Enligt föreskriften MSBFS 2020:8 är SU skyldig att rapportera vissa typer av IT-incidenter till MSB.
Rapporteringsskyldigheten omfattar it-incidenter som:

  1. påverkat riktighet, tillgänglighet eller konfidentialitet hos den information som bedömts ha ett utökat behov av skydd, eller
  2. inneburit att informationssystem som behandlar information som bedömts ha behov av utökat skydd inte kunnat upprätthålla avsedd funktionalitet, eller
  3. påverkat myndighetens förmåga att utföra sitt uppdrag, eller
  4. i övrigt allvarligt kan påverka säkerheten i den informationshantering som myndigheten ansvarar för, eller i tjänster som myndigheten tillhandahåller åt en annan organisation.

Bedömning av om information är i behov av utökat skydd görs genom informationsklassning. 
En IT-incident som är rapporteringsskyldig ska rapporteras i två steg:

  1. Inom sex timmar efter att en rapporteringsskyldig IT-incident har identifierats ska notifiering skickas till MSB (ring CERT-SE på 010 - 240 40 40).
  2. Inom fyra veckor efter att en rapporteringsskyldig IT-incident har identifierats ska en slutrapportering av incident skickas till MSB.

Rapporteringsformulär för slutrapportering finns HÄR

På SU är informationssäkerhetsfunktionen länken till/från MSB och den som rapporterar IT-incidenter som bedöms vara rapporteringsskyldiga. Informationssäkerhetsfunktionen är också ett stöd vid bedömning av IT-incidenter. Du når funktionen genom att skicka e-post till infosakfunktionen@su.se.

IT-incidenter som omfattar personuppgifter

Om en inträffad IT-incident omfattar personuppgifter så kan incidenten vara rapporteringsskyldig till Datainspektionen. I vissa fall innebär det att IT-incidenter måste rapporteras både till MSB och Datainspektionen.

Mer information rapportering av personuppgiftsincidenter

MSBFS 2020:8, föreskrifter om rapportering av IT-incidenter för statliga myndigheter