SOC, NIS2 och GDPR – så hänger säkerhetskraven ihop

Den svenska cybersäkerhetslagen trädde i kraft den 15 januari 2026. Lagen omfattar bland annat vissa offentliga verksamheter och verksamhetsutövare inom sektorer som energi, transport, hälso- och sjukvård, digital infrastruktur, offentlig förvaltning och flera andra samhällsviktiga eller digitala områden.

För många privata verksamheter spelar både sektor och storlek roll. Lagen innehåller också situationer där en aktör kan omfattas oavsett normal storlekströskel, exempelvis på grund av tjänstens betydelse. Därför räcker det inte att enbart utgå från antal anställda.

Kärnan är ett systematiskt och riskbaserat cybersäkerhetsarbete. Det berör teknik, ledning, ansvar, kontinuitet och relationer till leverantörer. Vilka delar som är relevanta och hur långt kraven sträcker sig måste bedömas utifrån verksamhetens roll, storlek och beroenden.

Ett SOC samlar in och bedömer information från exempelvis datorer, servrar och säkerhetssystem. Personal följer upp larm, undersöker misstänkta händelser och hjälper till att hantera incidenter. Arbetet kräver både teknik, rutiner och tydliga befogenheter.

Ett SOC kan köpas som tjänst. Då behöver avtalet klargöra vilka system som övervakas, när tjänsten är bemannad, vem som kontaktas vid larm och vilka åtgärder leverantören får vidta. Omfattningen ska motsvara verksamhetens risker och behov.

GDPR blir relevant när en säkerhetshändelse berör personuppgifter. En personuppgiftsincident kan vara att uppgifter förstörs, förloras, ändras, röjs eller blir åtkomliga för obehöriga. Det kan ske både av misstag och genom ett angrepp.

Om det inte är osannolikt att incidenten medför en risk för berörda personers rättigheter och friheter ska den normalt anmälas till IMY inom 72 timmar från att verksamheten fått vetskap om den. Vid sannolik hög risk kan de registrerade också behöva informeras utan onödigt dröjsmål.

Samma händelse kan alltså beröra flera regelverk och ansvarsområden samtidigt. Därför behövs både teknisk, juridisk och verksamhetsmässig kompetens när en incident bedöms.

NIS2 och GDPR kan innebära korta tidsfrister och olika rapporteringsspår när en allvarlig incident inträffar. Vilka krav som gäller i ett enskilt fall behöver bedömas mot svensk lag, föreskrifter och ansvarig tillsynsmyndighet.

Rapporteringskrav förutsätter att en händelse upptäcks och kan bedömas. Ett SOC kan bidra med tekniskt underlag, men verksamheten behöver även juridisk, kommunikativ och verksamhetsmässig kompetens. Hur detta ska organiseras beror på verksamhetens förutsättningar.

Varken regelefterlevnad eller ett fungerande säkerhetsarbete kan reduceras till en generell checklista. Bedömningen behöver ta hänsyn till verksamhetens tjänster, information, leverantörer, riskbild och befintliga arbetssätt.

Det är också här konsultinsatsen har störst värde: att avgränsa uppdraget, tolka nuläget och omsätta krav och risker till en rimlig nivå för just den aktuella verksamheten.