Ny lag för en hög nivå av cybersäkerhet
EU har fattat beslut om nya direktiv för att stärka skyddet av samhällsviktiga tjänster. Nu införlivas direktiven i svensk lag. För oss och andra svenska kommuner innebär den nya cybersäkerhetslagen ökade krav på incidentrapportering, riskanalyser och olika säkerhetsåtgärder.
Många organisationer berörs när den nya cybersäkerhetslagen träder i kraft den 15 januari 2026. Inte minst berörs kommuner och regioner, som varje dag året runt levererar samhällsviktiga tjänster.
Leda till minskat förtroende
Risken för cyberangrepp och incidenter ökar i en orolig omvärld. Det kan göra att känslig information kommer i fel händer, manipuleras, stjäls eller förstörs.
– Det kan få både säkerhetsmässiga och ekonomiska konsekvenser och leda till ett minskat förtroendet för samhällets funktionalitet. Därför behöver vi alltid jobba systematiskt med risker och säkerhetsåtgärder, säger Maria Langen, informationssäkerhetssamordnare.
Stor påverkan på samhället
Digitaliseringen har hjälpt oss att effektivisera vårt arbete, men har även gjort oss sårbara för nya typer av hot och incidenter som kan leda till störningar och samhällskonsekvenser.
De senaste åren har vi kunnat se flera exempel på när kommuner, regioner och it-leverantörer drabbats, vilket har fått stor påverkan på samhället.
– Många kommuner runt om i landet har drabbats av cyberattacker som slagit ut både verksamhetssystem och kommunikationskanaler. Det har gjort att de har fått arbeta med manuella rutiner i flera månader, säger Maria.
Känsliga personuppgifter har vid flera tillfällen läckt och publicerats på darknet (en dold del av internet), senast när leverantören Miljödata blev utpressade efter ett cyberangrepp. Vi har också sett cyberattacker som kombineras med sabotage av kritisk infrastruktur, trygghetslarm som slagits ut och GPS-störningar som påverkat flygtrafiken.
Utbildning på alla nivåer
Under 2025 har Maria förberett organisationen på den nya lagstiftningen, som bland annat riktar krav på att utbildning på alla nivåer. Kontorens ledningsgrupper har fått en första utbildning i cybersäkerhet och vad den nya lagen innebär.
– Under 2026 tar vi nästa steg med utbildning av förtroendevalda politiker och enhetschefer. Vi kommer även att fortsätta utbilda medarbetare i säkerhetsmedvetenhet, säger hon.
Skärpta krav
Den nya lagen ställer skärpta krav på kommunens cybersäkerhetsarbete och att känslig information har rätt skydd. Incidenter ska rapporteras och det ska finnas system för att säkert hantera skyddsvärd och känslig information. Kommunen ska även ta ansvar för säkerhet i leverantörskedjan. Det gör det extra viktigt att informationssäkerhetskrav ställs redan vid upphandling och i avtalsskrivning.
I Östhammars kommun finns redan mycket av det här arbetet på plats, bland annat ett ledningssystem och etablerade arbetssätt.
– Ingen kan skydda sig helt mot cyberhot och incidenter som kommer att inträffa, men att vara förberedd minskar risken och begränsar konsekvenserna om något ändå inträffar, säger Maria.
Läs mer:
Regeringen utfärdar en ny cybersäkerhetslag (länk till extern sida)
Det här är NIS2-direktivet (länk till extern sida)