Myndigheternas vägledningar beskriver vad en verksamhetsutövare ska göra. De beskriver inte den situation en IT-partner faktiskt hamnar i: ni upptäcker incidenten, ni sitter på loggarna, men skyldigheten ligger hos kunden. Den här sidan reder ut ansvarsfördelningen och vad som behöver vara förberett innan det smäller.
Cybersäkerhetslagen (2025:1506) trädde i kraft den 15 januari 2026. För betydande incidenter gäller en flerstegsprocess. Klockan startar vid kännedom om incidenten – inte vid bekräftad orsak, vilket i praktiken innebär att den ofta startar hos er.
Steg 1 – tidig varning: senast 24 timmar efter kännedom
Steg 2 – incidentanmälan: senast 72 timmar efter kännedom
Steg 3 – delrapport: på myndighetens begäran
Steg 4 – slutrapport: senast en månad efter incidentanmälan; pågår incidenten lämnas lägesrapport och slutrapport inom en månad efter att incidenten hanterats
Ansvarsfördelning: vem gör vad
Den vanligaste missuppfattningen i partnerledet är att leverantören kan ta över rapporteringen. Skyldigheten följer verksamhetsutövaren. Däremot är det nästan alltid leverantören som har den tekniska bilden, vilket gör arbetsfördelningen till en avtalsfråga snarare än en ansvarsöverföring.
MSP: upptäcker, klassificerar tekniskt, larmar kundens utsedda kontakt
MSP: levererar tidslinje, påverkade system och åtgärder som underlag
Kund: bedömer om incidenten är betydande och beslutar om rapportering
Kund: står som avsändare gentemot myndigheten
Båda: dokumenterar beslut löpande så att slutrapporten går att skriva
Beredskap innan det smäller
Tidsfristerna är korta nog att förberedelse avgör utfallet. Det som behöver finnas på plats är inte avancerat – men det behöver finnas innan, inte under, en incident.
Utsedd kontaktperson hos kunden med mandat att besluta, även utanför kontorstid
Larmväg som fungerar när kundens ordinarie e-post är påverkad
Överenskommen definition av när ni larmar kunden
Mall för det underlag ni levererar till kunden
En plats där incidentens tidslinje och beslut loggas löpande
Vad som ofta saknas i avtalet
Många driftavtal reglerar återställningstid men inte informationsplikt vid säkerhetsincident. Utan skriftlig arbetsfördelning uppstår diskussionen mitt i incidenten – när ingen har tid. Reglera vem som larmar vem, inom vilken tid, och vad ni levererar. Låt kundens juridiska eller compliance-kompetens granska skrivningen; formuleringar om ansvar bör inte konstrueras av leverantören ensam.
Från arbetet i plattformen
Observationer från incidentflödet i plattformen
CompliancePilot har ett incidentflöde med bevakning av 24- och 72-timmarsfristerna, beslutslogg och efterarbete. Mönstren som syns där är genomgående praktiska, inte juridiska.
–Den kritiska tidsförlusten uppstår mellan upptäckt och att rätt person hos kunden nås
–Beslut som fattas muntligt under incidenten saknas när slutrapporten ska skrivas
–Rapporten blir enkel att skriva när tidslinjen loggats löpande – annars rekonstrueras den i efterhand
–Efterarbetet är det moment som oftast hoppas över, trots att det ger mest till nästa incident
Rollfördelning vid en betydande incident
IT-partner (MSP)
Kund (verksamhetsutövare)
Upptäckt
Oftast här
Ibland via egen personal
Teknisk analys
Utför
Tar emot
Bedömning betydande incident
Underlag och rekommendation
Beslutar
Rapport till myndighet
Bistår med underlag
Ansvarar och avsänder
Slutrapport
Levererar teknisk tidslinje
Ansvarar för innehåll
Efterarbete
Åtgärder i drift
Beslut om förbättringar
Tabellen beskriver en vanlig praktisk fördelning. Den ersätter inte en avtalsreglering och är inte en juridisk bedömning.
Skriven av: CompliancePilots produktteam · Sakgranskad av: Sakgranskad mot primärkällor (SFS 2025:1506, NCSC, MCF) · Senast granskad:
Innehållet bygger på hur NIS2-arbete faktiskt körs i CompliancePilot: bedömning, bristmotor, dokumentationsunderlag, incidentflöde med 24- och 72-timmarsfrister samt beslutslogg. Observationerna nedan kommer från plattformens egna flöden, inte från allmänna beskrivningar av regelverket.
Informationen på denna sida är vägledande och utgör inte juridisk rådgivning. Tillämpningen av cybersäkerhetslagen beror på verksamhet, sektor och storlek. Juridiska bedömningar ska göras av rätt juridisk eller compliance-kompetens.
FAQ
Vanliga frågor
Kan en MSP rapportera incidenten åt kunden?
Rapporteringsskyldigheten ligger på verksamhetsutövaren. En leverantör kan bistå praktiskt om det är avtalat, men det juridiska ansvaret flyttas inte automatiskt över.
När börjar 24-timmarsfristen räknas?
Från kännedom om den betydande incidenten. Det innebär i praktiken att den ofta startar när leverantörens övervakning slår larm, vilket gör larmvägen till kunden tidskritisk.
Vad räknas som en betydande incident?
Bedömningen görs utifrån incidentens påverkan enligt regelverket och myndighetsföreskrifter. Den ska göras av kunden, med stöd av teknisk analys. Osäkra fall bör stämmas av med kundens juridiska eller compliance-kompetens.
Omfattas vi som IT-leverantör själva?
Utlokaliserad drifts- och säkerhetstjänst är egna tjänstetyper i regelverket. Huvudregeln är att verksamheten omfattas om den är medelstor eller större, men särskilda kriterier kan göra att även mindre aktörer omfattas. Bedömningen är verksamhetsspecifik.
