MFA i OT enligt NIS2 – leverantörsåtkomst, systemadministration och nödåtkomst

Kort svar: För verksamheter som omfattas av de aktuella bestämmelserna i MCFFS 2026:11 kräver 4 kap. 17 § flerfaktorsautentisering (MFA) vid systemadministrativ åtkomst till IT- och OT-segment i produktionsmiljön samt när personal eller leverantörer ansluter till den digitala miljön via externa nätverk. För annan åtkomst ska behovet identifieras och hanteras. Det är alltså inte samma regel för varje lokal operatörsinloggning.

När gäller reglerna?

Först måste ni fastställa att organisationen omfattas av cybersäkerhetslagen (2025:1506) och att just dessa föreskriftsbestämmelser gäller för verksamheten. Reglerna kan beröra exempelvis energi, vatten, tillverkning och annan samhällsviktig verksamhet, men en viss typ av industriutrustning gör inte automatiskt varje företag till en NIS2-verksamhetsutövare.

Viktig avgränsning: En verksamhetsutövare som uteslutande bedriver sådan sektorsverksamhet som räknas upp i 1 kap. 1 § MCFFS 2026:11 (bland annat vissa digitala tjänster och IKT-tjänsteförvaltning) omfattas i just denna föreskrift enbart av bestämmelsen om ledningens utbildning. Separata regelverk och eventuellt strängare krav måste fortfarande kontrolleras.

MFA i OT – beslutstabell

Så dokumenterar du säker åtkomst

1. Pröva lagens och föreskriftens tillämpningsområde för den juridiska personen, sektorn och den aktuella tjänsten.
2. Inventera åtkomstvägar, IT-/OT-segment, privilegierade konton, fjärrservice och leverantörers behörigheter utan att publicera nätverkskartan.
3. Markera varje åtkomst som uttryckligen MFA-pliktig, behovsprövad eller utanför just denna föreskrifts tillämpningsområde. Ange paragraf och beslutsansvarig.
4. Verifiera faktisk MFA i den autentiseringskedja som ger åtkomst; skilj ett lyckat tekniskt test från enbart en policy eller ett leverantörslöfte.
5. Tidsbegränsa och följ upp leverantörsbehörigheter där det är lämpligt, stäng åtkomst efter uppdrag och logga relevant administrativ användning.
6. Dokumentera avvikelser, åtgärdsansvar, slutdatum, tekniskt omtest och ledningsbeslut i en skyddad kontrolljournal.

Nödåtkomst är inget generellt undantag

Om ordinarie identitetslösning ligger nere behöver verksamheten en i förväg beslutad och övad reservprocess för säker drift. Ett reservkonto, en lokal serviceport eller ett ”break-glass”-förfarande är inte automatiskt undantaget från ett bindande MFA-krav. Pröva möjlig teknisk reservlösning, tillfälliga behörigheter, tvåpersonskontroll och spårbarhet. Om ett formellt undantag behövs kan FRA enligt 7 kap. 1 § medge det i enskilt fall och vid särskilda skäl; en intern riskaccept är inte samma sak.

Två konkreta exempel

Exempel 1 – fjärrservice i vattenverk: En extern tekniker ska administrera en styrserver via VPN. Bedöm både extern nätverksåtkomst och systemadministrativ OT-åtkomst, testa att MFA verkligen tillämpas, dokumentera tidsbegränsad behörighet och kontrollera loggar efter arbetet.

Exempel 2 – lokal operatörspanel: En skiftoperatör använder en HMI utan administrativa rättigheter och utan externt nätverk. Den specifika MFA-regeln för systemadministration kan då inte slentrianmässigt användas som enda motivering. Dokumentera i stället den övriga behovsbedömningen, eventuella andra krav och skyddet mot obehöriga ändringar.

Vanliga frågor

Måste varje PLC och HMI ha en egen MFA-dialog?

Inte automatiskt. Det är typen av åtkomst, behörighet, nätverksväg och tillämpligt regelverk som ska prövas. En teknisk arkitektur kan behöva uppfylla MFA på en annan relevant åtkomstpunkt.

Får en leverantör ha ett permanent delat servicekonto?

Delade eller stående privilegier skapar spårbarhets- och behörighetsrisker. Pröva identitet, minsta behörighet, åtkomstperiod och loggning mot 4 kap. 14–17 och 21 §§; dokumentera en motiverad och kontrollerad lösning.

Kan ett företag själv bevilja dispens när OT-utrustningen inte stöder MFA?

Nej, inte från ett bindande föreskriftskrav genom ett internt beslut. Utred tekniskt fungerande skydd och formell undantagsmöjlighet enligt 7 kap. 1 §.

Dokumentmallar och praktiskt arbetsunderlag

Behöver du ett redigerbart dokumentpaket för detta ämne? Se NIS2 MFA i OT 2026 – leverantörsåtkomst, nödåtkomst och kontrolljournal | Word/PDF/Excel med Word-, PDF- och Excelmallar. Läs produktbeskrivningen för exakt innehåll och använd rätt underlag för din verksamhet.

Börja med tillämpningsbedömningen: Innan ni beslutar om kontrollåtgärder i OT behöver ni klargöra om verksamheten omfattas av cybersäkerhetslagen och vilken roll organisationen har. Läs Vilka företag omfattas av NIS2 och cybersäkerhetslagen?.

Källor och rättslig avgränsning

Cybersecurity Act (2025:1506) · NCSC/FRA: MCFFS 2026:11 · MCFFS 2026:11, full wording.

Saklig kontroll 13 november 2026. Detta är generell information för svensk rätt, inte en teknisk säkerhetsrevision eller individuell juridisk rådgivning. Kontrollera aktuella sektorsföreskrifter, undantag och systemets faktiska säkerhetsarkitektur innan beslut.