Post- och telestyrelsens föreskrifter och allmänna råd om vad som utgör en betydande incident för verksamhetsutövare som tillhandahåller allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster
Bemyndigande
beslutade den 16 september 2026.
Post- och telestyrelsen föreskriver följande med stöd av 37 § 2 cybersäkerhetsförordningen (2025:1507) och beslutar följande allmänna råd.
1 kap. Tillämpningsområde
Dessa föreskrifter och allmänna råd innehåller ytterligare bestämmelser om vad som utgör en betydande incident enligt 2 kap. 5 § cybersäkerhetslagen (2025:1506) för verksamhetsutövare som tillhandahåller allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster.
Föreskrifter om incidentrapportering enligt 2 kap. 5–8 §§ cybersäkerhetslagen (2025:1506) meddelas av den myndighet som regeringen utser i cybersäkerhetsförordningen (2025:1507).
2 kap. Ordförklaringar
I dessa föreskrifter och allmänna råd avses med 1. betydande sårbarhet: en sårbarhet som har inneburit en betydande cybersäkerhetsrisk i enlighet med artikel 3 p. 38 i Europaparlamentets och rådets förordning (EU) 2024/2847 av den 23 oktober 2024 om övergripande cybersäkerhetskrav för produkter med digitala element och om ändring av förordningarna (EU) nr 168/2013 och (EU) 2019/1020 och direktiv (EU) 2020/1828, i den ursprungliga lydelsen (cyberresiliensförordningen), 2. central infrastruktur: infrastruktur, förbindelser och knutpunkter som utgör centrala delar av ett allmänt elektroniskt kommunikationsnät och vars funktion har en avgörande betydelse för nät eller tjänster regionalt i Sverige, nationellt eller mellan Sverige och ett annat land. 3. förbindelse: del av ett elektroniskt kommunikationsnät mellan två tillgångar eller mellan en tillgång och en anslutning till ett elektroniskt kommunikationsnät,
4. företagskund: företag, myndigheter, kommuner, regioner eller andra organisationer som köper en tjänst som används av en eller flera slutanvändare inom den egna organisationen, 5. kapacitetsbortfall: reducerad förmåga att tillhandahålla nät eller tjänst. Omfattningen av kapacitetsbortfall ska bedömas i jämförelse med normala driftsförhållanden och ska anges som a) andel av kapaciteten som reducerats, i förhållande till verksamhetsutövarens totala kapacitet, b) andel aktiva anslutningar eller användare, i förhållande till verksamhetsutövarens totala antal, som till följd av incidenten inte kan nyttja nätet eller tjänsten på samma sätt som vid normala driftsförhållanden, och c) andel slutanvändare, i förhållande till verksamhetsutövarens totala antal, som till följd av incidenten inte kan nyttja nätet eller tjänsten på samma sätt som vid normala driftsförhållanden, 6. landsbygdskommun: a) en gles landsbygdskommun där mer än hälften av befolkningen bor i rurala områden och majoriteten av befolkningen har mer än 45 minuters resväg med bil till en tätort med minst 50 000 invånare, eller b) en mycket gles landsbygdskommun där hela befolkningen bor i rurala områden och har mer än 90 minuters resväg med bil till en tätort med minst 50 000 invånare, 7. naturkatastrof: extrema väderförhållanden, jordbävning, översvämning, pandemi, skogs- eller gräsbrand, skred eller liknande som orsakar omfattande skador för människor, miljö eller egendom, 8. nät: ett allmänt elektroniskt kommunikationsnät, 9. tjänst: en allmänt tillgänglig elektronisk kommunikationstjänst, inklusive nummeroberoende tjänster, grossisttjänster, slutkundstjänster, tjänster som telefonväxlar, röstbrevlådor eller ”mina sidor” samt tjänster eller system för nödkommunikation eller offentliga varningssystem, 10. uppgifter: alla uppgifter som lagras, överförs eller på annat sätt behandlas i samband med tillhandahållande av ett nät eller en tjänst, 11. viktig samhällsfunktion: en samhällsfunktion som är nödvändig för samhällets grundläggande behov, värden eller säkerhet, 12. viktigt meddelande till allmänheten: sådana viktiga meddelanden till allmänheten som skickas till terminalutrustning enligt lagen (2023:407) om viktiga meddelanden till allmänheten.
Följande uttryck har samma betydelse som i 1 kap. 2 §, 2 kap. 5 § 2 stycket och 10 § 2 stycket cybersäkerhetslagen (2025:1506) - betydande incident - betydande cyberhot - cyberhot - incident - nätverks- och informationssystem.
Följande uttryck har samma betydelse som i 1 kap. 7 § lagen (2022:482) om elektronisk kommunikation - allmänt elektroniskt kommunikationsnät - användare - elektroniskt kommunikationsnät - elektronisk kommunikationstjänst - nödkommunikation - slutanvändare.
3 kap. Bedömning av om en incident är betydande
Bedömningen av om en incident är betydande ska utgå från den information som verksamhetsutövaren faktiskt har tillgång till, har fått kännedom om eller rimligen kan inhämta. Bedömningen ska göras utifrån alla relevanta kriterier i samtliga bestämmelser i dessa föreskrifter och allmänna råd, så att incidentens samlade påverkan och konsekvenser blir tydliga. Om omfattningen av en incident eller dess konsekvenser inte säkert kan bedömas ska en uppskattning göras utifrån informationen enligt första stycket. En och samma händelse kan utgöra en betydande incident enligt flera olika bestämmelser men det är tillräckligt att något av tröskelvärdena i bestämmelserna uppfylls för att den ska vara betydande.
Allmänt råd till 1 §
Bedömningen av om en incident är betydande bör göras risk- och erfarenhetsbaserat och vara utförlig på en nivå som står i proportion till händelsens allvar och faktiska eller potentiella påverkan. Det bör framgå hur verksamhetsutövaren har kommit fram till sina slutsatser i bedömningen. Information om en betydande incident kan komma från den egna verksamheten men även från exempelvis en kund, leverantör, slutanvändare, myndighet eller annan källa. Bedömningen bör dokumenteras i rimlig omfattning.
Följande ska bedömas vara en betydande incident 1. en händelse som har medfört sådan påverkan eller sådana konsekvenser som anges i någon bestämmelse i dessa föreskrifter och allmänna råd, 2. ett betydande cyberhot eller en betydande sårbarhet som innebär en risk som sannolikt kan orsaka, bidra till eller möjliggöra sådan påverkan eller sådana konsekvenser som anges i någon bestämmelse i dessa föreskrifter och allmänna råd, eller 3. en annan upptäckt risk eller händelse som sannolikt kan orsaka, bidra till eller möjliggöra sådan påverkan eller sådana konsekvenser som avses i någon bestämmelse i dessa föreskrifter och allmänna råd.
Allmänt råd till 2 §
Vid bedömningen av risker med en betydande sårbarhet ska det särskilt bedömas om sårbarheten har utnyttjats, eller kan utnyttjas under de förhållanden som råder hos verksamhetsutövaren.
4 kap. Betydande incidenter
Allvarlig driftstörning
Med betydande incident som har orsakat allvarlig driftstörning avses: 1. En incident som har undergrävt tillgängligheten till nät, tjänster eller uppgifter hos verksamhetsutövaren och som uppfyller ett eller flera av tröskelvärdena i tabellen. Om incidenten avser undergrävd tillgänglighet till uppgifter som under normala förhållanden görs tillgängliga för slutanvändare eller användare ska bedömningen av omfattning endast göras gällande tid och antal slutanvändare eller användare.
Tid som incidenten Incidentens uppskattade omfattning pågått
| ≥ 1 timme | ≥ 150 000 slutanvändare, användare eller aktiva anslutningar eller ≥ 50 procent kapacitetsbortfall eller ≥ 15 000 km² sammanhängande berört område |
| ≥ 2 timmar | ≥ 30 000 slutanvändare, användare, eller aktiva anslutningar eller ≥ 30 procent kapacitetsbortfall eller ≥ 5 000 km² sammanhängande berört område |
| ≥ 6 timmar | ≥ 5 000 slutanvändare, användare, eller aktiva anslutningar eller ≥ 20 procent kapacitetsbortfall eller ≥ 2 500 km² sammanhängande berört område |
| ≥ 24 timmar | ≥ 2 000 slutanvändare, användare, eller aktiva anslutningar eller ≥ 10 procent kapacitetsbortfall eller ≥ 1 000 km2 sammanhängande berört område |
Tabell Trösklar för när en viss undergrävd tillgänglighet till nät, tjänster eller uppgifter ska
bedömas vara en betydande incident
2. En incident i ett passivt fibernät eller svartfibernät som har undergrävt tillgängligheten till minst 400 uthyrda passiva fiberförbindelser eller svartfiberförbindelser. Det är ägaren av det passiva nätet som ska identifiera om en incident enligt denna bestämmelse är betydande. 3. En incident hos en verksamhetsutövare som har undergrävt tillgängligheten till nät eller tjänster i en landsbygdskommun och där tillgängligheten till nät
eller tjänster är så begränsad att nät eller tjänst i praktiken är obrukbara under minst 48 timmar för minst 100 slutanvändare, användare eller aktiva anslutningar. 4. En incident som är gränsöverskridande mellan Sverige och minst ett annat land, som har pågått i minst sex timmar och har undergrävt tillgänglighet till, eller riktighet, autenticitet eller konfidentialitet i nät, tjänster eller uppgifter för minst 5 000 slutanvändare. 5. En incident som har undergrävt riktigheten, autenticiteten eller konfidentialiteten i nät, tjänster eller uppgifter, för minst 20 företagskunder eller minst 500 slutanvändare.
Ekonomisk skada för verksamhetsutövaren
En incident är betydande om den har orsakat ekonomisk skada för verksamhetsutövaren som överstiger fem miljoner kronor. Om de faktiska kostnaderna och förlusterna inte kan fastställas ska verksamhetsutövaren uppskatta dessa belopp.
Verksamhetsutövaren ska vid bedömning av den ekonomiska skadan beakta följande direkta och indirekta kostnader 1. kostnader för återställning av information som förlorats eller förvanskats, 2. kostnader för utbyte eller återställning av system, 3. externa rådgivningskostnader för incidenthanteringstjänster, juridisk rådgivning, it-forensiska tjänster och saneringstjänster, 4. tillkommande personalkostnader, 5. kostnader på grund av att avtalsförpliktelser inte har fullgjorts och 6. uteblivna intäkter till följd av oplanerade produktionsbortfall.
Betydande skada för andra fysiska eller juridiska personer
Med betydande incident som har påverkat andra genom att vålla dem betydande skada avses: 1. En incident hos verksamhetsutövaren i nät, tjänster eller uppgifter som används av en organisation som tillhandahåller en viktig samhällsfunktion i Sverige, om a) incidenten hos verksamhetsutövaren har varat minst sex timmar, och b) det finns anledning att anta att incidenten hos verksamhetsutövaren har lett till betydande störningar i den viktiga samhällsfunktionen, eller c) verksamhetsutövaren har fått kännedom om, eller rimligen kan inhämta information om, att organisationen med den samhällsviktiga funktionen har gått in i stabsläge eller på annat sätt har eskalerat eller ändrat sin organisation på grund av incidenten. 2. En incident där verksamhetsutövaren har kännedom om eller har särskild anledning att anta att dennes medverkan till förmedling av nödkommunikation utan avbrott eller uppgiftslämnande för nödkommunikation enligt 7 kap. 35 § lagen (2022:482) om elektronisk kommunikation inte har kunnat genomföras. Kännedom om
täckningsbortfall är inte ensamt tillräckligt för att en incident ska identifieras som betydande enligt denna bestämmelse. 3. En incident där verksamhetsutövaren har kännedom om eller har särskild anledning att anta att dennes medverkan enligt 7 kap. 36 § lagen (2022:482) om elektronisk kommunikation till förmedling av sådana viktiga meddelanden till allmänheten som skickas till terminalutrustning som avses i lagen (2023:407) om viktiga meddelanden till allmänheten har misslyckats. 4. En incident som har orsakat eller bidragit till en fysisk persons dödsfall, eller har orsakat eller bidragit till betydande skada på en fysisk persons hälsa.
Incidenter som alltid är betydande
Följande incidenter ska alltid bedömas vara betydande: 1. En incident till följd av en naturkatastrof, oavsett incidentens omfattning, om den har undergrävt tillgängligheten i verksamhetsutövarens nät, tjänster eller uppgifter. 2. Ett internt eller externt angrepp på eller intrång i verksamhetsutövarens nät, tjänster eller uppgifter som sannolikt kan orsaka, bidra till eller möjliggöra allvarliga driftsstörningar. 3. En incident i central infrastruktur hos verksamhetsutövaren som under minst sex timmar har medfört betydande påverkan på den centrala infrastrukturens eller nätets stabilitet, motståndskraft eller på förmågan att skydda nät, tjänsters eller uppgifters tillgänglighet, riktighet, autenticitet eller konfidentialitet. 4. Nedsatt redundans i sådan central infrastruktur hos verksamhetsutövaren som har betydelse för nät eller tjänster mellan Sverige och ett annat land.
Återkommande incidenter
Incidenter som var för sig inte anses vara en betydande incident ska ändå tillsammans anses vara en betydande incident om de 1. har inträffat minst två gånger inom sex månader, 2. bedöms ha samma orsak, sårbarhet, bristande säkerhetsåtgärder eller rutiner, eller redundanta lösning, och 3. sammantaget medfört ekonomiska skada enligt 2 och 3 §§.
Planerade förändringar
Incidenter som uppstår vid planerade förändringar ska endast identifieras som betydande om det har uppstått oförutsedda negativa konsekvenser som uppfyller någon bestämmelse i dessa föreskrifter och allmänna råd.
Allmänt råd till 7 §
Bedömningen av incidenter vid planerade förändringar bör göras utifrån vad verksamhetsutövaren har förutsett eller skäligen borde ha kunnat förutse och har dokumenterat i riskanalysen inför den planerade förändringen.
Dessa föreskrifter och allmänna råd träder i kraft den 15 oktober 2026. På Post- och telestyrelsens vägnar
LENA NYBERG Karolina Asp