Besiktning av utsidan, för verksamhetsutövare under cybersäkerhetslagen
Tillsynsmyndigheten kommer att fråga. Här är protokollet ni lägger i akten.
MCFFS 2026:11 kräver att ni följer upp säkerhetsåtgärderna för sektorskritiska system minst en gång om året och kan visa det. Cyberdeklarationen är den externa kontrollen av de rader som syns utifrån. Sjutton externa kontroller, signerade av namngiven konsult, utan att vi rör era system.
Vet ni om lagen gäller er?
En kort guide till vilka regler som kan gälla er, med tillsynsmyndighet och vad som händer om kraven inte följs. Inga svar sparas.
Kolla om ni omfattasKravet
Lagen beställer beviset.
- 3 kap 19 §
- Följ upp och utvärdera säkerhetsåtgärderna. Kravet på minst en gång per år avser sektorskritiska system. Allmänna råden nämner extern revision.
- 4 kap 27 §
- Säkerhetstester ska visa att systemen är uppdaterade, att publicerade sårbarheter är omhändertagna och att valda konfigurationer är införda.
- 3 kap 3 §
- Dokumentera och spara det som behövs för tillsyn. Resultat av uppföljning ska finnas kvar.
- 3 kap 6 §
- Samordnaren sammanställer de underlag ledningen behöver. Något visst protokollformat föreskrivs inte. Enligt 3 kap 4 § 5 informeras ledningen vid behov och minst årligen, och allmänna råd anger att uppgifter om leverantörsbrister bör ingå.
Protokollet
Två delar, en deklaration.
Del ett i akten, del två som underlag till samordnaren.
Del ett. Kontrollerat utifrån.
Externa observationer kopplade till 18 paragrafer, 17 externa kontroller, nio lager. Kontrollerade från internet utan att vi rör era system. Signerade av namngiven konsult och verifierbara med protokollnumret.
| Rad | Paragraf | Utfall |
|---|---|---|
| DNSSEC | 4 kap 26 § | Förenligt |
| Nyckelhantering | 4 kap 25 § allmänt råd | Indikator |
| Utfasad mjukvara | 4 kap 31 § andra meningen | Avvikelse |
| Säkerhetsuppdateringar | 4 kap 27 § p 1 och 2 samt 31 § | Ej observerbart |
Namngiven konsult
Protokoll EX-0001
Kontrollkatalog 1.1
Del två. Egen deklaration.
39 paragrafer som bara går att besvara inifrån. Riskanalys, rutiner, incidenthantering, leverantörsavtal, utbildning. Ni fyller i efter vår mall, paragraf för paragraf, med exempel på vilket bevis som räcker. Ingen signatur från oss, men samma struktur som del ett så att läsaren ser hela bilden på ett ställe.
Som i en skattedeklaration. Det vi vet är förifyllt, resten fyller ni i under eget ansvar.
Erbjudanden
Det ni kan beställa
Egen cyberdeklaration
40 000 kr
- Vad ni får
- Signerat protokoll över er egen utsida, två sidor plus evidensbilaga med källa och tidsstämpel per fynd. Tio arbetsdagar.
- Tillsynsbilagan, ingår
- Tillsynsbilagan sammanställer externa observationer per paragraf och kan användas i samordnarens underlag till ledningen. Föreskriften anger vilka underlag som behövs, men inget obligatoriskt protokollformat.
- Varför
- Beviset ska ligga i akten innan tillsynsmyndigheten frågar, inte tas fram när brevet kommit.
Samma sjutton rader, ägda av er.
Årlig uppföljning
8 000 kr per månad
- Vad ni får
- Bevakning av det som rör sig mellan protokollen, månadsrapport och avisering vid kritiska förändringar. Väljer ni en ny signerad cyberdeklaration verifieras åtgärdade avvikelser i den.
- Varför
- Utsidan ändras mellan protokollen. Bevakningen visar förändringen när den sker.
Vår tjänst. Ni väljer själva om den behövs.
Levererar ni själva till andra som omfattas?
Då gäller samma protokoll som ert leverantörsbevis enligt 4 kap 1 §. Ett protokoll, två användningar, ett pris.
Facket
Vi är besiktning, inte verkstad. Vi skriver inte era interna regler, gör inte er riskanalys och utbildar inte ledningen. Vi kontrollerar utsidan mot lagen och skriver under. De övriga 39 paragraferna är ert arbete. Externa observationer är kopplade till 18 av föreskriftens 57 kravparagrafer i 2 till 6 kap. Interna krav behöver kompletterande underlag. De 39 andra deklarerar ni själva i del två, och dem skriver vi inte under.
Kontakt
Begär er cyberdeklaration
Berätta om er verksamhet och vilka domäner som ingår. Vi återkommer med omfattning.
Begär cyberdeklaration- Efter er förfrågan
- Vi stämmer av vilka domäner och tjänster som ingår, bekräftar omfattning och skickar en beställning med fast pris.
- Svarstid
- Normalt inom två arbetsdagar.
Är ni här i en annan roll, se sidorna för leverantörer och beställare.