Anmälningsplikten
Här förklaras när och hur anmälningsplikt gäller enligt cybersäkerhetslagen, NIS2 och CER – vilka som måste anmäla sig och vad som krävs. 

Alla anmälningar ske till Myndigheten för civilt försvar, (f.d. MSB, som är vår centrala tillsynsmyndighet) som sedan skickar uppgifterna vidare till sektorsmyndigheterna. Denna centrala portal förväntas öppna, i samband med  i början av 2026. Tills dess hänvisas verksamheter ofta till sina respektive sektorsmyndigheter.

Så här anmäler du din verksamhet

Med den nya Cybersäkerhetslagen (2026) har anmälningsförfarandet centraliserats. Du behöver inte längre leta efter specifika formulär hos olika myndigheter.

• Central anmälan: Alla verksamheter ska nu registrera sig via Myndigheten för civilt försvars (MCF) centrala portal.

• Automatisk vidarebefordran: MCF skickar automatiskt dina uppgifter till din sektorsansvariga myndighet (t.ex. Energimyndigheten eller PTS) som sedan sköter tillsynen.

• Tidsfrist: Om du omfattas av lagen har du 3 månader på dig att anmäla din verksamhet från det att lagen trädde i kraft eller verksamheten startades.

Registrera din verksamhet:

Alla organisationer som omfattas av Cybersäkerhetslagen är skyldiga att anmäla sig. Detta görs numera centralt oavsett vilken sektor ni tillhör.

• Vart: Gå till den centrala anmälningsportalen hos MCF

• När: Senast 3 månader efter att verksamheten påbörjats eller lagen trätt i kraft.

• Vad händer sen? MCF validerar din anmälan och skickar den vidare till din specifika tillsynsmyndighet.

Väsentliga vs. Viktiga entiteter – vad är skillnaden?

I Cybersäkerhetslagen delas organisationer in i två grupper. Den största skillnaden ligger i tillsynen: Väsentliga entiteter står under proaktiv tillsyn (myndigheten kollar dem löpande), medan Viktiga entiteter främst kontrolleras efter att en incident har inträffat.

Väsentliga entiteter (Essential Entities)

Dessa anses vara helt kritiska för samhällets funktionalitet.

• Vilka omfattas? Stora företag (över 250 anställda eller hög omsättning) inom sektorerna energi, transport, bank, hälsa, dricksvatten och digital infrastruktur. Även alla offentliga förvaltningsorgan räknas hit.

• Tillsyn: Proaktiv. Myndigheten kan göra oanmälda inspektioner och kräva bevis på säkerhetsåtgärder när som helst.

• Sanktioner: Upp till 10 miljoner EUR eller 2 % av den globala omsättningen.

Viktiga entiteter (Important Entities)

Dessa är viktiga för samhället, men ett avbrott anses inte få lika katastrofala följder som för de väsentliga.

• Vilka omfattas? Medelstora företag (över 50 anställda eller högre omsättning än 10m € ) inom de kritiska sektorerna, samt alla företag (oavsett storlek) inom sektorer som avfallshantering, posttjänster, livsmedel, digitala leverantörer, forskningsorganisationer och viss tillverkning (medicin teknik, datorer, elektronik, motor fordon mm)

• Tillsyn: Reaktiv. Myndigheten ingriper oftast bara om de får indikationer på brister eller om en incident har skett.

• Sanktioner: Upp till 7 miljoner EUR eller 1,4 % av den globala omsättningen.

Observera: Innehållet är vägledande och inte juridisk rådgivning.