När måste en incident rapporteras?

En incidentplan är bara värdefull om den fungerar i skarpt läge. När något händer behöver teknik, ledning, kommunikation och externa leverantörer kunna agera som en sammanhängande kedja.

Sedan den svenska cybersäkerhetslagen trädde i kraft den 15 januari 2026 ska en verksamhetsutövare upplysa NCSC vid FRA om en betydande incident så snart det kan ske, dock senast inom 24 timmar från det att verksamhetsutövaren fick kännedom om incidenten.

Verksamhetsutövare som inte tillhandahåller betrodda tjänster ska därefter göra en incidentanmälan senast inom 72 timmar från samma tidpunkt. En slutrapport ska normalt lämnas senast en månad efter incidentanmälan.

Det betyder inte att hela orsaken måste vara känd efter ett dygn. Organisationen måste snabbt kunna känna igen en möjlig betydande incident, eskalera den och samla tillräckligt beslutsunderlag.

Vilka roller behöver vara tydliga?

Incidentledaren håller ihop läget. Teknikansvarig säkrar bevis, begränsar skadan och återställer. Verksamhetsägaren bedömer påverkan på tjänster och kunder. Ledningen fattar prioriterade beslut.

I mindre organisationer kan samma person ha flera roller. Det viktiga är att mandat, ersättare och kontaktvägar är bestämda i förväg.

Hur får vi med leverantörerna i incidentplanen?

Kartlägg vilka externa parter som driftar system, lagrar data, hanterar identiteter eller levererar kommunikation. Kontrollera avtalen: hur snabbt ska leverantören larma, vilken information får ni, vem bevarar loggar och vem deltar i en incidentövning?

En kontaktlista utan överenskomna svarstider är inte en fungerande incidentkedja.

Hur testar vi incidentkedjan på 45 minuter?

Använd ett realistiskt scenario. Låt gruppen svara på: Vem äger incidenten? Vilka system och kunder kan påverkas? Vilka loggar behöver säkras? Vem avgör om incidenten är betydande? Vilken leverantör kontaktas först?

Avsluta med tre förbättringar som får ansvarig och deadline.

Slutsats

En fungerande incidentkedja bygger på tydliga roller, tillgängliga kontaktvägar och regelbunden övning. Docuware kan hjälpa er att göra efterlevnad hanterbar genom att samla ansvar för drift, Microsoft 365 och dataskydd och identifiera de flaskhalsar som behöver lösas innan nästa incident.