Cybersäkerhetslagen: därför får arkitekter, ingenjörer och konstruktörer nya frågor från beställarna

Den 1 oktober 2026 började nya föreskrifter till cybersäkerhetslagen gälla. De flesta arkitekt-, ingenjörs- och konstruktionsbolag omfattas inte av lagen själva. Men många av era beställare gör det – kommuner, regioner, energibolag och andra samhällsviktiga verksamheter – och de har nu fått tydligare regler för hur de ska ställa krav på sina leverantörer och konsulter. Det är där ni kommer in.

Vad som ändrades den 1 oktober

Cybersäkerhetslagen trädde i kraft den 15 januari 2026 och är den svenska versionen av EU:s NIS2-direktiv. Den 1 oktober kom föreskrifterna som beskriver hur arbetet ska göras i praktiken, MCFFS 2026:11. Tre delar påverkar den som levererar till en verksamhet som omfattas:

Leverantörerna ska klara samma krav. Den som köper system eller lämnar ut hantering av information till någon annan ska se till att leverantören uppfyller kraven, och bedöma om leverantören klarar dem under hela avtalstiden.
Även gamla avtal ska ses över. Avtal som ingicks före den 1 oktober 2026 ska om möjligt kompletteras med krav på cybersäkerhet. Där kraven är otillräckliga ska riskerna hanteras.
Anlitade konsulter räknas som personal. Föreskrifterna räknar inhyrda och anlitade uppdragstagare som personal. Kontroller när någon anlitas, behörigheter som begränsas till uppdraget och flerfaktorsinloggning för den som når beställarens system utifrån gäller alltså även konsulten.

Så märks det på kontoret

Kraven kommer sällan som en lagtext. De kan komma som en bilaga i förfrågningsunderlaget, en ny punkt i ramavtalet eller ett frågeformulär från beställarens säkerhetsansvarige. När Byggindustrin ringde runt till de stora byggföretagen i juni beskrev de ökade kundkrav och större krav i hela leverantörskedjan.

Frågorna följer föreskrifternas logik. Räkna med frågor som de här:

Var lagras ritningar, modeller och beställarens underlag, och vem kommer åt dem?
Loggar alla in med flerfaktorsinloggning, även hemifrån och ute på bygget?
Hur snabbt får beställaren veta om ni drabbas av en incident?
Finns det säkerhetskopior som går att återställa, och har ni provat?
Vilka leverantörer använder ni själva – molntjänster, projektplatser, IT-partner?
Vad händer med beställarens information när uppdraget är slut?

Fem saker att ha koll på innan frågorna kommer

På ett kontor med 15 projektörer är det ofta VD eller den som sköter IT:n vid sidan om som får frågeformuläret, mitt i ett projekt. Det går fort att svara när grunden finns:

En karta över var informationen finns: filservrar, molntjänster, projektplatser och BIM-modeller.
Flerfaktorsinloggning på alla konton, även e-post, fjärråtkomst och licensportaler.
Behörigheter per projekt. Den som slutar eller byter projekt ska inte ha kvar åtkomst.
Testade säkerhetskopior, så att ni vet hur lång tid det tar att återställa ett stort projekt med alla modeller.
En enkel rutin för incidenter: vem som gör vad, och vem som meddelar beställaren.

Var datan ligger spelar roll

Föreskrifterna säger också att verksamheterna bör ta hänsyn till myndigheternas rekommendationer för att stärka EU:s och Sveriges digitala suveränitet. Regeringens molnpolicy från maj 2026 har samma inriktning: mindre beroende av enskilda leverantörer och bättre kontroll över data. För projekt med känslig information blir frågan om var modellerna ligger allt viktigare.

Så hjälper vi till

Högerklick är IT-avdelningen för arkitekter, ingenjörer och konstruktörer. Vi övervakar och larmar innan något går sönder, sköter behörigheter och säkerhetskopior, och vår data ligger i vårt eget datacenter i Sverige. När beställarens frågor kommer hjälper vi er att ta fram svaren.

Vill ni veta hur er IT står sig mot frågorna? Hör av er via formuläret nedan, så tar vi ett första samtal om hur det ser ut hos er.

Läs också: Hur påverkar NIS2-direktivet arkitekter och byggbranschen?