Sedan den 15 oktober 2026 gäller nya föreskrifter från Post- och telestyrelsen (PTS) om vad som räknas som en betydande incident inom telekomområdet. Föreskrifterna, PTSFS 2026:5, pekar ut vilka typer av händelser som operatörer och andra verksamhetsutövare inom elektronisk kommunikation ska rapportera till Nationellt cybersäkerhetscenter vid FRA. För företag som är beroende av stabil telefoni och internet är det värt att förstå vad som förändras – och vilka frågor det är rimligt att ställa till sin leverantör.
Sedan den 15 oktober 2026 gäller PTSFS 2026:5, PTS nya föreskrifter om vad som utgör en betydande incident. Reglerna bygger på cybersäkerhetslagen, som sedan den 15 januari 2026 styr incidentrapporteringen inom telekomområdet i stället för tidigare bestämmelser i lagen om elektronisk kommunikation.
Vad säger de nya reglerna?
PTSFS 2026:5 beskriver vilka typer av händelser som verksamhetsutövare som tillhandahåller allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster ska rapportera. Reglerna beslutades av PTS den 2 oktober 2026, efter en remissrunda som avslutades i juni samma år, och trädde i kraft den 15 oktober 2026.
Enligt cybersäkerhetslagen ska en incident anses betydande om den har orsakat, eller kan orsaka, allvarlig driftstörning för den erbjudna tjänsten eller ekonomisk skada för verksamhetsutövaren själv. En incident kan också räknas som betydande om den påverkar eller kan påverka andra genom att orsaka betydande skada, till exempel för en viktig samhällsfunktion.
Vilka omfattas av rapporteringsplikten?
Skyldigheten gäller verksamhetsutövare som tillhandahåller allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster. Det är en bred kategori som i första hand träffar operatörer av fasta och mobila nät, men lagens definition av elektroniska kommunikationstjänster omfattar i normalfallet även nummerbaserade interpersonella kommunikationstjänster – en kategori som i de flesta fall täcker in IP-telefoni och molnväxellösningar. Exakt vilka leverantörer som i praktiken omfattas av just den här rapporteringsplikten avgörs från fall till fall, och det är inget PTS uttalar sig specifikt om i sitt generella pressmeddelande.
Vad räknas som en betydande incident?
PTS exemplifierar några typer av händelser som kan utlösa rapporteringsplikten:
- Intrång genom hackerattacker mot nät eller system.
- Driftstörningar som orsakat betydande skada för en viktig samhällsfunktion.
- Avbrott i tillgängligheten till telefoni eller internet.
- Händelser som påverkar konfidentialiteten eller riktigheten i tjänster eller uppgifter.
Listan är inte uttömmande – PTS skriver att det "till exempel" kan handla om den här typen av händelser.
Så skiljer sig reglerna från tidigare regelverk
Fram till den 15 januari 2026 reglerades incidentrapportering inom telekomområdet av lagen om elektronisk kommunikation (LEK). Delar av LEK har nu upphävts på den punkten, och det är i stället cybersäkerhetslagen som avgör vilka betydande incidenter som ska rapporteras. PTS beskriver det själva som en viktig förändring jämfört med de tidigare reglerna i LEK. Rapportering av incidenter som rör integritetsskydd enligt LEK påverkas inte av förändringen.
Vad betyder det för er som väljer växelleverantör?
Ni som företag rapporterar inte själva till Nationellt cybersäkerhetscenter – det är leverantören av det allmänna kommunikationsnätet eller den allmänt tillgängliga kommunikationstjänsten som har skyldigheten. Men reglerna säger något om vilken standard som nu gäller i branschen: leverantörer av telefoni och internetanslutning förväntas ha rutiner för att upptäcka, bedöma och rapportera allvarliga driftstörningar. Det är rimligt att vänta sig att en seriös leverantör av växeltelefoni kan redogöra för hur man hanterar drift och eventuella incidenter, oavsett om just den tjänsten omfattas av den specifika rapporteringsplikten eller inte.
Det gäller särskilt för företag som flyttat sin telefoni från traditionell fast telefoni till en molnväxel. En molnväxel är beroende av både internetuppkoppling och leverantörens egna system, vilket gör frågor om övervakning, redundans och incidenthantering mer relevanta än vid en äldre, lokalt installerad växel. Vid en större upphandling av telefoni kan det därför vara rimligt att låta leverantörens rutiner för drift och driftstörningar vara en del av utvärderingen, på samma sätt som pris och funktioner redan är det.
Checklista: frågor att ställa till er telefonileverantör
- Hur övervakas tjänsten för driftstörningar, och hur snabbt upptäcks ett avbrott?
- Finns dokumenterade rutiner för incidenthantering och eskalering?
- Hur kommuniceras pågående driftstörningar till kunder?
- Vilken redundans finns för att minska risken för längre avbrott?
- Vem är kontaktperson vid en allvarlig driftstörning utanför kontorstid?
Vanliga frågor
Vad är en betydande incident enligt cybersäkerhetslagen?
En incident som har orsakat eller kan orsaka allvarlig driftstörning för en tjänst eller ekonomisk skada för verksamhetsutövaren, eller som påverkar andra genom betydande skada, till exempel för en viktig samhällsfunktion.
Vem ska rapportera betydande incidenter enligt PTSFS 2026:5?
Verksamhetsutövare som tillhandahåller allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster, till exempel operatörer av fast och mobil telefoni och internetanslutning.
Vart rapporteras incidenterna?
Till Nationellt cybersäkerhetscenter vid FRA, enligt PTS beskrivning av de regler som trädde i kraft den 15 oktober 2026.
Påverkar detta vanliga företag som använder molnväxel?
Inte direkt – rapporteringsplikten ligger på leverantören, inte på kunden. Men reglerna är ett skäl att fråga sin leverantör av företagsväxel eller telefonväxel hur driftstörningar hanteras och kommuniceras.
Ersätter cybersäkerhetslagen alla regler i lagen om elektronisk kommunikation?
Nej. Det är specifikt frågan om vilka betydande incidenter som ska rapporteras som nu styrs av cybersäkerhetslagen sedan den 15 januari 2026. Rapportering som rör integritetsskydd enligt LEK påverkas inte.
Källor: PTS, pressmeddelande Nya regler för vad som är betydande incidenter inom telekomområdet (publicerat 2026-10-02, i kraft 15 oktober 2026); PTS, PTS föreslår nya regler för vad som är betydande incidenter inom telekomområdet (2026-05-13).
Vill ni veta mer om hur Telink arbetar med drift och tillgänglighet i sin molnväxel? Boka en demo →
Vill du veta mer?
Kontakta oss för att diskutera hur Telink kan hjälpa ditt företag med moderna kommunikationslösningar.