Alla verksamhetsutövare som omfattas av cybersäkerhetslagen (2025:1506) ska anmäla sin verksamhet. Lagen har gällt sedan den 15 januari 2026 och anmälan har varit öppen sedan den 2 februari 2026; den ska göras så snart det kan ske, och sedan den 1 juli 2026 är det Nationellt cybersäkerhetscenter (NCSC) vid FRA som tar emot den. Ingen myndighet pekar ut er först. Bedömningen är er egen, och det är ni som ska höra av er.
Den här guiden går igenom anmälan från bedömning till kvittens. Uppgifterna är hämtade ur NCSC:s aktuella anmälningsformulär, uppdaterat den 9 september 2026, och ur myndighetens vägledning. Har ni redan bedömt att ni omfattas tar själva anmälan en förmiddag. Har ni inte gjort bedömningen är det den som tar tid, inte formuläret.
Tre saker som har ändrats sedan i våras. Mottagaren är NCSC vid FRA, inte längre Myndigheten för civilt försvar; cyberverksamheten flyttade den 1 juli 2026. E-tjänsten med BankID-inloggning är ersatt av ett formulär som skickas med e-post, så vägledningens avsnitt om e-tjänstportalen gäller inte längre. Och formuläret uppdaterades den 9 september 2026, så hämta en ny version i stället för att använda ett sparat exemplar.
Först: finns det en deadline?
Nej, inte i den meningen att anmälan stänger ett visst datum. Lagen säger så snart det kan ske, och NCSC skriver att tillsynsmyndigheterna kan vidta åtgärder om anmälan inte har kommit in inom 14 dagar. Det är alltså inte en frist som ligger framför er, utan en som de flesta redan har passerat. Det ändrar inte vad ni ska göra, bara hur ni ska tänka: en sen anmälan är en väsentligt bättre utgångspunkt vid tillsyn än ingen anmälan alls. Det är tillsynsmyndigheten, och ytterst domstol, som avgör om en anmälan gjorts i tid, och NCSC understryker att ett överskridande inte automatiskt leder till tillsyn eller sanktion.
Det finns däremot ett datum som gör anmälan brådskande. Den 1 oktober 2026 träder föreskrifterna om säkerhetsåtgärder och ledningens utbildning (MCFFS 2026:11) samt föreskrifterna om säkerhetsrevision och säkerhetsskanning i kraft. Lagens krav har gällt sedan 15 januari; från den dagen anger föreskrifterna vad som förväntas, och frågan är inte längre bara om ni är anmälda, utan om ni kan visa vad ni gör. Anmälan är det första en tillsynsmyndighet tittar på, eftersom det är den som talar om för myndigheten att ni finns.
Steg 1. Avgör om ni omfattas, och skriv ner varför
Tre kriterier ska vara uppfyllda samtidigt: typ av verksamhet, storlek och etablering i Sverige.
Typ av verksamhet. Verksamheten ska finnas i någon av de 18 sektorerna i bilaga 1 eller 2 till NIS2-direktivet: energi, transporter, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, förvaltning av IKT-tjänster, offentlig förvaltning, rymden, post- och budtjänster, avfallshantering, kemikalier, livsmedel, tillverkning, digitala leverantörer och forskning. Det är den faktiska verksamheten som räknas, inte SNI-koden.
Storlek. Huvudregeln är att medelstora och stora företag omfattas: minst 50 anställda, eller en omsättning och balansomslutning över tio miljoner euro. Anknutna företag och partnerföretag ska räknas in, så ett dotterbolag med 30 anställda i en koncern med 400 är inte litet. Uppgifterna hämtas normalt från det senast fastställda årsbokslutet.
En nyans. NCSC:s vägledning formulerar det ekonomiska kriteriet som omsättning eller balansomslutning över tio miljoner euro, och ger ett företag med 49 anställda och 11 miljoner euro i omsättning som exempel på ett medelstort. EU-rekommendationen bakom definitionen (2003/361) läses som att båda talen måste överstiga gränsen. Hamnar ni mellan de två tolkningarna är det säkrast att anmäla sig och dokumentera hur ni bedömde det.
Undantag åt båda hållen. Kommuner, regioner och kommunalförbund omfattas oavsett storlek genom sektorn offentlig förvaltning. Det gör även tillhandahållare av betrodda tjänster, registreringsenheter för toppdomäner och leverantörer av DNS-tjänster, samt de verksamheter som pekas ut i MCFFS 2026:1 kapitel 4, i dag inom transport och dricksvatten. Statliga myndigheter omfattas på egna villkor. Omvänt finns verksamheter som är stora men ändå faller utanför, eftersom den verksamhet de bedriver inte är den som beskrivs i bilagorna.
Dokumentera bedömningen, oavsett vad den landar i. Kommer ni fram till att ni inte omfattas är dokumentationen det enda ni har att visa upp om en tillsynsmyndighet frågar, och vägledningen rekommenderar den uttryckligen. Kommer ni fram till att ni omfattas blir samma anteckning underlaget till frågan “hur identifierade ni er” i formuläret.
Steg 2. Bestäm vem som anmäler
Regeln är en anmälan per juridisk person. Ett dotterbolag med eget organisationsnummer anmäler sig självt, även om koncernen har en gemensam säkerhetsorganisation. En och samma juridiska person som är verksam i flera sektorer anger dem i en och samma anmälan. En kommun anmäler sig som en verksamhetsutövare för hela sin förvaltning, medan ett kommunalt bolag är en egen juridisk person och bedöms för sig. En utländsk organisation anmäler sig genom sin företrädare i Sverige.
Det är verksamhetsutövaren som är skyldig att anmäla sig och som ansvarar för att uppgifterna är riktiga. Ni kan ge någon annan i uppdrag att fylla i och skicka formuläret, till exempel en konsult, men då ska det finnas dokumentation som visar att det sker på ert uppdrag. Formuläret frågar också efter kontaktuppgifter till den person som rapporterar in, eftersom NCSC eller tillsynsmyndigheten kan behöva nå just den personen vid frågor.
Steg 3. Samla uppgifterna innan ni öppnar formuläret
Formuläret är uppbyggt i åtta avsnitt. Alla fält är obligatoriska om inget annat anges. Det här är vad som efterfrågas, i den ordning det kommer.
| Avsnitt | Vad som efterfrågas | Att tänka på |
|---|---|---|
| 1. Organisation | Namn och organisationsnummer enligt Bolagsverket, etablering (organisation i Sverige, företrädare i Sverige eller utländsk organisation utan företrädare), officiell postadress, e-post och telefon. Typ av anmälan (ny anmälan eller uppdatering) och datum. | Använd den officiella adressen, inte en enskild persons. Kontaktuppgifter för tekniska och operativa frågor kan lämnas frivilligt längre fram. |
| 2. Sektor | Tre val i följd: sektor, viktig samhällsfunktion och typ av verksamhet. Upp till tio sektorer kan anges, en per rad. | Kapitel 4 i vägledningen är sorterat exakt i den ordningen. Slå upp er sektor där innan ni väljer i rullistorna. |
| 3. Digitala tjänster i EU/EES | Besvaras bara av leverantörer av DNS-tjänster, toppdomäner, domännamnsregistrering, molntjänster, datacentraltjänster, CDN, hanterade tjänster och hanterade säkerhetstjänster samt marknadsplatser, sökmotorer och sociala plattformar. Ange i vilka EU/EES-länder ni erbjuder tjänsterna eller har juridisk etablering, med adress. | Alla andra svarar nej. Att erbjuda tjänster betyder att aktivt rikta sig till marknaden i ett annat land, inte att en kund råkar finnas där. |
| 4. Identifiering | Genom lag (huvudregeln om sektor och storlek), genom föreskrifter (utpekad i MCFFS 2026:1 oavsett storlek) eller genom båda. | Svaret är slutsatsen från steg 1. Har ni skrivit ner bedömningen är det här fältet redan besvarat. |
| 5. DORA | Om ni omfattas av DORA-förordningen. | Bank och finansmarknadsinfrastruktur svarar ja. Ni ska anmäla er enligt cybersäkerhetslagen ändå, men säkerhetsåtgärder och incidentrapportering följer DORA. |
| 6. Kategori | Er egen bedömning av kategori. | Huvudregeln: stora företag i bilaga 1 är väsentliga, övriga är viktiga, med undantag i vägledningens avsnitt 2.6. Tillhör ni båda kategorierna anger ni väsentlig. Kategorin styr om tillsynen är planlagd eller händelsestyrd. |
| 7. Internet | Statiska IP-adresser i CIDR-notation, domännamn utan subdomän, AS-nummer om ni har eget (frivilligt) och en funktionsbrevlåda. Först väljer ni hur ni vill lämna uppgifterna: ni är redan anslutna till ANTS, ni lämnar dem här och vill ansluta er, eller ni lämnar dem här och vill inte ansluta er. | ANTS är CERT-SE:s kostnadsfria tjänst för automatiska notifieringar om tekniska sårbarheter. Ansluter ni er slipper ni kravet att anmäla ändrade IP-adresser inom 14 dagar, och får varningar på köpet. Det är det enklaste valet för de flesta. |
| 8. Inrapportör | Namn, roll (frivilligt), telefon och e-post till den som skickar in, samt en reservadress (frivilligt). | Den som lämnar uppgifterna intygar att de är korrekta. Välj en person som finns kvar om ett halvår. |
Det tar längst tid att få fram IP-adresser och domännamn hos den som aldrig har inventerat dem. Be IT om listan redan i dag, och be samtidigt om AS-numret om ni har ett eget autonomt system.
Steg 4. Fyll i formuläret
Formuläret är en Excel-fil som hämtas på NCSC:s sida Att anmäla en verksamhet enligt cybersäkerhetslagen. Svaren lämnas i de gula rutorna, de flesta genom att välja ur en rullista, och hjälptexterna står i kolumnen till höger om varje avsnitt. Har ni svarat ja på frågan om gränsöverskridande digitala tjänster fyller ni dessutom i fliken Tilläggsinformation, en rad per land.
Två praktiska saker som stoppar många i sista steget: filnamnet får vara högst 40 tecken och får inte innehålla å, ä, ö eller specialtecken. Ett filnamn som anmalan-csl-bolagsnamn.xlsx fungerar. Och skicka Excel-filen som den är, inte en utskrift eller en PDF.
Steg 5. Skicka in, och vänta på kvittensen
Anmälan skickas med e-post till [email protected], ett mejl per anmälan. Anmäler ni flera juridiska personer blir det alltså flera mejl. NCSC tar bara emot e-post som är krypterad under överföringen (TLS). De flesta e-posttjänster gör det automatiskt; saknar er e-postserver stöd för det studsar mejlet med ett felmeddelande från er egen leverantör, och då kontaktar ni [email protected] eller växeln 010-382 80 00 för att få instruktioner om en annan säker väg. Själva anmälan ska däremot inte skickas till [email protected].
När anmälan är behandlad skickar NCSC en kvittens inom två arbetsdagar. Har ni inte fått någon inom den tiden ska ni utgå från att anmälan inte har kommit fram och höra av er. Behöver något förtydligas eller kompletteras tar NCSC kontakt med den inrapportör ni angav.
Spara det skickade formuläret och kvittensen där ni samlar bevis för ert säkerhetsarbete, med datum. Det är det första underlag en tillsynsmyndighet frågar efter, och det ska gå att ta fram utan att leta i någons inkorg.
Steg 6. Håll anmälan aktuell
Ändras något ni har lämnat uppgifter om ska ni anmäla förändringen så snart det kan ske, och enligt lagen senast 14 dagar efter att den skedde. Det gäller kontaktuppgifter, sektorer, kategori och, om ni inte är anslutna till ANTS, IP-adresser och domännamn. Ändringar, kompletteringar och avanmälningar går till samma adress, [email protected], med formulärets typ av anmälan satt till uppdatering. Kommer ni senare fram till att ni inte omfattas går det att återta anmälan.
Efter anmälan är det tillsynsmyndigheten för er sektor som ni har att göra med: Statens energimyndighet, Transportstyrelsen, Finansinspektionen, Inspektionen för vård och omsorg, Läkemedelsverket, Livsmedelsverket, Post- och telestyrelsen eller någon av sex länsstyrelser, beroende på verksamhet (7 § cybersäkerhetsförordningen). Uppgifterna når dem via NCSC. Nästa steg för er är föreskrifterna som träder i kraft den 1 oktober: riskhantering, säkerhetsåtgärder, ledningens utbildning och löpande revision av att åtgärderna fungerar.
Vanliga frågor
Vi har inte anmält oss ännu. Är det för sent?
Nej. Anmäl er nu. Skyldigheten gäller tills den är uppfylld, och en sen anmälan är en bättre utgångspunkt vid tillsyn än ingen alls. Det är tillsynsmyndigheten som avgör om anmälan gjorts i tid, och ett överskridande leder inte automatiskt till tillsyn eller sanktion.
Kostar det något?
Nej. Varken anmälan eller anslutning till ANTS kostar något.
Vi är ett litet företag i en omfattad sektor. Ska vi anmäla oss?
Som huvudregel inte. Kontrollera först storleken med anknutna företag och partnerföretag inräknade, och därefter om ni tillhör undantagen: betrodda tjänster, DNS, toppdomäner, leverantörer av allmänna elektroniska kommunikationsnät eller kommunikationstjänster, kommunal och regional verksamhet, eller de verksamheter som pekas ut i MCFFS 2026:1 kapitel 4. Kontrollera uppräkningen i lagen och myndighetens vägledning mot er verksamhet. Bedömer ni att ni inte omfattas, dokumentera varför.
Vi omfattas av DORA. Gäller anmälan oss?
Ja. Bank och finansmarknadsinfrastruktur anmäler sig enligt cybersäkerhetslagen och anger ja på frågan om DORA. Säkerhetsåtgärderna och incidentrapporteringen följer sedan DORA, inte cybersäkerhetslagens föreskrifter.
Kan vår konsult eller revisor skicka in anmälan?
Ja, på ert uppdrag. Det ska finnas dokumentation som visar att uppgifterna lämnas för er räkning, och ansvaret för att de är riktiga är fortfarande ert.
Är det samma ställe som incidenter rapporteras till?
Incidenter rapporteras sedan den 1 juli 2026 också till NCSC, men i en annan process med andra tidsfrister. Anmälan av verksamheten och rapportering av incidenter är två olika skyldigheter. Vad incidentrapporteringen kräver beskrivs på vår sida om cybersäkerhetslagen.
Anmälan är den första punkten i vår checklista för cybersäkerhetslagen, som går igenom kraven i tur och ordning med datumen de började gälla. Den är kostnadsfri och gjord för att skrivas ut och arbetas igenom. Vill ni gå igenom var ni står inför den 1 oktober kan ni boka en genomgång.
Källor
- Cybersäkerhetslag (2025:1506), 2 kap. 2 § om anmälan och om ändrade förhållanden inom 14 dagar
- Cybersäkerhetsförordning (2025:1507), om anmälan till den gemensamma kontaktpunkten och Försvarets radioanstalt som gemensam kontaktpunkt
- NCSC, Att anmäla en verksamhet enligt cybersäkerhetslagen, med anmälningsformuläret uppdaterat 2026-09-09, läst 17 september 2026
- NCSC, Omfattas verksamheten av cybersäkerhetslagen och Frågor och svar om cybersäkerhetslagen
- MCFFS 2026:1, Myndigheten för civilt försvars föreskrifter om anmälan och identifiering av väsentliga och viktiga verksamhetsutövare
- Myndigheten för civilt försvar, Vägledning för anmälan och identifiering av verksamhetsutövare som omfattas av cybersäkerhetslagen, kapitel 2 och 3
- CERT-SE, ANTS — Automatiska notifieringar om tekniska sårbarheter