Cybersäkerhetslagen når VA-driften: vad reglerna kräver 2026

Ett vattenverk behöver fungerande pumpar, behandling och mätning. När dessa funktioner är beroende av digital styrning blir även nätverk, användarkonton och leverantörsanslutningar en del av försörjningens tillförlitlighet. Ett avbrott kan därför behöva hanteras gemensamt av driftpersonal, IT-ansvariga och ledning.

Den svenska cybersäkerhetslagen, 2025:1506, gäller sedan 15 januari 2026. Den 1 oktober började dessutom föreskrifterna MCFFS 2026:11 om säkerhetsåtgärder och ledningens utbildning gälla. För VA-sektorn innebär regelverket att säkerhetsarbetet behöver omfatta den digitala miljö som verksamheten faktiskt är beroende av. Cybersäkerhetslagen · MCFFS 2026:11

Börja med vem som är verksamhetsutövare

Dricksvatten och avloppsvatten är sektorer i EU:s NIS2-direktiv. Det betyder inte att varje företag som levererar något till ett vattenverk automatiskt omfattas av samma skyldigheter. Den svenska lagen måste tillämpas på rätt juridisk organisation.

Kommuner och kommunalförbund omfattas uttryckligen av lagen. För ett separat kommunalt bolag eller en entreprenör behöver verksamhetens sektor, etablering och storlek bedömas enligt lagens kriterier. Även särskilda omständigheter, exempelvis verksamhetens betydelse för liv, hälsa eller samhällsfunktioner, kan medföra att en mindre aktör omfattas. En kommunal förvaltning och ett kommunalt aktiebolag ska därför inte behandlas som samma rättsliga situation. Lagens första kapitel

Verksamhetsutövaren behöver själv bedöma om den omfattas och anmäla verksamheten. Nationellt cybersäkerhetscenter, NCSC, anger att det inte avgör den frågan individuellt åt organisationen. Sedan den 1 juli 2026 tas verksamhetsanmälningar emot av NCSC vid Försvarets radioanstalt, FRA. NCSC:s anmälningsvägledning

Skyddet behöver nå styrsystemen

Lagen kräver proportionerliga tekniska, driftsrelaterade och organisatoriska säkerhetsåtgärder. Den tar bland annat upp riskanalys, incidenthantering, kontinuitet, leveranskedjor, åtkomst och utbildning. Personer i ledningen ska genomgå utbildning om säkerhetsåtgärder. Säkerhet blir därmed en fråga om hur verksamheten leds och följs upp.

Föreskrifterna preciserar arbetet med ansvar, system och informationsbehandling. De behandlar också OT, den teknik där digitala system samverkar med fysiska processer. För VA kan det exempelvis handla om styrning och övervakning av anläggningar. Föreskrifterna kräver segmentering av den digitala miljön och att informationsflöden mellan segment är godkända. MCFFS 2026:11

Här behöver läsaren skilja på bindande föreskrifter och allmänna råd. Råden kan ge exempel på lämpliga lösningar, men är inte i sig tvingande. Att återge varje exempel som ett lagkrav skulle därför överdriva vad reglerna säger.

En praktisk tillämpning är att kartlägga vilka digitala beroenden som finns bakom varje viktig driftfunktion. Vilken leverantör har åtkomst? Vem kan återställa systemet? Vilken information behövs för att driften ska kunna fortsätta? Sådana frågor gör riskbedömningen konkret.

Två tidsfrister räknas från samma startpunkt

Vid en betydande incident ska verksamhetsutövaren lämna en första upplysning så snart som möjligt, senast inom 24 timmar efter att den fått kännedom om incidenten. För VA-verksamheter ska en mer utförlig incidentanmälan lämnas senast inom 72 timmar efter samma kännedomstidpunkt. Tiden räknas alltså inte från den första upplysningen.

Om incidenten fortfarande pågår när slutrapporten skulle lämnas ska en lägesrapport lämnas då. Slutrapporten följer inom en månad efter att incidenten har hanterats. Dessa steg gäller betydande incidenter, inte varje mindre tekniskt fel. Lagens andra kapitel, 5–8 §§

Vattenspecifika trösklar att känna till

MCFFS 2026:8 anger kriterier för allvarlig driftstörning inom dricksvatten och avloppsvatten. De omfattar att ett sektorskritiskt system varit otillgängligt eller haft nedsatt funktion i mer än fyra timmar, eller att personal behövt använda alternativa arbetssätt för sektorsverksamheten i mer än åtta timmar.

Andra kriterier för betydande incidenter kan också vara tillämpliga, exempelvis allvarliga konsekvenser för människor eller information. Fyra- och åttatimmarsgränserna är därför inte väntetider innan organisationen får reagera. De avgör inte heller om ett dricksvatten är säkert att använda. MCFFS 2026:8, fjärde kapitlet

Vad det betyder i Sverige

Cybersäkerhetsförordningen pekar ut Livsmedelsverket som tillsynsmyndighet för sektorerna dricksvatten och avloppsvatten. Kommunal verksamhet kan även beröras av sektorn offentlig förvaltning, där utpekade länsstyrelser har tillsyn. Registrering och incidentrapportering går till särskilda nationella funktioner vid FRA. Organisationen behöver därför veta både vilken tillsyn som gäller och vart rapporteringen ska lämnas. Cybersäkerhetsförordningen, 5–7, 23 och 31 §§

Ett användbart första arbetspass är att gå igenom ett tänkt driftavbrott tillsammans. Välj exempelvis bortfall av fjärrövervakning. Följ sedan hur felet upptäcks, vem som bedömer följderna, hur driften upprätthålls och vem som sköter rapporteringen. Detta är ett föreslaget övningsupplägg utifrån reglernas risk- och kontinuitetskrav.

Dokumentera när organisationen får kännedom om händelsen och vem som ansvarar för den fortsatta bedömningen. En gemensam tidslinje hjälper drift och ledning att skilja mellan upptäckt, påverkan på tjänsten och rapportering. Utse även ersättare för centrala funktioner. Det är ett praktiskt sätt att göra ansvarsfördelningen användbar när en incident inträffar utanför ordinarie arbetstid.

Övningen bör tydliggöra vad reservrutinerna faktiskt klarar. Om manuell drift förutsätter personal på flera platser behöver bemanning och åtkomst ingå i bedömningen. Dokumentera också vilka beslut som kräver ledningens medverkan. Då kan säkerhetsarbetet kopplas till organisationens övriga beredskap för dricksvatten och nödvatten.

Ärliga förbehåll

• Omfattningen måste bedömas för rätt organisation. Bolag, entreprenörer och kommunala förvaltningar kan omfattas på olika grunder.
• Väsentlig och viktig är rättsliga kategorier. Skillnaden påverkar bland annat tillsynen; grundläggande säkerhets- och rapporteringskrav finns för båda.
• Alla råd är inte krav. Läs den bindande bestämmelsen och eventuella allmänna råd var för sig.
• Tidsgränserna täcker inte varje situation. En incident kan vara betydande enligt andra kriterier än de vattenspecifika trösklarna.
• Regelverket kan ändras. Genomgången avser regler kontrollerade den 4 oktober 2026 och ersätter inte en bedömning av ett konkret ärende.

Det viktigaste att ta med sig

1. Klarlägg vilken juridisk organisation som omfattas och på vilken grund.
2. Koppla cybersäkerheten till faktiska driftfunktioner och deras beroenden.
3. Ge ledningen kunskap och tydligt ansvar för säkerhetsarbetet.
4. Förbered 24- och 72-timmarsrapporteringen med samma startpunkt: kännedom om incidenten.
5. Bedöm betydande incidenter med hela regelverket, inte enbart fyra- och åttatimmarsgränserna.
6. Öva reservrutiner, återställning och rapportering tillsammans.

Källor och vidare läsning

• Sveriges riksdag: Cybersäkerhetslag (2025:1506).
• Sveriges riksdag: Cybersäkerhetsförordning (2025:1507).
• Myndigheten för civilt försvar: MCFFS 2026:11, säkerhetsåtgärder och ledningens utbildning.
• NCSC: Att anmäla en verksamhet enligt cybersäkerhetslagen.
• Myndigheten för civilt försvar: MCFFS 2026:8, incidentrapportering och informationsskyldighet.
• EU: NIS2-direktivet (EU) 2022/2555, svensk version, särskilt bilaga I.

Uppgifterna kontrollerade 4 oktober 2026.