Tillsyn av cybersäkerhet
Transportstyrelsen ansvarar för tillsyn över verksamhetsutövare inom transportsektorn och en del av tillverkningssektorn enligt cybersäkerhetslagen (CSL). Här hittar du information om planerad tillsyn och hur en tillsyn kan gå till.
Planerad tillsyn av säkerhetsåtgärder 2026
I november 2026 påbörjas tillsyner av säkerhetsåtgärder för er som är:
- registrerade som verksamhetsutövare hos Transportstyrelsen,
- omfattas av cybersäkerhetslagen, och
- tillhör en av två kategorier: väsentliga eller viktiga verksamhetsutövare.
Tillsynen utgör en del av vår planerade granskning för att verifiera att ni som verksamhetsutövare efterlever de krav som ställs enligt cybersäkerhetslagen och föreskrifter som meddelats i anslutning till lagen. När det gäller säkerhetsåtgärder utgår tillsynen från Myndigheten för civilt försvars föreskrifter om säkerhetsåtgärder och ledningens utbildning för väsentliga och viktiga verksamhetsutövare (MCFFS 2026:11).
Syftet med tillsynen är att kontrollera att nödvändiga säkerhetsåtgärder finns på plats, fungerar som avsett och underhålls på ett tillfredsställande sätt. Tillsynen är även ett stöd för verksamhetsutövaren i det egna säkerhetsarbetet.
Tillsynen kan bland annat omfatta kontroll av befintliga säkerhetsåtgärder, rutiner och dokumentation samt hur dessa tillämpas i praktiken.
Hur går en tillsyn till?
Tillsynen av säkerhetsåtgärder följer dessa steg:
-
Vi börjar med att skicka ut avisering med förslag på datum för tillsyn samt uppstartsmöte. Uppstartsmötet är till för oss att redogöra för innehållet i tillsynen och ger er en möjlighet att ställa frågor.
-
Verksamhetsutövaren svarar på aviseringen för att bekräfta att föreslagna datum passar.
-
Vi kommer sedan begära in underlag som styrker efterlevnad av regelverket inom de paragrafer vi valt att utföra tillsyn inom.
-
Uppstartsmötet genomförs och ger både oss och er en helhetsbild över vad som kommer ske innan, under och efter tillsynen.
-
Efter genomgång av ert underlag och det som kommit fram under uppstartsmötet, upprättas en agenda för tillsynsbesöket som kommer skickas ut till verksamheten.
-
Ett andra digitalt möte kommer att genomföras innan tillsynsbesöket. Vid det mötet fastställs agendan för tillsynsbesöket. Det finns också möjlighet för frågor och klargöranden kopplat till det underlag vi begär in.
-
Tillsynsbesöket kommer att genomföras enligt fastställt program där tillsynsgruppen kommer genomföra intervjuer med ansvariga personer för de områden som valts ut för tillsyn samt granskning av dokumentation.
-
Efter tillsynsbesöket kommer en rapport skrivas av tillsynsgruppen och skickas till er för faktagranskning. Därefter skickas den slutgiltiga rapporten med vår bedömning av regelefterlevnad.
-
Om det vid tillsynen har identifierats några brister kan ni behöva skapa en åtgärdsplan som visar hur ni planerar att åtgärda bristerna.
Vanliga frågor och svar
Att vara tillsynsobjekt innebär att en verksamhetsutövare omfattas av cybersäkerhetslagen och därmed är skyldig att följa lagens krav. Verksamhetsutövaren står då också under tillsyn av en tillsynsmyndighet. Som tillsynsobjekt kan organisationen behöva lämna uppgifter och handlingar, medverka vid tillsynsbesök och delta i säkerhetsrevisioner. Om brister upptäcks kan tillsynsmyndigheten besluta om åtgärder, förelägganden eller sanktionsavgifter.
Tillsynsmyndigheten ansvarar för att kontrollera att verksamhetsutövare följer cybersäkerhetslagen och tillhörande föreskrifter. Det innebär bland annat att genomföra tillsyn, ge vägledning och vid behov, besluta om åtgärder när kraven inte uppfylls.
Tillsynen syftar till att granska verksamhetsutövarens kravuppfyllnad avseende exempelvis anmälan, säkerhetsåtgärder, utbildning och incidentrapportering. Varje tillsynsmyndighet ansvarar för tillsynen inom den specifika sektorn. En verksamhetsutövare kan verka inom flera sektorer och därmed vara tillsynsobjekt för flera tillsynsmyndigheter.
Tillsynsmyndigheten har befogenhet att begära in information och handlingar, genomföra tillsyn och fatta beslut om åtgärder. Tillsynsmyndigheten får även utföra säkerhetsrevisioner och säkerhetsskanningar.
Om tillsynsmyndigheten vid en tillsyn upptäcker brister i efterlevnaden av regelverket ska tillsynsmyndigheten ingripa. De ingripanden myndigheten har möjlighet att göra är föreläggande (vilket får förenas med vite) och sanktionsavgift. Tillsynsmyndigheten får även ansöka om förbud att inneha ledningsfunktion, vilket sedan beslutas av allmän förvaltningsdomstol.