Från informationsklassning till faktisk kontroll

Vad MCFFS 2026:11 kräver i praktiken

Den 1 oktober 2026 träder MCFFS 2026:11 i kraft. Föreskriften konkretiserar kraven på säkerhetsåtgärder för många av de organisationer som omfattas av cybersäkerhetslagen, CSL. Informationsklassning blir ett uttryckligt krav och kedjans alla led måste hänga ihop.

En del av föreskriften är särskilt relevant för organisationers informationsstyrning: information som behandlas i system ska värderas utifrån hur mycket skydd den behöver avseende kondentialitet, riktighet inklusive autenticitet samt tillgänglighet. Organisationen ska också fastställa sina klassningsnivåer och kriterierna för dem. Men kravet slutar inte vid själva klassningen. Föreskriften skapar en sammanhängande kedja från informationsägarskap och riskbedömning till behörigheter, loggning, kryptering och uppföljning. För verksamheter som omfattas innebär det att informationsklassning behöver fungera som en del av den löpande kontrollmiljön — inte som en isolerad dokumentationsövning.

Klassificeringen ska styra vad som händer med informationen

Föreskriften anger att riskhanteringen ska utgå från relevant informationsklassning. Informationsägaren ska säkerställa att informationen är värderad och att lämpliga och proportionella säkerhetsåtgärder har vidtagits. Systemägaren ska i sin tur säkerställa att informationsägarens identierade skyddsnivå uppnås i systemen. Klassningen blir därmed en styrsignal - den ska ge underlag för beslut om hur informationen får hanteras och vilket skydd som behöver följa med den.

För information med utökat skyddsbehov:

• Flerfaktorsautentisering krävs för åtkomst till berörda it-system.

• Åtkomst ska som huvudregel omfattas av säkerhetsloggning.

• Vid överföring utanför den egna digitala miljön krävs kryptering.

En informationsklassning har begränsat värde om den inte kan omsättas i

faktiska hanteringsregler.

Informationsägarskap kräver insyn

MCFFS 2026:11 kräver att all informationsbehandling i system har en utsedd informationsägare och att alla system har en systemägare. Det formella ägarskapet är viktigt, men det löser inte hela problemet - informationsägaren behöver ha tillräcklig insyn i informationsmiljön:

• vilken information som behandlas,

• i vilka system och tjänster den finns,

• vilka kopior och informationsflöden som har uppstått,

• vilka personer och system som har åtkomst,

• om den fastställda klassningen fortfarande är aktuell,

• om hanteringen motsvarar organisationens regler.

Det är här många organisationer möter ett praktiskt glapp. Informationsägare och policyer finns på plats, men den faktiska informationen är utspridd över servrar, samarbetsytor, molntjänster, e-post, lokala lagringsplatser och externa plattformar.

Föreskriften säger inte att varje fil måste inventeras med en viss teknisk metod. Den kräver däremot att information som behandlas i system värderas, att klassningen hålls aktuell i relevanta processer och att rätt skyddsåtgärder tillämpas. Det blir svårt att uppnå i större och föränderliga informationsmiljöer utan en aktuell bild av vad som faktiskt finns där.

Policyn måste gå att tillämpa och följa upp

Organisationer som omfattas ska fastställa de interna regler och arbetssätt som behövs för att upprätthålla en lämplig och proportionell säkerhetsnivå. Reglerna ska hållas aktuella, kommuniceras till berörd personal och vid behov kompletteras med stöd för hur de ska användas.

Ur ett informationshanteringsperspektiv behöver det finnas en tydlig koppling mellan tre lager:

1. Klassificering - vilket skyddsbehov har informationen?

2. Hanteringsregel - vad innebär skyddsbehovet för åtkomst, lagring, delning, överföring och uppföljning?

3. Faktisk efterlevnad - hanteras informationen i enlighet med regeln?

Om dessa lager hålls separerade uppstår en falsk känsla av kontroll. Organisationen kan ha en beslutad klassningsmodell och en välformulerad informationshanteringspolicy, men ändå sakna möjlighet att upptäcka att skyddsvärd information ligger på fel plats, har för bred åtkomst eller överförs utan rätt skydd.

Föreskriften förstärker därför behovet av att kunna följa upp säkerhetsåtgärdernas effektivitet. Det räcker inte att en kontroll är definierad. Organisationen behöver kunna bedöma om den är lämplig, proportionell och faktiskt fungerar över tid.

Klassificering är en levande process

Information förändras. Ett dokument kompletteras med nya uppgifter. Flera till synes harmlösa informationsmängder samlas på samma plats. Ett projektmaterial flyttas från en begränsad arbetsyta till en bredare samarbetsplattform. Ett system kopplas till en ny leverantör eller AI-tjänst.

Även skyddsbehovet kan förändras när information aggregeras eller sätts i ett nytt sammanhang. Föreskriftens allmänna råd uppmärksammar uttryckligen riskerna med ackumulering och aggregering av information: varje enskild fil kan ha en relativt låg klassning samtidigt som den samlade informationsmängden ger en detaljerad bild av organisationens kunder, personal, system eller kritiska beroenden.

Föreskriften kräver också att informationsklassningen genomförs och hålls uppdaterad vid utveckling och underhåll av system. Klassificering bör därför inte ses som en engångsinsats - den behöver kunna följa förändringar i både informationen och miljön där den behandlas.

Från manuell klassning till datadriven kontroll

Manuell klassificering har fortfarande en viktig roll - verksamheten förstår

informationens sammanhang, ändamål och konsekvenser bättre än ett fristående

tekniskt system. Men helt manuella arbetssätt blir svåra att hålla aktuella när informationsvolymerna växer och data rör sig mellan många plattformar.

NIC:s perspektiv är därför att verksamhetens bedömningar behöver kombineras med

datadriven insyn och löpande uppföljning. Det innebär att organisationen ska kunna:

• identiera information i den faktiska miljön,

• klassificera den utifrån fastställda kriterier,

• koppla informationsklasser till beslutade hanteringsregler,

• upptäcka avvikelser mellan policy och faktisk hantering,

• prioritera åtgärder utifrån risk,

• ta fram aktuellt underlag för informationsägare, ledning och tillsyn.

Automatisering ersätter inte informationsägaren och fattar inte organisationens

riskbeslut. Den ger däremot informationsägaren ett bättre underlag och gör det möjligt

att arbeta med en omfattning och aktualitet som annars är svår att uppnå.

Från beslutad policy till verierbar informationskontroll

MCFFS 2026:11 gör informationsklassning till en tydligare del av det svenska cybersäkerhetsregelverket. Men föreskriftens praktiska betydelse ligger i sambandet mellan klassning och handling.

Organisationen behöver veta vilken information den hanterar, vilket skydd informationen kräver och om kraven följs i den faktiska miljön. Informationsägare behöver aktuella underlag. Systemägare behöver tydliga skyddskrav. Ledningen behöver kunna följa upp om kontrollmiljön fungerar. Det är först när dessa delar hänger ihop som informationsklassning går från administrativ modell till faktisk riskreduktion.

KÄLLOR

• MCFFS 2026:11 – föreskrifter och allmänna råd om säkerhetsåtgärder och ledningens utbildning

• NCSC – Säkerhetsåtgärder enligt cybersäkerhetslagen