Säkerhetsåtgärder enligt cybersäkerhetslagen

Cybersäkerhetslagen ställer krav på systematiskt och riskbaserat arbete med cybersäkerhet. Det innebär bland annat att identifiera risker, vidta lämpliga åtgärder och att följa upp att åtgärderna ger ett tillräckligt skydd över tid. 

Det här behöver berörda verksamheter göra

Verksamhetsutövare som omfattas av cybersäkerhetslagen ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska säkerhetsåtgärder. Förutom att skydda de nätverks- och informationssystem som används i verksamheten ska säkerhetsåtgärderna skydda systemens fysiska miljö mot incidenter.

Arbetet ska utgå från ett allriskperspektiv. Det betyder att ni ska beaktaolika typer av risker och möjliga orsaker till att de inträffar. Säkerhetsåtgärder ska vara lämpliga och proportionella i förhållande till verksamhetens risker, förutsättningar och de konsekvenser som en incident kan medföra.

Som verksamhetsutövare behöver ni:

• identifiera och hantera cybersäkerhetsrisker
• rapportera cybersäkerhetsincidenter
• vidta lämpliga och proportionella säkerhetsåtgärder, 
• följa upp och kontinuerligt förbättra cybersäkerhetsarbetet
• arbeta med kontinuitet och säkerhet i leveranskedjan
• säkerställa att ledningen och medarbetare har nödvändig kunskap om cybersäkerhet.

För många verksamheter kan befintliga arbetssätt för informationssäkerhet, riskhantering, intern styrning och kontroll, kontinuitetshantering eller krisberedskap utgöra en bra grund för cybersäkerhetsarbetet. Cybersäkerhetsarbetet behöver inte bedrivas separat, utan kan integreras med verksamhetens övriga säkerhets- och riskarbete.