Myndigheten för civilt försvars föreskrifter och allmänna råd om säkerhetsrevision och säkerhetsskanning

Dessa föreskrifter och allmänna råd innehåller bestämmelser om sådan säkerhetsrevision och säkerhetsskanning som avses i 3 kap. 5–7 §§ cybersäkerhetslagen (2025:1506).

Bestämmelserna i 2 kap. ska endast tillämpas när en tillsynsmyndighet anlitar ett oberoende organ för att utföra en säkerhetsrevision.

Uttryck i dessa föreskrifter och allmänna råd har samma betydelse som i cybersäkerhetslagen.

I dessa föreskrifter och allmänna råd avses med

Vid en säkerhetsrevision ska det bedömas vilken nivå av cybersäkerhet som verksamhetsutövaren har och om säkerhetsåtgärderna uppfyller de krav som ställs i cybersäkerhetslagen med tillhörande reglering.

Det oberoende organ som anlitas för att utföra en säkerhetsrevision ska vara en juridisk person eller enskild näringsidkare som tillhandahåller

personal med tillräcklig kunskap utifrån uppdragets utformning och vid behov kunskap om den verksamhet som granskningen avser.

Allmänna råd Vid tillsynsmyndighetens bedömning av det oberoende organets lämplighet för uppdraget bör det oberoende organets egen nivå av cybersäkerhet, tid och resurser för att kunna utföra uppdraget samt förekomst av relevant certifiering beaktas. Vid bedömning av tillräcklig kunskap utifrån uppdragets utformning bör kunskaper inom cybersäkerhet, granskningsmetodik och säkerhetsrevision hos det oberoende organets personal beaktas.

Tillsynsmyndigheten ska säkerställa att det oberoende organ som anlitas för att utföra en säkerhetsrevision 1. genomför uppdraget opartiskt, självständigt och objektivt, 2. inte under uppdragets genomförande är bundna av sekretessavtal eller andra motsvarande överenskommelser med verksamhetsutövaren som inskränker tillsynsmyndighetens tillgång till relevant information, 3. kan skydda information relaterad till uppdraget på ett säkert sätt, 4. inte nyttjar information som erhållits i samband med säkerhetsrevisionen för annat än genomförande av den aktuella säkerhetsrevisionen, och 5. förstör informationen när uppdraget är genomfört om inte annat har avtalats med verksamhetsutövaren som är föremål för tillsyn.

Tillsynsmyndigheten ska i samband med att en säkerhetsrevision inleds upplysa verksamhetsutövaren om 1. uppdragets omfattning,

2. möjligheten att informera tillsynsmyndigheten om eventuella brister i det oberoende organets genomförande av säkerhetsrevisionen, och 3. på vilket sätt information enligt 2 p. ska lämnas.

Tillsynsmyndigheten ska säkerställa att det oberoende organ som anlitas för att utföra en säkerhetsrevision dokumenterar avvikelser från efterlevnad av kraven i cybersäkerhetslagen med tillhörande reglering.

I en säkerhetsrevision ingår att kontrollera både utformningen och tillämpningen av säkerhetsåtgärder. En säkerhetsrevision ska utformas på ett sådant sätt att den inte vållar större kostnad eller olägenhet för verksamhetsutövaren än vad som är nödvändigt.

Säkerhetsrevisionen ska inkludera åtminstonde följande moment: 1. granskning av relevant dokumentation, 2. intervjuer med berörd personal, 3. tekniska kontroller av system och segment, samt 4. vid behov, kontroll av lokaler.

Momenten i punkterna 2–4 ska, om inte särskilda skäl talar emot, utföras på plats hos verksamhetsutövaren.

Säkerhetsrevisionen ska genomföras enligt en metodik som möjliggör en systematisk och riskbaserad granskning av verksamhetsutövarens organisatoriska, tekniska, driftrelaterade och fysiska säkerhetsåtgärder. Den metodik som används ska dokumenteras. Tillsynsmyndigheten ska säkerställa att säkerhetsrevisioner hos verksamhetsutövare utförs på ett effektivt och likvärdigt sätt.

Innan en säkerhetsrevision inleds ska tillsynsmyndigheten ha godkänt säkerhetsrevisionens omfattning och tillvägagångssätt.

Om en sårbarhet som inte tidigare har publicerats upptäcks i verksamhetsutövarens digitala miljö vid en säkerhetsrevision ska tillsynsmyndigheten säkerställa att det oberoende organet utan dröjsmål och på lämpligt sätt informerar verksamhetsutövaren och tillsynsmyndigheten om sårbarheten.

Efter genomförd säkerhetsrevision ska tillsynsmyndigheten säkerställa att det oberoende organet sammanställer resultatet av genomförd revision i en skriftlig rapport. Rapporten och övrig relevant dokumentation ska överlämnas till tillsynsmyndigheten på det sätt tillsynsmyndigheten har anvisat.

Tillsynsmyndigheten ska genom säkerhetsskanning bedöma effektiviteten av genomförda säkerhetsåtgärder i verksamhetsutövarens digitala miljö.

En säkerhetsskanning ska utföras av en tillsynsmyndighet. För genomförandet kan tillsynsmyndigheten anlita en extern aktör. En säkerhetsskanning ska utföras av personal med för uppdraget tillräcklig kunskap.

Tillsynsmyndigheten ska säkerställa att en säkerhetsskanning genomförs i den omfattning som är nödvändig för tillsynen och endast avser system som verksamhetsutövaren har rådighet över inom ramen för sin verksamhet.

Tillsynsmyndigheten ska säkerställa att en säkerhetsskanning genomförs på ett sådant sätt att negativ inverkan på funktionaliteten i systemen och övriga negativa konsekvenser för verksamhetsutövaren minimeras.

Tillsynsmyndigheten ska vid anlitande av en extern aktör för utförande av en säkerhetsskanning säkerställa att den externa aktören 1. inte under uppdragets genomförande är bundna av sekretessavtal eller andra motsvarande överenskommelser med verksamhetsutövaren som inskränker tillsynsmyndighetens tillgång till relevant information, 2. kan skydda information relaterad till uppdraget på ett säkert sätt, 3. inte nyttjar information som erhållits i samband med säkerhetsskanningen för annat än genomförande av den aktuella säkerhetsskanningen, och 4. förstör informationen när uppdraget är genomfört om inte annat har avtalats med verksamhetsutövaren som är föremål för tillsyn.

Vid val av metod för utförande av en säkerhetsskanning ska tillsynsmyndigheten beakta systemens betydelse för verksamheten. Identifieras betydande risk för negativa konsekvenser för verksamhetsutövaren ska alternativa metoder för säkerhetsskanning övervägas och om säkerhetsskanning alls ska genomföras.

Innan en tillsynsmyndighet beslutar att utföra en säkerhetsskanning ska den säkerställa att

1. val av verksamhetsutövare och av vilka system som ska skannas har skett utifrån en riskbaserad metod, och 2. de metoder som ska användas för att genomföra skanningen är lämpliga i förhållande till de identifierade riskerna och de system som ska skannas.

Tillsynsmyndighetens bedömning och beslut enligt 1–2 p. ska dokumenteras.

Innan en säkerhetsskanning genomförs ska tillsynsmyndigheten, om inte särskilda skäl talar emot, tillsammans med verksamhetsutövaren 1. bedöma risken för driftpåverkan, 2. planera genomförandet så att belastningen på systemen minimeras, 3. ta fram en plan för att kunna avbryta säkerhetsskanningen, och 4. bedöma behovet av att säkerställa förmåga att återställa de system som kan påverkas negativt.

Tillsynsmyndigheten ska säkerställa att verksamhetsutövaren utan dröjsmål och på lämpligt sätt informeras om brister och sårbarheter som upptäckts vid säkerhetsskanningen för att skyndsamt kunna vidta åtgärder.

______________

Denna författning träder i kraft den 1 oktober 2026.

Myndigheten för civilt försvar

MIKAEL FRISELL

Ida Sahlin Avdelningen för cybersäkerhet och samhällsviktiga kommunikationer