndigheten för civilt försvars föreskrifter och allmänna råd om säkerhetsåtgärder och ledningens utbildning för väsentliga och viktiga verksamhetsutövare

text: 1 kap. Inledande bestämmelser

text: Tillämpningsområde

text: Dessa föreskrifter och allmänna råd innehåller bestämmelser om säkerhetsåtgärder och utbildning enligt

text: 2 kap.

text: och

text: 4 §§

text: cybersäkerhetslagen (2025:1506)

text: . För verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden gäller endast kraven på ledningens utbildning om säkerhetsåtgärder i 2 kap. 1 § i denna författning.

text: Om annan författning innehåller bestämmelser som ställer högre krav än kraven i dessa föreskrifter tillämpas den bestämmelsen.

text: ___________________________________________________________________________

text: Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022

text: om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning

text: (EU) nr 910/2014

text: och

text: direktiv (EU) 2018/1972

text: och om upphävande av

text: direktiv (EU) 2016/1148

text: , i den ursprungliga lydelsen (NIS 2direktivet).

text: Ordförklaringar

text: Uttryck i dessa föreskrifter och allmänna råd har samma betydelse som i

text: cybersäkerhetslagen

text: I dessa föreskrifter och allmänna råd avses med

text: Begrepp Betydelse

text: digital miljö den samlade mängden system som verksamhetsutövaren använder för att bedriva intern verksamhet och tillhandahålla externa tjänster. Består av produktionsmiljö och, i tillämpliga fall, utvecklings-, test- respektive utbildningsmiljö,

text: information i behov av utökat information som på grund av externa krav skydd kräver en viss nivå av skydd avseende konfidentialitet, riktighet inklusive autenticitet, eller tillgänglighet alternativt information som verksamhetsutövaren vid värdering bedömer ha behov av motsvarande nivå av skydd,

text: it-segment ett nätverkssegment som är inrättat för andra system än sådana system som placeras i otsegment,

text: ot-segment ett nätverkssegment som är inrättat för cyberfysiska system,

text: personal egna anställda och externt kontrakterade personer inklusive anlitade uppdragstagare,

text: produktionsmiljö de system i den digitala miljön som används för att bedriva verksamhet förutom de system som används för verksamhet i utvecklingstest- och utbildningsmiljö. Består av itsegment och ot-segment,

text: redundant funktion två eller flera, identiska eller olika, funktioner som oberoende av varandra uppfyller samma syfte,

text: sektorskritiskt system ett system som är nödvändigt för att kunna bedriva intern verksamhet eller tillhandahålla externa tjänster inom sektorsverksamhet,

text: Begrepp Betydelse

text: sektorsverksamhet sådan verksamhet som omfattas av

text: cybersäkerhetslagen

text: system nätverks- och informationssystem enligt 1 kap. 2 § p. 16

text: cybersäkerhetslagen

text: systematiskt och riskbaserat arbete som bedrivs med stöd av interna regler arbete med cybersäkerhet och arbetssätt för att omhänderta identifierade risker när verksamhetsutövaren inriktar, utformar, inför, upprätthåller, övervakar, kontrollerar och utvecklar sin cybersäkerhet,

text: särskilda it- och ot-utrymmen en lokal med tillträdesbegränsning eller ett låst skåp som är särskilt utformat för att skydda hårdvara i syfte att säkerställa systemens funktionalitet och nivå av fysiskt skydd,

text: viktig samhällsfunktion en samhällsfunktion som är nödvändig för samhällets grundläggande behov, värden eller säkerhet.

text: 2 kap. Ledningens utbildning om säkerhetsåtgärder

text: Utbildningen ska ge ledningen den kunskap och kompetens som krävs för att kunna fastställa mål och inriktning för verksamhetsutövarens cybersäkerhet, bedöma vilka säkerhetsåtgärder som verksamhetsutövaren behöver genomföra för att upprätthålla en lämplig nivå av cybersäkerhet utifrån identifierade risker samt övervaka genomförandet av säkerhetsåtgärderna.

text: Allmänna råd

text: Ledningens utbildning bör omfatta • ledningens roll i ett systematiskt och riskbaserat cybersäkerhetsarbete inklusive relevant terminologi och reglering, • vilken betydelse cybersäkerheten hos verksamhetsutövaren har för att upprätthålla sektorsverksamhet och viktiga samhällsfunktioner, • riskhantering och övervakning som ett stöd för att leda och styra arbetet med cybersäkerhet, samt • för ledningen relevanta interna regler, arbetssätt och stöd.

text: 3 kap. Organisatoriska säkerhetsåtgärder

text: Systematiskt och riskbaserat arbete med cybersäkerhet

text: Verksamhetsutövaren ska bedriva ett systematiskt och riskbaserat cybersäkerhetsarbete utifrån ett allriskperspektiv. I arbetet ska även ingå att 1. identifiera och analysera externa krav, interna behov och risker avseende cybersäkerhet, 2. utifrån externa krav, interna behov och identifierade risker utforma och införa säkerhetsåtgärder, 3. följa upp och utvärdera identifierade risker och införda säkerhetsåtgärder, samt 4. vid behov förbättra införda säkerhetsåtgärder.

text: Arbetet ska integreras med befintligt sätt att leda och styra organisationen.

text: Verksamhetsutövaren ska identifiera och hantera behovet av att använda relevanta standarder i cybersäkerhetsarbetet.

text: Allmänna råd

text: Som stöd för arbetet bör följande eller motsvarande standarder användas: • Svensk standard SS-ISO/IEC 27001:2022 Informationssäkerhet – cybersäkerhet och integritetsskydd – Ledningssystem för informationssäkerhet – Krav. • Svensk standard SS-EN ISO/IEC 27002:2022 Informationssäkerhet – cybersäkerhet och integritetsskydd – Informationssäkerhetsåtgärder.

text: Interna regler och arbetssätt

text: Verksamhetsutövaren ska fastställa de interna regler och arbetssätt som behövs för att vidta lämpliga och proportionella säkerhetsåtgärder utifrån externa krav, interna behov och identifierade risker avseende cybersäkerhet. Interna regler och arbetssätt ska utgå från verksamhetsutövarens fastställda mål och inriktning för cybersäkerheten samt uppdateras vid behov. De interna reglerna och arbetssätten ska i relevanta delar kommuniceras till berörd personal samt vid behov kompletteras med stöd för hur de interna reglerna och arbetssätten ska användas. Verksamhetsutövaren ska identifiera och hantera behovet av att dokumentera och spara information som behövs för uppföljning och utvärdering respektive för tillsynsändamål.

text: Allmänna råd

text: Av interna regler och arbetssätt bör följande framgå • vilken säkerhetsåtgärd som avses, • vilka roller som berörs, • fastställandedatum samt vilken roll eller ansvarområden som ansvarar för att dokumentationen hålls uppdaterad, • beskrivning av vad som ska göras, av vilken roll eller ansvarsområden, hur och när, • vilka beslut som ska fattas, av vilken roll eller ansvarsområden och när, samt • hur efterlevnaden av interna regler och arbetssätt ska dokumenteras. Verksamhetsutövaren bör, för att kunna bedöma ändamålsenlighet och effektivitet av cybersäkerheten vid uppföljning och utvärdering respektive tillsyn, spara interna regler och arbetssätt samt relevant dokumentation över tillämpningen. Bedömningen av vilken information som ska dokumenteras och hur länge dokumentationen ska sparas bör utgå från de behov som verksamhetsutövaren har avseende uppföljning och utvärdering. För tillsynsändamål bör beslut, analyser, bedömningar, planer och resultat av uppföljning dokumenteras och sparas.

text: Roller, ansvarsområden och befogenheter

text: För att verksamhetsutövaren ska kunna vidta lämpliga och proportionella säkerhetsåtgärder ska ledningen godkänna och övervaka genomförandet av säkerhetsåtgärder genom att säkerställa att 1. det finns fastställda mål och inriktning för cybersäkerheten, 2. ledningens uppgifter i cybersäkerhetsarbetet är tydliggjorda, 3. det finns resurser för att bedriva ett systematiskt och riskbaserat cybersäkerhetsarbete, 4. de roller och ansvarsområden som cybersäkerhetsarbetet kräver har tillräckliga befogenheter och resurser för att utföra tilldelade uppgifter, samt 5. ledningen blir informerad om genomförandet av säkerhetsåtgärderna och verksamhetsutövarens nivå av cybersäkerhet vid behov men minst en gång per år.

text: Allmänna råd

text: I ledningens uppgifter i arbetet med cybersäkerhet bör ingå att fastställa • kriterier för riskacceptans, • prioriteringsordning för återställning av verksamheter, och • vilka system som är sektorskritiska.

text: Verksamhetsutövaren ska utse roller eller ansvarsområden för samordning av cybersäkerhetsarbetet (samordnare), för säkerheten i informationsbehandling i system (informationsägare) och för säkerheten i system (systemägare). All informationsbehandling i system ska ha en utsedd informationsägare och alla system ska ha en utsedd systemägare.

text: Samordnaren ska ha i uppgift att samordna det systematiska och riskbaserade arbetet med cybersäkerhet och utvärdera nivån av cybersäkerhet i förhållande till externa krav, interna behov och identifierade risker. Samordnaren ska säkerställa att de underlag som ledningen behöver för att godkänna och övervaka genomförandet av säkerhetsåtgärder sammanställs.

text: Allmänna råd

text: Samordnaren bör vid utvärderingen av nivån av cybersäkerhet utgå från • fastställda mål och inriktning, • informationsklassningar och riskanalyser samt aktuella åtgärdsplaner, • uppföljningar och utvärderingar av införda säkerhetsåtgärder, • information om inträffade incidenter och tillbud samt genomförda grundorsaksanalyser, • utvärderingar av cybersäkerheten hos leverantörer och i digitala leveranskedjor, samt • interna och externa revisioner samt genomförd tillsyn. I sammanställningen av underlag till ledningen bör ingå • uppgifter om hot och risker som bedöms som allvarliga för verksamhetsutövarens cybersäkerhet, • uppgifter om bristande cybersäkerhet hos leverantörer och i digitala leveranskedjor, • resultatet av intern och extern revision samt genomförd tillsyn, • samordnarens utvärdering av verksamhetsutövarens nivå av cybersäkerhet, samt • identifierade hinder för att uppnå ledningens mål och inriktning för cybersäkerheten och föreslagna åtgärder för att undanröja sådana hinder.

text: Informationsägaren ska, för den informationsbehandling som denne ansvarar för, ha i uppgift att säkerställa att informationen är värderad och att risker analyserats samt utifrån detta bedöma vilken nivå av skydd informationen behöver ha avseende konfidentialitet, riktighet inklusive autenticitet, och tillgänglighet. Informationsägaren ska informera berörd systemägare om identifierad nivå av skydd för informationen samt vad som är acceptabla tider för otillgänglighet och bristande funktionalitet för informationsbehandlingen.

text: Informationsägaren ska säkerställa att lämpliga och proportionella säkerhetsåtgärder är vidtagna för informationsbehandlingen.

text: Systemägaren ska, för de system som denne ansvarar för, ha i uppgift att säkerställa att risker analyserats och att informationsägarens identifierade nivå av skydd uppnås i berörda system. Systemägaren ska informera berörda informationsägare om brister i systemens cybersäkerhet som påverkar informationsbehandlingen. Systemägaren ska säkerställa att systemen, under hela deras livslängd, är skyddade med lämpliga och proportionella säkerhetsåtgärder.

text: Personalsäkerhet

text: För att förebygga att personal orsakar incidenter på grund av olämplighet eller okunskap ska verksamhetsutövaren fastställa 1. vilka kontroller som ska genomföras i samband med rekrytering och anlitande av personal med utgångspunkt i vilken information och vilka system de ska få tillgång till, 2. vilka kontroller som ska genomföras av personal vid förändrad åtkomst till information och system, samt 3. vilka utbildningar, övningar och andra informationsinsatser avseende cybersäkerhet som personal ska genomföra innan och under anställning eller uppdrag.

text: Allmänna råd

text: För att vid rekrytering och anlitande av personal kunna bedöma deras lämplighet och kunskap om cybersäkerhet bör identitetskontroll, intervju, kontakt med referenser samt verifiering av akademiska, yrkesmässiga och övriga kvalifikationer genomföras. Utbildningar och övningar avseende cybersäkerhet för egen personal bör vara anpassade utifrån roll, ansvarsområden och befogenheter i arbetet med cybersäkerhet. Informationsinsatser avseende cybersäkerhet till personal bör inkludera • grundläggande förståelse för varför cybersäkerhet behövs och hur cybersäkerhet uppnås, • förståelse för relevanta interna regler och arbetssätt, samt • vilket stöd som finns tillgängligt för att uppnå cybersäkerhet. Verksamhetsutövaren bör upprätta en utbildningsplan där det framgår när och hur informationsinsatser, utbildningar och övningar ska genomföras samt när och hur uppföljning och utvärdering ska ske. Verksamhetsutövaren bör informera personal som avslutar en anställning eller uppdrag om begränsningar i användandet av information som denne har fått tillgång till hos verksamhetsutövaren.

text: Omvärldsbevakning

text: För att hålla sig uppdaterad om hot, sårbarheter, teknisk utveckling, rättsliga krav och tillgängligt stöd av betydelse för verksamhetsutövarens cybersäkerhet, ska verksamhetsutövaren bedriva omvärldsbevakning. Verksamhetsutövaren ska inhämta relevant information från 1. leverantörer av den digitala miljöns hård- och mjukvara, och 2. det nationella cybersäkerhetscentret (NCSC), vid Försvarets radioanstalt, och särskilt de däri ingående funktionerna nationell CSIRT-enhet och cyberkrishanteringsmyndighet.

text: Allmänna råd

text: Verksamhetsutövaren bör även som en del av sin omvärldsbevakning inhämta relevant information från • relevanta tillsynsmyndigheter, • Sveriges nationella samordningscenter för forskning och innovation inom cybersäkerhet (NCC-SE) hos det nationella cybersäkerhetscentret (NCSC), samt • Europeiska unionens cybersäkerhetsbyrå (ENISA).

text: Informationsklassning

text: För att identifiera vilka konsekvenser som bristande cybersäkerhet kan få för information som behandlas i system ska verksamhetsutövaren värdera informationen utifrån vilken nivå av skydd informationen behöver ha avseende konfidentialitet, riktighet inklusive autenticitet, och tillgänglighet. Verksamhetsutövaren ska fastställa antalet nivåer och vilka kriterier som ska användas vid bedömningen av konsekvenser vid informationsklassning.

text: Allmänna råd

text: Nivåer och kriterier för informationsklassning bör vara identiska med, eller kunna relateras till, motsvarande nivåer och kriterier för konsekvensbedömning vid riskanalys.

text: Riskhantering

text: För att kunna identifiera vilka lämpliga och proportionella säkerhetsåtgärder som ska genomföras ska verksamhetsutövaren identifiera, analysera och värdera risker utifrån deras konsekvens och sannolikhet. Arbetet med risker ska utgå från relevant 1. informationsklassning, 2. information från omvärldsbevakning, samt 3. information om incidenter och tillbud.

text: Verksamhetsutövaren ska utforma nivåer och tillhörande kriterier för bedömning av konsekvenser och sannolikhet så att risker kan jämföras över tid. Verksamhetsutövaren ska även fastställa kriterier för riskacceptans. Verksamhetsutövaren ska identifiera och hantera behovet av att uppdatera genomförda riskanalyser vid förändrade hot och nya sårbarheter som kan påverka cybersäkerheten.

text: Allmänna råd

text: Risker bör värderas separat för • informationsbehandling i system, • förvärv av system, • utkontrakterad informationsbehandling, • digitala leveranskedjor, • mobila system, • enskilda segment, och • den digitala miljön i sin helhet. Verksamhetsutövaren bör omhänderta riskerna med aggregering och ackumulering av information.

text: För att kunna genomföra lämpliga och proportionella säkerhetsåtgärder ska verksamhetsutövaren vid valet av säkerhetsåtgärder utgå från resultaten av genomförda riskanalyser och fastställda kriterier för riskacceptans. Valda säkerhetsåtgärder och de risker som dessa säkerhetsåtgärder omhändertar ska dokumenteras i en plan (åtgärdsplan). Av åtgärdsplanen ska det framgå vilken roll eller vilket ansvarsområde som ansvarar för att säkerhetsåtgärden genomförs och när den ska vara genomförd.

text: Allmänna råd

text: Åtgärdsplanen bör innehålla en redovisning av vilka andra säkerhetsåtgärder som har övervägts som alternativ för att omhänderta identifierade risker.

text: Kontinuitetshantering

text: För att ha beredskap att bedriva verksamhet vid incidenter och kriser med påverkan på cybersäkerheten ska verksamhetsutövaren hantera sitt behov av kontinuitet för sin informationsbehandling och fastställa en prioriteringsordning för återställning av verksamhet. Verksamhetsutövaren ska fastställa och öva alternativa arbetssätt för de verksamheter som bedöms behöva sådana arbetssätt.

text: Allmänna råd

text: Verksamhetsutövaren bör fastställa hur och när återgång till ordinarie arbetssätt ska göras efter det att alternativa arbetssätt har använts. Användning av alternativa arbetssätt samt återställning av sektorskritiska system bör övas vid behov men minst en gång per år.

text: Verksamhetsutövaren ska för produktionsmiljön 1. fastställa acceptabla tider för otillgänglighet och bristande funktionalitet för informationsbehandling, 2. identifiera och hantera behovet av redundanta funktioner, samt 3. planera för och öva hur situationer med otillgänglighet och bristande funktionalitet ska omhändertas i sektorskritiska system.

text: För utvecklings-, test-, och utbildningsmiljö ska verksamhetsutövaren identifiera och hantera behovet av att fastställa acceptabla tider för otillgänglighet och bristande funktionalitet, bedöma behovet av redundanta funktioner samt planera för och öva hur situationer med otillgänglighet och bristande funktionalitet ska hanteras.

text: Verksamhetsutövaren ska identifiera och hantera behovet av att på förhand tydliggöra ytterligare roller, ansvarsområden och befogenheter som krävs för att omhänderta kriser som påverkar verksamhetsutövarens cybersäkerhet (krisorganisation). Verksamhetsutövaren ska identifiera och hantera behovet att på förhand säkerställa tillgång till stöd från relevanta leverantörer.

text: Incidenthantering

text: För att minimera konsekvenserna av incidenter och tillbud ska verksamhetsutövaren genom incidenthantering säkerställa att incidenter och tillbud kan identifieras, anmälas, analyseras samt begränsas i omfattning och konsekvens. Verksamhetsutövaren ska vidta åtgärder för att återställa påverkad information och funktionalitet i system enligt fastställd prioriteringsordning samt förhindra att liknande incidenter sker i den digitala miljön. Verksamhetsutövaren ska identifiera och hantera behovet av att utreda incidentens grundorsak.

text: Allmänna råd

text: Personal och mottagare av externa tjänster bör på ett enkelt sätt kunna anmäla incidenter och tillbud. Verksamhetsutövaren bör inom incidenthanteringen uppfylla externa krav på rapportering av incidenter och informationsskyldighet till mottagare av externa tjänster som berörs av incidenten. Vid valet av åtgärder som ska begränsa omfattning och konsekvenser av en incident bör risken för ytterligare incidenter eller tillbud beaktas Verksamhetsutövaren bör ta stöd från berörda leverantörer vid val av åtgärder för att återställa funktionalitet i system.

text: Krishantering

text: För att kunna minimera konsekvenserna av inträffade incidenter som på grund av omfattning eller allvarlighetsgrad inte kan omhändertas inom ordinarie incidenthantering ska verksamhetsutövaren identifiera och hantera behovet av att 1. aktivera sin krisorganisation om sådan finns, 2. vidta åtgärder för att begränsa krisens konsekvenser, 3. säkerställa resurser för att omhänderta uthållighet i verksamheten under krisen, samt 4. genomföra intern och extern kriskommunikation.

text: Verksamhetsutövaren ska identifiera och hantera behovet av att öva sin krishantering.

text: Allmänna råd

text: Vid krishantering bör etablerad stabsmetodik och struktur användas. Verksamhetsutövaren bör ha tillgång till system för intern och extern kriskommunikation med höga krav på robusthet och tillgänglighet för informationsdelning och samverkan under kriser. För att stärka förmågan till samverkan och kriskommunikation mellan olika organisationer som kan komma att påverkas vid kriser bör verksamhetsutövaren öva användandet av det webbaserade informationsdelningssystemet WIS som tillhandahålls av Myndigheten för civilt försvar. Verksamhetsutövaren bör öva sin krishantering avseende sektorsverksamhet vid behov men minst en gång per år.

text: Uppföljning och utvärdering

text: För att kunna bedöma effektiviteten av införda säkerhetsåtgärder ska verksamhetsutövaren följa upp och utvärdera om säkerhetsåtgärderna är lämpliga och proportionella i förhållande till externa krav, interna behov och identifierade risker. Verksamhetsutövaren ska även identifiera behov av att förbättra säkerhetsåtgärder. Uppföljning och utvärdering av säkerhetsåtgärder för sektorskritiska system ska ske vid behov men minst en gång per år.

text: Allmänna råd

text: Verksamhetsutövaren bör använda etablerade metoder för uppföljning och utvärdering av säkerhetsåtgärderna såsom granskning, mätning och tester. Dessa kan ske i form av egenkontroll, intern och extern revision. Uppföljning och utvärdering bör genomföras i samband med • att säkerhetsåtgärder införs eller förändras, • förändringar av den digitala miljön som kan påverka cybersäkerheten, • att förändrade hot eller nya sårbarheter identifieras, • slutförd grundorsaksanalys, samt • verksamhetsuppföljning, omorganisation, förändrade rättsliga krav och utkontraktering. Uppföljning och utvärdering av det systematiska och riskbaserade arbetet med cybersäkerhet bör även omfatta hur fastställda mål och inriktning efterlevs samt hur interna regler, arbetssätt och stöd används och om de motsvarar verksamhetens behov. Vid uppföljning och utvärdering bör även brister och oklarheter avseende tilldelade befogenheter, resurser och arbetsuppgifter samt bristande kompetensförsörjning bedömas.

text: 4 kap. Tekniska och driftrelaterade säkerhetsåtgärder

text: Förvärv av system och utkontraktering av informationsbehandling

text: För att säkerställa att verksamhet kan bedrivas med en tillräcklig nivå av cybersäkerhet efter förvärv av system och utkontraktering av informationsbehandling ska verksamhetsutövaren dessförinnan värdera och omhänderta risker som kan uppstå med anledning av detta. Verksamhetsutövaren ska säkerställa att de krav som ställs på verksamhetsutövaren i denna författning uppfylls av leverantören utom i de delar kravet i sin helhet uppfylls av verksamhetsutövaren. Verksamhetsutövaren ska utvärdera om den tilltänkta leverantören kan uppfylla ställda krav på cybersäkerhet under hela avtalstiden.

text: Verksamhetsutövaren ska identifiera och hantera behovet av att, om möjligt, komplettera avtal och överenskommelser som har ingåtts före den 1 oktober 2026 med krav på cybersäkerhet. Risker med avtal och överenskommelser om förvärv och utkontraktering som innehåller otillräckliga krav på cybersäkerhet ska omhändertas.

text: Allmänna råd

text: Verksamhetsutövaren bör värdera risker för cybersäkerheten som härrör från eventuella underleverantörer i leveranskedjan.

text: Verksamhetsutövaren ska identifiera och hantera behovet av kontinuitet i sina digitala leveranskedjor avseende den hård- och mjukvara samt information som behövs för att säkerställa informationsbehandlingen som verksamhetsutövaren behöver för att bedriva intern verksamhet och tillhandahålla externa tjänster. För att verksamhetsutövaren ska kunna omhänderta svagheter i digitala leveranskedjor, särskilt sådana där alternativa lösningar saknas vid otillgänglig eller otillräcklig leverans, ska verksamhetsutövaren identifiera och hantera behovet av att leverantören ger relevant information om sina underleverantörer.

text: Allmänna råd

text: Vid en värdering av risker för de digitala leveranskedjorna bör verksamhetsutövaren beakta resultatet av de samordnade säkerhetsriskbedömningar av kritiska leveranskedjor som utförs i enlighet med artikel 22.1 i NIS 2-direktivet. Verksamhetsutövaren bör även beakta myndigheters rekommendationer som syftar till att stärka EU:s och Sveriges digitala suveränitet.

text: Verksamhetsutövaren ska identifiera och hantera behovet av att vid förvärv och utkontraktering välja sådana produkter, tjänster och processer som är certifierade i enlighet med europeiska ordningar för cybersäkerhetscertifiering av IKT-produkter, IKT-tjänster, IKT-processer och utlokaliserade säkerhetstjänster enligt artikel 1.1 b i EU:s cybersäkerhetsakt.

text: ___________________________________________________________________________ 2

text: Europaparlamentets och rådets förordning (EU) 2019/881 av den 17 april 2019

text: om Enisa (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning

text: (EU) nr 526/2013

text: (cybersäkerhetsakten).

text: Allmänna råd

text: Produkter eller tjänster som ingår i sektorskritiska system bör vara certifierade i enlighet med europeiska ordningar för cybersäkerhetscertifiering av IKTprodukter, IKT-tjänster, IKT-processer och utlokaliserade säkerhetstjänster enligt artikel 1.1 b i EU:s cybersäkerhetsakt.

text: Vid förvärv av system och utkontraktering av informationsbehandling ska verksamhetsutövaren i avtal eller överenskommelse med leverantören säkerställa att lämpliga och proportionella säkerhetsåtgärder kan genomföras och förvaltas över tid.

text: Allmänna råd

text: Avtal eller överenskommelse om förvärv av system bör reglera att leverantören kontrollerar hård- och mjukvara i syfte att upptäcka skadlig kod och andra brister i cybersäkerheten innan den levereras till verksamhetsutövaren. Innan avtal eller överenskommelser tecknas om utkontraktering av informationsbehandling bör verksamhetsutövaren kontrollera att informationsklassning är genomförd för den information som ska utkontrakteras och riskerna med utkontrakteringen är omhändertagna. Avtal eller överenskommelse om utkontraktering av informationsbehandling bör reglera vilka säkerhetsåtgärder leverantören ska vidta inklusive • att verksamhetsutövaren får kontaktuppgifter till hos leverantören utsedd systemägare, • vilken kompetens avseende cybersäkerhet leverantören behöver ha, • när och hur leverantören ska informera verksamhetsutövaren, om misstänkta och inträffade incidenter och tillbud, om identifierade hot och sårbarheter samt om förändringar i system som kan påverka efterlevnaden av ställda krav på säkerhetsåtgärder, • hur risker i verksamhetsutövarens digitala leveranskedjor som härrör från leverantörens underleverantörer ska omhändertas och delges verksamhetsutövaren, • att leverantören kontrollerar hård- och mjukvara i syfte att upptäcka skadlig kod och andra brister i cybersäkerheten innan den används för verksamhetsutövarens informationsbehandling, • i vilken omfattning leverantören ska öva incident-, kontinuitets- och krishantering med verksamhetsutövaren, • hur leverantören ska följa upp sin egen och eventuella underleverantörers efterlevnad av ställda krav på säkerhetsåtgärder, • hur verksamhetsutövaren ska följa upp leverantörens efterlevnad av ställda krav på säkerhetsåtgärder, • att avtalsförhållandet ska kunna sägas upp i förtid om leverantören brister i efterlevnad av ställda krav på säkerhetsåtgärder, samt • hur verksamhetsutövarens information ska återlämnas eller förstöras när avtalet upphör. Innan utkontrakterad informationsbehandling inleds bör verksamhetsutövaren kontrollera att riskerna med utkontrakteringen är omhändertagna, informationsägare är utsedda för den informationshantering som utkontrakteras, och tilltänkt leverantör uppfyller ställda krav på säkerhetsåtgärder.

text: Utveckling, underhåll och avveckling av system

text: För att motverka att sårbarheter uppstår vid utveckling och underhåll av den digitala miljön ska verksamhetsutövaren inför och under utvecklingen samt vid underhåll av system säkerställa att 1. informationsägare och systemägare involveras i arbetet med att identifiera behov av och att införa säkerhetsåtgärder, 2. informationsklassning har genomförts och hålls uppdaterad, 3. riskanalys är genomförd och hålls uppdaterad, 4. åtgärdsplanen hålls uppdaterad, och 5. etablerade metoder för säker utveckling följs.

text: Innan beslut fattas om att för första gången driftsätta ett system i den digitala miljön ska verksamhetsutövaren säkerställa att 1. det finns nödvändig dokumentation för drift och förvaltning, 2. säkerhetstester och granskningar har genomförts för att säkerställa att införda tekniska och driftrelaterade säkerhetsåtgärder är lämpliga och proportionella, 3. tilldelade resurser för drift och underhåll av systemet är tillräckliga, 4. identifierade behov av säkerhetsåtgärder för systemet är omhändertagna, och 5. beslut om att påbörja informationsbehandlingen i systemet har fattats.

text: Framkommer brister avseende första stycket p. 1–5 ska dessa dokumenteras och eventuella risker med bristerna omhändertas. Om utveckling och underhåll av redan driftsatt system kan påverka cybersäkerheten i den digitala miljön ska verksamhetsutövaren säkerställa att p. 1–5 omhändertas.

text: För att upprätthålla skyddet för information under avveckling av system ska verksamhetsutövaren, innan avvecklingen påbörjas, säkerställa att 1. tilldelade resurser för avveckling av systemet är tillräckliga, 2. beslut om att avveckla informationsbehandlingen har fattats, 3. risker med avvecklingen har omhändertagits, och 4. åtgärdsplan för avvecklingen finns.

text: Driftrelaterad dokumentation

text: För att kunna upprätthålla säker drift ska verksamhetsutövaren hålla dokumentation över arkitekturen för den digitala miljön uppdaterad.

text: Allmänna råd

text: Av dokumentationen för den digitala miljön bör framgå • vilka miljöer den är indelad i, det vill säga produktions-, utvecklings-, test- och utbildningsmiljö,

text: • vad respektive miljö innehåller avseende segment, system, hårdvara, och mjukvara, • vilka informationsflöden som finns mellan olika miljöer, mellan system, samt till och från den digitala miljön, och hur kritiska informationsflödena är för verksamheten, samt • vilken verksamhet, om någon, som bedrivs med stöd av utkontrakterad informationsbehandling. Tekniskt systemstöd bör användas för att hålla dokumentationen uppdaterad. Arkitekturen bör visualiseras i en systemkarta.

text: För att verksamhetsutövaren skyndsamt ska kunna omhänderta sårbarheter och incidenter i den digitala miljön samt bedöma konsekvenserna av dessa ska verksamhetsutövaren hålla en uppdaterad förteckning över relevant information om den digitala miljön.

text: Allmänna råd

text: Förteckningen över den digitala miljön bör innehålla information om • vilka system som ingår i produktionsmiljön samt kontaktuppgifter till berörda systemägare och informationsägare, • kontaktuppgifter till leverantörer av hård- och mjukvara som används i produktionsmiljön, • vilka system som är sektorskritiska och vilka som används för att tillhandahålla verksamhetsutövarens externa tjänster, samt • vilka, om några, system i utvecklings-, test- eller utbildningsmiljö som bedöms vara kritiska för att skyndsamt kunna omhänderta sårbarheter och incidenter i produktionsmiljön. Verksamhetsutövaren bör dokumentera vilken informationsbehandling som är utkontrakterad samt kontaktuppgifter till leverantören och till verksamhetsutövarens berörda informationsägare. Förteckningen bör även innehålla kontaktuppgifter till sådana funktioner hos leverantörer som ger stöd vid sårbarheter och incidenter.

text: För att kunna upprätthålla säker drift och möjliggöra återställning av system i produktionsmiljön ska verksamhetsutövaren hålla driftdokumentationen för systemen uppdaterad samt fastställa vilka system som är sektorskritiska. För utvecklings-, test- och utbildningsmiljö ska verksamhetsutövaren identifiera och hantera behovet av att hålla driftdokumentation för system uppdaterad.

text: Allmänna råd

text: Av driftdokumentationen för ett system bör framgå • vilken verksamhet och vilken informationsbehandling som systemet stödjer samt om systemet används för sektorskritisk verksamhet, • om och varför systemet är nödvändigt för att upprätthålla viktiga samhällsfunktioner hos andra organisationer, • om information i behov av utökat skydd behandlas i systemet, • referens till aktuell riskanalys och risker som inte kunnat omhändertas på ett tillfredställande sätt, • vilken nivå av cybersäkerhet som systemet behöver uppnå och vilka säkerhetsåtgärder som har genomförts för att uppnå denna, • beroenden till andra system, • acceptabla tider för otillgänglighet och bristande funktionalitet och hur systemet återställs, • om systemet är placerat i it-segment eller ot-segment, • vilken hårdvara som används och dess version samt vilken macadress, ip-adress eller identifierare som används för hårdvara, • vilken mjukvara som används och dess version, • hur hård- och mjukvara är konfigurerad, • resurser som behövs för drift och underhåll av systemet, • kontaktuppgifter till berörd systemägare och till berörda informationsägare, samt • referens till relevanta användarmanualer för systemet.

text: Segmentering

text: För att minimera konsekvenser och förhindra spridning av incidenter orsakade av angrepp mot och misstag i den digitala miljön ska verksamhetsutövaren dela in den i segment och endast tillåta godkända informationsflöden till och från segment. Verksamhetsutövaren ska identifiera och hantera behovet av att placera enskilda system, ett begränsat antal system eller system med liknande funktion, användning eller skyddsbehov i olika it- eller ot-segment i den digitala miljön.

text: Allmänna råd

text: Verksamhetsutövaren bör införa segment i produktionsmiljön för • system som används för gästnätverk, • system hos verksamhetsutövaren som sammankopplas med system hos leverantör, • system som tillhandahåller externa tjänster, • system som innehåller sårbarheter som inte kan omhändertas på ett tillfredställande sätt,

text: • klienter för användare, • klienter för systemadministration, • sektorskritiska system, • centrala säkerhetsfunktioner i form av behörighetshantering säkerhetsloggning, säkerhetskopiering, övervakning av system, filtrering av extern kommunikation och liknande, • centrala stödfunktioner i form av skrivare, skanner och liknande funktioner, samt • trådlösa nätverk för personal.

text: Verksamhetsutövaren ska bedriva utveckling, test och utbildning som kan påverka säkerheten i produktionsmiljöns it-segment i en från produktionsmiljön avskild utvecklings-, test- respektive utbildningsmiljö. Verksamhetsutövaren ska identifiera och hantera behovet av att bedriva utveckling, test och utbildning som kan påverka säkerheten i produktionsmiljöns ot-segment i en från produktionsmiljön avskild utvecklings-, testrespektive utbildningsmiljö.

text: Säkerhetskonfigurering

text: För att försvåra angrepp mot system ska de konfigureras så att obehörig åtkomst försvåras och cybersäkerheten upprätthålls. Verksamhetsutövaren ska 1. byta ut förinställda autentiseringsuppgifter och stänga av, blockera eller ta bort funktioner i system som inte behövs, 2. endast tillåta godkända informationsflöden till och från system, samt 3. identifiera och hantera behovet av att endast tillåta installation och användning av på förhand godkänd mjukvara.

text: Allmänna råd

text: Verksamhetsutövaren bör inte tillåta direktkommunikation mellan klienter. Inaktiva sessioner bör automatiskt avslutas efter en fördefinierad tidsperiod. Vid säkerhetskonfigurering bör leverantörens rekommendationer och relevanta standarder användas och säkerhetsfunktioner bör konfigureras så att säkerhet upprätthålls när tekniska fel och brister inträffar.

text: Verksamhetsutövaren bör använda tekniskt systemstöd för att följa upp att systemen är korrekt konfigurerade.

text: Behörighetshantering och autentisering

text: För att säkerställa att endast behöriga användare och system ska få åtkomst till olika delar av den digitala miljön ska verksamhetsutövaren genom behörighetshantering fastställa hur digitala identiteter, behörigheter och autentiseringsuppgifter utformas, tilldelas, används, förändras, avslutas och skyddas. Verksamhetsutövaren ska säkerställa att autentiseringsuppgifter har tillräcklig längd och komplexitet.

text: Allmänna råd

text: Verksamhetsutövaren bör • tidsbegränsa tilldelade digitala identiteter och behörigheter, • använda tekniska system som stöd för hantering och kontroll av digitala identiteter, behörigheter och autentiseringsuppgifter, samt • identifiera vilka externa tjänster som ska vara åtkomliga utan kontroll av digitala identiteter eller behörigheter.

text: Verksamhetsutövaren ska låsa en digital identitet efter ett fastställt antal misslyckade inloggningsförsök. Verksamhetsutövaren ska låsa, blockera eller ta bort digitala identiteter för användare eller system som inte längre ska ha åtkomst till system eller den digitala miljön.

text: Verksamhetsutövaren ska inte tilldela användare och system behörighet till mer information eller fler system än vad som behövs för att bedriva verksamheten och upprätthålla cybersäkerheten. Systemadministrativ behörighet ska tilldelas restriktivt och endast användas för systemadministration. Verksamhetsutövaren ska inte tillåta att autentiseringsuppgifter som används i produktionsmiljön också används i utvecklings-, test- och utbildningsmiljö.

text: Allmänna råd

text: Verksamhetsutövaren bör • genomföra åtkomstkontroll till information i centrala stödfunktioner i form av skrivare, skanner och liknande utrustning innan åtkomst beviljas, • administrera olika segment av produktionsmiljön med olika systemadministrativa behörigheter, samt • begränsa omfattning och tid för systemadministrativa behörigheter som ges till leverantörer till aktuellt uppdrag.

text: Verksamhetsutövaren ska använda flerfaktorsautentisering för åtkomst till system i it-segment som behandlar information som har behov av utökat skydd. Verksamhetsutövaren ska använda flerfaktorsautentisering för systemadministrativ åtkomst till system i it-segment och till ot-segment i produktionsmiljön. Flerfaktorsautentisering ska även användas för personals och leverantörers åtkomst till den digitala miljön via externt nätverk. Verksamhetsutövaren ska identifiera och hantera behov av flerfaktorsautentisering vid annan åtkomst till information och system i den digitala miljön.

text: Verksamhetsutövaren ska identifiera och hantera behovet av att mottagare av externa tjänster identifierar sig med e-legitimation eller motsvarande för att få åtkomst till sådana tjänster.

text: Verksamhetsutövaren ska identifiera och hantera behovet av att andra organisationer och enskilda personer kan verifiera verksamhetsutövarens identitet vid kontakt via digitala kanaler.

text: Allmänna råd

text: Andra organisationer och enskilda personer bör kunna verifiera verksamhetsutövarens identitet vid dennes kommunikation via e-post, sms, telefonsamtal och webbsidor. Verksamhetsutövaren bör tillhandahålla lättillgänglig information om hur sådan verifiering kan ske.

text: Övervakning, säkerhetsloggning och logganalys

text: För att upptäcka och agera på tekniska fel, intrång och andra brister i cybersäkerheten ska verksamhetsutövaren identifiera och hantera behovet av att övervaka den digitala miljön. Verksamhetsutövaren ska även identifiera och hantera behovet av att larm genereras vid brister i cybersäkerheten och att åtgärder vidtas vid sådana larm. Verksamhetsutövaren ska, om inte uppenbart obehövligt, ansluta sig till automatiska notifieringar av tekniska sårbarheter (ANTS) hos den nationella CSIRT-enheten. Verksamhetsutövaren ska identifiera och hantera behovet av att, om möjligt, ansluta sig till stöd för informationsutbyte om cyberhot (MISP-SE) hos den nationella CSIRT-enheten. Verksamhetsutövaren ska identifiera och hantera behovet av realtidsövervakning i den digitala miljön.

text: Allmänna råd

text: Verksamhetsutövaren bör använda realtidsövervakning i produktionsmiljön för att skyndsamt upptäcka och agera på incidenter och tillbud i centrala säkerhetsfunktioner och sektorskritiska system.

text: För att kunna utreda brister i cybersäkerheten ska verksamhetsutövaren logga relevanta säkerhetshändelser. Verksamhetsutövaren ska logga obehörig åtkomst och försök till obehörig åtkomst till den digitala miljön. Verksamhetsutövarens säkerhetsloggning ska även, om det inte är uppenbart obehövligt, omfatta följande i produktionsmiljön åtkomst till system och segment, användning av systemadministrativ behörighet, förändring av konfigurationer i centrala säkerhetsfunktioner och sektorskritiska system, förändring av behörighet för användare och system, och åtkomst till information i behov av utökat skydd.

text: Verksamhetsutövaren ska identifiera och hantera behovet av säkerhetsloggning i utvecklings-, test- och utbildningsmiljö. Säkerhetsloggarna ska skyddas mot obehörig åtkomst och sparas så länge de behövs för att kunna utreda brister i cybersäkerheten.

text: Allmänna råd

text: För att möjliggöra utredning av fel, intrång och andra brister i cybersäkerheten bör säkerhetsloggar innehålla tillräcklig information om vilken händelse som har inträffat, vilken användare och vilket system som registrerade säkerhetshändelsen först, vilken information och vilka system som har påverkats samt vid vilken tidpunkt som händelsen inträffade. Verksamhetsutövaren bör logga åtkomst till produktionsmiljön och till system som förutsätter en tilldelad behörighet. Verksamhetsutövaren bör logga obehörig åtkomst och försök till obehörig åtkomst i utvecklings-, test- och utbildningsmiljö. Verksamhetsutövaren bör logga samtliga händelser som indikerar brister i cybersäkerheten och som upptäckts genom övervakning.

text: Verksamhetsutövaren ska analysera säkerhetsloggarna för att upptäcka och utreda fel, obehörig åtkomst och andra brister i cybersäkerheten. Verksamhetsutövaren ska analysera säkerhetsloggar för varje system med ett intervall som är lämpligt utifrån externa krav, interna behov och identifierade risker.

text: Allmänna råd

text: Verksamhetsutövaren bör använda ett centralt systemstöd för att samla in, lagra och analysera säkerhetsloggarna.

text: Robust och korrekt tid

text: För att kunna jämföra säkerhetsloggar vid incidenter som involverar andra organisationer ska verksamhetsutövaren använda robust och korrekt tid som är översättningsbar till den svenska tillämpningen av koordinerad universell tid, UTC (SP), i produktionsmiljön. För utvecklings-, test- och utbildningsmiljö ska verksamhetsutövaren identifiera och hantera behovet av att använda robust och korrekt tid som är översättningsbar till den svenska tillämpningen av koordinerad universell tid, UTC (SP).

text: Allmänna råd

text: Verksamhetsutövaren bör använda tidstjänsten Swedish Distributed Time Service för robust och korrekt tid koordinerad till UTC (SP) som tillhandahålls på uppdrag av behörig myndighet.

text: Skydd mot skadlig kod

text: För att skydda system i it-segment mot angrepp med skadlig kod ska verksamhetsutövaren använda för detta ändamål avsedd mjukvara om sådan mjukvara uppfyller verksamhetsutövarens behov och finns tillgänglig på marknaden.

text: Allmänna råd

text: Verksamhetsutövaren bör skydda system i ot-segment mot angrepp med skadlig kod genom att använda för detta ändamål avsedd mjukvara om sådan mjukvara uppfyller verksamhetsutövarens behov och finns tillgänglig på marknaden.

text: Kryptering

text: För att säkerställa att information i system skyddas mot obehörig åtkomst och obehörig förändring vid överföring mellan och lagring i system ska verksamhetsutövaren identifiera och hantera behovet av att kryptera informationen i den digitala miljön. Verksamhetsutövaren ska använda kryptering för att skydda säkerhetsloggar och autentiseringsuppgifter vid överföring i den digitala miljön. Säkerhetsloggar, autentiseringsuppgifter och annan information i behov av utökat skydd ska skyddas med kryptering vid överföring till system utanför den digitala miljön.

text: Allmänna råd

text: Verksamhetsutövaren bör fastställa kriterier för val och godkännande av krypteringsalgoritmer, krypteringsprotokoll och nyckellängder samt fastställa när och hur krypteringsnycklar genereras, distribueras, används, återkallas, skyddas och förstörs. Verksamhetsutövaren bör skydda säkerhetsloggar, autentiseringsuppgifter och information i behov av utökat skydd med kryptering vid lagring i den digitala miljön.

text: För att försvåra angrepp genom manipulation av översättningen mellan domännamn och ip-adresser i domännamnssystemet (DNS) ska verksamhetsutövaren, om inte uppenbart obehövligt, använda Domain Name System Security Extensions (DNSSEC) för domännamn som verksamhetsutövaren registrerat i DNS.

text: Säkerhetstester och granskningar

text: För att identifiera bristande cybersäkerhet för system i it-segment ska verksamhetsutövaren genom säkerhetstester och granskningar säkerställa att införda tekniska och driftrelaterade säkerhetsåtgärder är lämpliga och proportionella. Säkerhetstester ska användas för att kontrollera att 1. systemen är uppdaterade till senaste godkända version, 2. publicerade sårbarheter är omhändertagna, och 3. valda konfigurationer har införts.

text: Granskningar ska användas för att kontrollera att införda tekniska och driftrelaterade säkerhetsåtgärder omhändertar systemets behov av cybersäkerhet. Verksamhetsutövaren ska identifiera och hantera behovet av att genom säkerhetstester och granskningar säkerställa att införda tekniska och driftrelaterade säkerhetsåtgärder för system i ot-segment är lämpliga och proportionella.

text: Allmänna råd

text: Etablerad testmetodik bör användas för både automatiserade och manuella säkerhetstester. Om sårbarheter som inte tidigare har publicerats upptäcks bör dessa rapporteras till den nationella CSIRT-enheten.

text: Återställning av förlorad information och säkerhetskopiering

text: För att minska konsekvenserna för verksamheten om informationen i system har förlorats, förvanskats eller på annat sätt blivit otillgänglig, ska verksamhetsutövaren säkerställa att informationen kan återställas inom fastställda acceptabla tider för otillgänglighet och bristande funktionalitet. Verksamhetsutövaren ska identifiera och hantera behovet av att säkerhetskopiera informationen.

text: Allmänna råd

text: För säkerhetskopiering bör det fastställas • vilken information som ska säkerhetskopieras avseende programvara, konfiguration respektive behandlad information, • hur ofta och på vilket sätt säkerhetskopior ska tas och hur kontroll ska göras av att informationen på säkerhetskopiorna är korrekt och komplett, • hur säkerhetskopior ska skyddas mot obehörig åtkomst, obehörig förändring och fysisk skada och var och hur länge säkerhetskopiorna ska sparas, samt, • hur återläsning av säkerhetskopior ska genomföras, och hur kontroll ska göras av att informationen som återlästs är korrekt och komplett Minst en säkerhetskopia bör skyddas mot skadlig kod genom att lagras på hårdvara separerad från det system som informationen hämtats ifrån.

text: Intrångsdetektering och intrångsskydd

text: För att upptäcka och förhindra angrepp ska verksamhetsutövaren använda intrångsdetektering och intrångsskydd för it-segment i produktionsmiljön. Verksamhetsutövaren ska identifiera och hantera behovet av intrångsdetektering och intrångsskydd för ot-segment i produktionsmiljön. För utvecklings-, test- och utbildningsmiljö ska verksamhetsutövaren identifiera och hantera behovet av intrångsdetektering och intrångsskydd.

text: Ändringshantering

text: För att minska risken för incidenter och tillbud som kan uppkomma vid ändringar ska verksamhetsutövaren bedriva ändringshantering för produktionsmiljön på ett strukturerat och spårbart sätt vid införande, uppgradering, uppdatering och avveckling av hård- och mjukvara samt andra förändringar som påverkar cybersäkerheten. För utvecklings-, test- och utbildningsmiljö ska verksamhetsutövaren identifiera och hantera behovet av att bedriva ändringshantering på ett strukturerat och spårbart sätt.

text: Allmänna råd

text: Endast ändringar som godkänts genom ändringshanteringen bör genomföras. Mjukvara bör uppdateras till senaste version utan onödigt dröjsmål. Verksamhetsutövaren bör fastställa vilka åtgärder som ska vidtas när en uppdatering eller uppgradering inte kan genomföras eller när pågående ändring behöver avbrytas.

text: För att skydda system i it-segment mot sårbarheter ska verksamhetsutövaren skyndsamt genomföra säkerhetsuppdateringar. Mjukvara som leverantören inte längre tillhandahåller säkerhets-uppdateringar för ska bytas ut eller uppgraderas utan onödigt dröjsmål. Verksamhetsutövaren ska identifiera och hantera behovet av säkerhetsuppdateringar, uppdateringar och uppgraderingar i ot-segment.

text: Allmänna råd

text: Verksamhetsutövaren bör påbörja arbetet med att införa en säkerhetsuppdatering inom 72 timmar efter det att programvara som ger skydd mot sårbarheten har tillgängliggjorts.

text: 5 kap. Fysiska säkerhetsåtgärder

text: Lokaler

text: För att förhindra obehörig fysisk åtkomst till, förlust av och fysisk skada på system ska verksamhetsutövaren skydda verksamhetens lokaler där information behandlas i system mot obehörigt tillträde genom tillträdesbegränsning och, om inte uppenbart obehövligt, bevakning. Verksamhetsutövaren ska kontrollera personals samt besökares identitet innan de ges tillträde till sådana lokaler förutom till utpekade besöksutrymmen. Verksamhetsutövaren ska identifiera och hantera behovet av särskilda itoch ot-utrymmen samt behovet av annat fysiskt skydd för utrustning.

text: Allmänna råd

text: Verksamhetsutövaren bör anpassa skalskydd för verksamhetens lokaler utifrån den information som behandlas där. Verksamhetsutövaren bör i verksamhetens lokaler behandla information i behov av utökat skydd i sektioner skilda ifrån övriga lokaler. Verksamhetsutövaren bör placera servrar och nätverksutrustning i särskilda itoch ot-utrymmen, tilldela tillträde till sådana utrymmen restriktivt och registrera tillträde på individnivå.

text: Verksamhetsutövaren ska säkerställa, om det inte är uppenbart obehövligt, att särskilda it- och ot-utrymmen förses med bevakning och larm samt att åtgärder vidtas vid larm om obehörigt tillträde. Verksamhetsutövaren ska identifiera och hantera behovet av att larm genereras vid obehörigt tillträde till verksamhetens övriga lokaler och att åtgärder vidtas vid sådana larm.

text: För att undvika förlust av, skada på eller funktionsstörning i system ska verksamhetsutövaren identifiera och hantera behovet av att skydda lokaler mot 1. brand, 2. vattenskador, 3. skadlig nivå av luftfuktighet, och 4. skadlig temperatur.

text: Tekniska försörjningssystem

text: För att undvika skada på eller störning i system i den digitala miljön på grund av fel eller avbrott i tekniska försörjningssystem ska verksamhetsutövaren säkerställa tillräcklig funktionalitet avseende el, kyla, värme och ventilation samt externa elektroniska kommunikationsnät och externa elektroniska kommunikationstjänster. Verksamhetsutövaren ska identifiera och hantera behovet av att övervaka de tekniska försörjningssystemens funktion, att larm genereras vid otillräcklig funktionalitet samt att åtgärder vidtas vid sådana larm. Verksamhetsutövaren ska identifiera och hantera behovet av redundanta funktioner för tekniska försörjningssystem.

text: 6 kap. Sektorsspecifika säkerhetsåtgärder

text: Offentlig förvaltning

text: System för kriskommunikation

text: För att kunna samverka och kommunicera vid kriser ska verksamhetsutövare kontrollera cybersäkerheten i system som ska användas för samverkan respektive intern och extern kriskommunikation.

text: Allmänna råd

text: Verksamhetsutövaren bör kontrollera att system för samverkan respektive kriskommunikation kan användas på avsett sätt var tredje månad.

text: Verksamhetsutövare ska identifiera och hantera behovet av att, om möjligt, använda Rakelterminaler (Radiokommunikation för effektiv ledning) eller SWEN-terminaler (The Swedish Emergency Network) och SGSI (Swedish Government Secure Intranet) för kriskommunikation.

text: 7 kap. Undantag

text: Försvarets radioanstalt kan i enskilda fall, och om det finns särskilda skäl, medge undantag från tillämpningen av dessa föreskrifter.

text: Denna författning träder i kraft den 1 oktober 2026.

text: Myndigheten för civilt försvar

text: MIKAEL FRISELL

text: Tove Wätterstam Avdelningen för cybersäkerhet och samhällsviktiga kommunikationer

text: Beställningsadress:

text: Norstedts Juridik, 106 47 Stockholm Telefon: 08-657 95 00 E-post: order@forlagssystem.se Webbadress: www.nj.se/offentligapublikationer Beställningsnummer: 19126-11


fs: mcffs

publisher: Myndigheten för civilt försvar

title: Myndigheten för civilt försvars föreskrifter och allmänna råd om säkerhetsrevision och säkerhetsskanning

text: 1 kap. Inledande bestämmelser

type: rubrik

text: Tillämpningsområde

text: Dessa föreskrifter och allmänna råd innehåller bestämmelser om sådan säkerhetsrevision och säkerhetsskanning som avses i

text: 3 kap.

text: 7 §§

text: cybersäkerhetslagen (2025:1506)

type: stycke

type: paragraf

text: Bestämmelserna i 2 kap. ska endast tillämpas när en tillsynsmyndighet anlitar ett oberoende organ för att utföra en säkerhetsrevision.

text: Ordförklaringar

text: Uttryck i dessa föreskrifter och allmänna råd har samma betydelse som i

text: cybersäkerhetslagen

text: I dessa föreskrifter och allmänna råd avses med

text: ___________________________________________________________________________

text: Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022

text: om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning

text: (EU) nr 910/2014

text: och

text: direktiv (EU) 2018/1972

text: och om upphävande av

text: direktiv (EU) 2016/1148

text: , i den ursprungliga lydelsen (NIS 2direktivet).

text: Begrepp Betydelse

text: digital miljö den samlade mängden system som verksamhetsutövaren använder för att bedriva intern verksamhet och tillhandahålla externa tjänster. Består av produktionsmiljö och, i tillämpliga fall, utvecklings-, testrespektive utbildningsmiljö,

text: sektorskritiska system ett system som är nödvändigt för att kunna bedriva intern verksamhet eller tillhandahålla externa tjänster inom sektorsverksamhet,

text: system nätverks- och informationssystem enligt 1 kap. 2 § p. 16

text: cybersäkerhetslagen

text: säkerhetsrevision granskning i syfte att bedöma om de säkerhetsåtgärder som verksamhetsutövaren har vidtagit för att skydda system och för att säkerställa efterlevnad av kraven i

text: cybersäkerhetslagen

text: med tillhörande reglering är ändamålsenliga och effektiva,

text: säkerhetsskanning skanning av system för att upptäcka sårbarheter eller osäker konfiguration,

text: viktig samhällsfunktion en samhällsfunktion som är nödvändig för samhällets grundläggande behov, värden eller säkerhet.

type: kapitel

text: 2 kap. Säkerhetsrevision

text: Syfte och val av oberoende organ för säkerhetsrevision

text: Vid en säkerhetsrevision ska det bedömas vilken nivå av cybersäkerhet som verksamhetsutövaren har och om säkerhetsåtgärderna uppfyller de krav som ställs i

text: cybersäkerhetslagen

text: med tillhörande reglering.

text: Det oberoende organ som anlitas för att utföra en säkerhetsrevision ska vara en juridisk person eller enskild näringsidkare som tillhandahåller

text: personal med tillräcklig kunskap utifrån uppdragets utformning och vid behov kunskap om den verksamhet som granskningen avser.

text: Allmänna råd Vid tillsynsmyndighetens bedömning av det oberoende organets lämplighet för uppdraget bör det oberoende organets egen nivå av cybersäkerhet, tid och resurser för att kunna utföra uppdraget samt förekomst av relevant certifiering beaktas. Vid bedömning av tillräcklig kunskap utifrån uppdragets utformning bör kunskaper inom cybersäkerhet, granskningsmetodik och säkerhetsrevision hos det oberoende organets personal beaktas.

text: Tillsynsmyndigheten ska säkerställa att det oberoende organ som anlitas för att utföra en säkerhetsrevision 1. genomför uppdraget opartiskt, självständigt och objektivt, 2. inte under uppdragets genomförande är bundna av sekretessavtal eller andra motsvarande överenskommelser med verksamhetsutövaren som inskränker tillsynsmyndighetens tillgång till relevant information, 3. kan skydda information relaterad till uppdraget på ett säkert sätt, 4. inte nyttjar information som erhållits i samband med säkerhetsrevisionen för annat än genomförande av den aktuella säkerhetsrevisionen, och 5. förstör informationen när uppdraget är genomfört om inte annat har avtalats med verksamhetsutövaren som är föremål för tillsyn.

text: Allmänna råd

text: Tillsynsmyndigheten bör inte anlita ett oberoende organ som har affärsrelationer, rådgivningsuppdrag eller andra beroendeförhållanden till den verksamhetsutövare som är föremål för granskning. Tillsynsmyndigheten bör begära att det oberoende organet informerar tillsynsmyndigheten om sådan intressekonflikt uppstår under uppdraget.

text: Det oberoende organets genomförande av säkerhetsrevision

text: Tillsynsmyndigheten ska i samband med att en säkerhetsrevision inleds upplysa verksamhetsutövaren om 1. uppdragets omfattning,

text: 2. möjligheten att informera tillsynsmyndigheten om eventuella brister i det oberoende organets genomförande av säkerhetsrevisionen, och 3. på vilket sätt information enligt 2 p. ska lämnas.

text: Tillsynsmyndigheten ska säkerställa att det oberoende organ som anlitas för att utföra en säkerhetsrevision dokumenterar avvikelser från efterlevnad av kraven i

text: cybersäkerhetslagen

text: med tillhörande reglering.

text: I en säkerhetsrevision ingår att kontrollera både utformningen och tillämpningen av säkerhetsåtgärder. En säkerhetsrevision ska utformas på ett sådant sätt att den inte vållar större kostnad eller olägenhet för verksamhetsutövaren än vad som är nödvändigt.

text: Säkerhetsrevisionen ska inkludera åtminstonde följande moment: 1. granskning av relevant dokumentation, 2. intervjuer med berörd personal, 3. tekniska kontroller av system och segment, samt 4. vid behov, kontroll av lokaler.

text: Momenten i punkterna 2–4 ska, om inte särskilda skäl talar emot, utföras på plats hos verksamhetsutövaren.

text: Allmänna råd

text: En säkerhetsrevision bör omfatta både tekniska och icke-tekniska moment, såsom granskning av en verksamhetsutövarens digitala miljö, interna regler och arbetssätt, avtal eller överenskommelse om utkontraktering samt övrig dokumentation.

text: Säkerhetsrevisionen ska genomföras enligt en metodik som möjliggör en systematisk och riskbaserad granskning av verksamhetsutövarens organisatoriska, tekniska, driftrelaterade och fysiska säkerhetsåtgärder. Den metodik som används ska dokumenteras. Tillsynsmyndigheten ska säkerställa att säkerhetsrevisioner hos verksamhetsutövare utförs på ett effektivt och likvärdigt sätt.

text: Allmänna råd

text: Det oberoende organet bör som stöd vid utformning av metodiken och genomförande av säkerhetsrevisionen använda revisionsmetodik enligt nedan etablerade standarder eller motsvarande: • Bedömning av överensstämmelse – Krav på organ som reviderar och certifierar ledningssystem (ISO/IEC 17021-1:2015). • Bedömning av överensstämmelse – Krav på verksamhet inom olika typer av kontrollorgan (ISO/IEC 17020:2012). • Informationsteknik – Säkerhetstekniker – Vägledning för revision av ledningssystem för informationssäkerhet (ISO/IEC 27007:2020).

text: • International standard on assurance engagements 3000 (revised) assurance engagements other than audits or reviews of historical financial information (Effective for assurance reports dated on or after December 15, 2015). • Informationssäkerhet, cybersäkerhet och integritetsskydd – Krav på organ som tillhandahåller revision och certifiering av informationssäkerhetssystem – Del 1: Allmänt (ISO/IEC 27006-1:2024, IDT). Det oberoende organet bör i sin granskning av organisatoriska, tekniska, driftrelaterade och fysiska säkerhetsåtgärder utgå ifrån standarder som ger stöd för den specifika revisionen.

text: Innan en säkerhetsrevision inleds ska tillsynsmyndigheten ha godkänt säkerhetsrevisionens omfattning och tillvägagångssätt.

text: Om en sårbarhet som inte tidigare har publicerats upptäcks i verksamhetsutövarens digitala miljö vid en säkerhetsrevision ska tillsynsmyndigheten säkerställa att det oberoende organet utan dröjsmål och på lämpligt sätt informerar verksamhetsutövaren och tillsynsmyndigheten om sårbarheten.

text: Efter genomförd säkerhetsrevision ska tillsynsmyndigheten säkerställa att det oberoende organet sammanställer resultatet av genomförd revision i en skriftlig rapport. Rapporten och övrig relevant dokumentation ska överlämnas till tillsynsmyndigheten på det sätt tillsynsmyndigheten har anvisat.

text: Allmänna råd

text: En skriftlig rapport bör innehålla eventuellt identifierade sårbarheter, övrig information som framkommit under säkerhetsrevisionen samt förslag på åtgärder.

text: 3 kap. Säkerhetsskanning

text: Syfte, omfattning och utförare

text: Tillsynsmyndigheten ska genom säkerhetsskanning bedöma effektiviteten av genomförda säkerhetsåtgärder i verksamhetsutövarens digitala miljö.

text: En säkerhetsskanning ska utföras av en tillsynsmyndighet. För genomförandet kan tillsynsmyndigheten anlita en extern aktör. En säkerhetsskanning ska utföras av personal med för uppdraget tillräcklig kunskap.

text: Allmänna råd

text: Vid bedömning av tillräcklig kunskap för uppdraget bör personalens kunskaper om följande beaktas: • relevanta skanningsmetoder och risker, • hur automatiserade och manuella verktyg används, samt • hur negativa konsekvenser för verksamhetsutövaren kan minimeras.

text: Tillsynsmyndigheten ska säkerställa att en säkerhetsskanning genomförs i den omfattning som är nödvändig för tillsynen och endast avser system som verksamhetsutövaren har rådighet över inom ramen för sin verksamhet.

text: Tillsynsmyndigheten ska säkerställa att en säkerhetsskanning genomförs på ett sådant sätt att negativ inverkan på funktionaliteten i systemen och övriga negativa konsekvenser för verksamhetsutövaren minimeras.

text: Allmänna råd

text: Säkerhetskanningar bör ske med automatiserade verktyg i den mån det är lämpligt i förhållande till syftet med åtgärden.

text: Tillsynsmyndigheten ska vid anlitande av en extern aktör för utförande av en säkerhetsskanning säkerställa att den externa aktören 1. inte under uppdragets genomförande är bundna av sekretessavtal eller andra motsvarande överenskommelser med verksamhetsutövaren som inskränker tillsynsmyndighetens tillgång till relevant information, 2. kan skydda information relaterad till uppdraget på ett säkert sätt, 3. inte nyttjar information som erhållits i samband med säkerhetsskanningen för annat än genomförande av den aktuella säkerhetsskanningen, och 4. förstör informationen när uppdraget är genomfört om inte annat har avtalats med verksamhetsutövaren som är föremål för tillsyn.

text: Metod och riskbaserat urval

text: Vid val av metod för utförande av en säkerhetsskanning ska tillsynsmyndigheten beakta systemens betydelse för verksamheten. Identifieras betydande risk för negativa konsekvenser för verksamhetsutövaren ska alternativa metoder för säkerhetsskanning övervägas och om säkerhetsskanning alls ska genomföras.

text: Innan en tillsynsmyndighet beslutar att utföra en säkerhetsskanning ska den säkerställa att

text: 1. val av verksamhetsutövare och av vilka system som ska skannas har skett utifrån en riskbaserad metod, och 2. de metoder som ska användas för att genomföra skanningen är lämpliga i förhållande till de identifierade riskerna och de system som ska skannas.

text: Tillsynsmyndighetens bedömning och beslut enligt 1–2 p. ska dokumenteras.

text: Allmänna råd

text: Vid tillsynsmyndighetens val av verksamhetsutövare för en säkerhetsskanning bör verksamhetsutövarens betydelse för viktiga samhällsfunktioner beaktas. Vid tillsynsmyndighetens val av vilka system som ska skannas bör följande beaktas: • om systemet är sektorskritiskt, • integrationer och beroenden, • tidigare incidenter eller rapporterade sårbarheter, • exponering mot internet, och • teknisk riskprofil, såsom system som är kända för att innehålla sårbarheter.

text: Innan en säkerhetsskanning genomförs ska tillsynsmyndigheten, om inte särskilda skäl talar emot, tillsammans med verksamhetsutövaren 1. bedöma risken för driftpåverkan, 2. planera genomförandet så att belastningen på systemen minimeras, 3. ta fram en plan för att kunna avbryta säkerhetsskanningen, och 4. bedöma behovet av att säkerställa förmåga att återställa de system som kan påverkas negativt.

text: Informationsskyldighet

text: Tillsynsmyndigheten ska säkerställa att verksamhetsutövaren utan dröjsmål och på lämpligt sätt informeras om brister och sårbarheter som upptäckts vid säkerhetsskanningen för att skyndsamt kunna vidta åtgärder.

text: Myndigheten för civilt försvar

text: MIKAEL FRISELL

text: Ida Sahlin Avdelningen för cybersäkerhet och samhällsviktiga kommunikationer

text: Beställningsadress:

text: Norstedts Juridik, 106 47 Stockholm Telefon: 08-657 95 00 E-post: order@forlagssystem.se Webbadress: www.nj.se/offentligapublikationer Beställningsnummer: 19126-12

type: foreskrift