Myndigheterna ser inte de sjunkande siffrorna som ett tecken på förbättrad säkerhet. Tvärtom pekar analysen på en brist i rapporteringen. Av de 266 registrerade incidenterna under 2025 kom 122 från statliga myndigheter och 144 från leverantörer som omfattas av NIS-regelverket, EU:s regler för nätverks- och informationssäkerhet.
Sektorsfördelningen inom NIS är starkt ojämn. Hälso- och sjukvården står för 80 procent av incidenterna, dricksvattenförsörjningen för 13 procent och transportsektorn för 4 procent. Att vården dominerar statistiken tolkas inte som att den är mer utsatt än andra sektorer, utan som att rapporteringskulturen där är mer utvecklad.
Den bilden stärks av Cybersäkerhetskollen 2025, där myndigheterna konstaterar att det systematiska säkerhetsarbetet i offentlig sektor fortfarande är för svagt för att förklara en verklig minskning av antalet incidenter. Att statistiken pekar nedåt i ett läge präglat av geopolitisk oro ses därför som en varningssignal.
Samtidigt framstår beroendet av externa leverantörer som en central sårbarhet. 44 procent av incidenterna under 2025 hade sitt ursprung i leverantörsledet.
En förklaring till den sjunkande statistiken finns i hur regelverken är utformade. Under 2024 ledde angreppet mot Tieto Evry till en stor mängd rapporter eftersom det drabbade statliga myndigheter som omfattas av den strängare beredskapsförordningen. Utpressningsangreppet mot systemleverantören Miljödata i augusti 2025 slog i stället främst mot kommuner och regioner som lyder under NIS-lagstiftningen, där tröskeln för vad som är rapporteringspliktigt är högre.
Angreppet mot Miljödata ledde till att personuppgifter om 1,5 miljoner svenskar – däribland personer med skyddad identitet – läckte till darknet. Trots det bedömde Nationellt cybersäkerhetscenter att attacken saknade samhällspåverkan i formell mening, eftersom de samhällsviktiga tjänsterna inte slogs ut helt.
Mathias Antonsson, enhetschef vid Nationellt cybersäkerhetscenter på FRA, säger att mörkertalet hotar den nationella säkerhetsbilden.
– När vi ser att den administrativa bördan eller en bristande förståelse för nyttan hindrar inrapportering skadas vår förmåga att upptäcka mönster. Utan rapporter påverkas våra möjligheter att varna andra aktörer eller bygga den lägesbild som krävs för att skydda Sverige, säger han.
Han betonar också vikten av ökad motståndskraft efter den 1 juli 2026, då Nationellt cybersäkerhetscenter och FRA formellt övertog ansvaret för incidentrapportering.
– Det civila försvaret måste växla upp. Inrapportering är inte en byråkratisk formalitet. Det är en kritisk informationsdelning för att skydda vår gemensamma digitala infrastruktur.
Samtidigt har AI sänkt tröskeln för kriminella aktörer. Enligt brittiska NCSC står AI-genererade nätfiskekampanjer nu för mer än 80 procent av alla angrepp med social manipulation globalt. Det gör det också möjligt för aktörer utan djup teknisk kompetens att genomföra avancerade operationer.
Utvecklingen är särskilt tydlig bland ryska aktörer. Under slutet av 2024 ökade användningen av AI-genererad röstkloning i telefonbedrägerier och utpressningsförsök med 442 procent. AI används för att automatisera hela angreppskedjor, vilket gör attackerna snabbare, mer skalbara och svårare att upptäcka.
Fakta.Därför befaras ett mörkertal
266 cyberincidenter rapporterades i Sverige 2025, mot 319 året före. Av dessa kom 122 från statliga myndigheter och 144 från NIS-aktörer. Hälso- och sjukvården stod för 80 procent av NIS-rapporterna.
Enligt Nationellt cybersäkerhetscenter hade 44 procent koppling till leverantörsledet. Enligt NCSC:s Mathias Antonsson finns tre huvudförklaringar: administrativ börda, bristande förståelse för rapporteringsnytta och svagt privat deltagande som orsaker till mörkertalet.
Samtidigt pekar NCSC på att överbelastningsangrepp, DDoS, är den vanligaste angreppsmetoden. Många incidenter klassas också som ”okänd orsak”, men bedöms i de flesta fall kunna kopplas till systemfel.