Genomgång: Då får polisen hacka ditt it-system

Förslaget finns i utredningen Effektiva ingripanden mot brott i cybermiljö, SOU 2026:45. Där föreslås en ny lag om polisiära ingripanden i cybermiljö.

Polisen får kringgå skydd

Myndigheterna ska enligt förslaget kunna ta sig in i hela eller delar av ett informationssystem utan ägarens godkännande.

De ska få kringgå tekniska skydd och utnyttja sårbarheter. Väl inne kan de bland annat:

• byta lösenord och stänga ute användare
• blockera webbplatser och digitala tjänster
• ändra eller spärra uppgifter
• kartlägga kommunikation mellan system
• radera utpekad information eller skadlig kod.

Det är denna möjlighet att ta sig förbi skydd som förenklat kan beskrivas som att polisen får hacka systemet.

Syftet ska vara att förhindra, störa eller avbryta brott och brottslig verksamhet i cybermiljö. Det handlar alltså inte om en generell rätt att söka igenom företags it-miljöer.

Företaget behöver inte vara misstänkt

Ett företag kan ändå hamna mitt i en insats utan att självt misstänkas för brott.

Det kan handla om ett datacenter som rymmer en angripares server, en molntjänst som används för brott eller datorer och nätverksutrustning som har kapats.

Lagen ska kunna användas om gärningspersonen finns i Sverige, om brottet riktas mot Sverige eller om det aktuella informationssystemet finns här.

Ett svenskt moln- eller driftbolag kan därför beröras även när brottet i övrigt saknar svensk koppling.

Operatörer och andra verksamheter som omfattas av lagen om elektronisk kommunikation ska dessutom kunna tvingas lämna teknisk information och hjälpa myndigheterna att genomföra ingripandet. De ska få ersättning för kostnaderna.

Risk för påverkan på andra kunder

I ett datacenter eller en delad molnmiljö kan den misstänkta verksamheten finnas på samma tekniska plattform som helt legitima kunder.

Utredningen kräver därför att myndigheten begränsar skadan och väljer den minst ingripande åtgärden. Insatsen ska bara omfatta de delar av systemet som har koppling till brottsligheten.

Men all påverkan går inte att utesluta. Ett blockerat konto, ett utbytt lösenord eller en avstängd tjänst kan även märkas av systemägaren och andra användare.

För företaget kan händelsen till en början se ut som ett vanligt cyberangrepp.

Här går gränsen

Befogenheterna får inte användas för alla typer av brott.

Som huvudregel krävs att brottet har minst ett års fängelse i straffskalan och begås eller planeras med hjälp av ett informationssystem.

Åtgärden måste vara nödvändig och proportionerlig. För radering gäller dessutom en högre tröskel. Den ska bara få användas när det är av synnerlig vikt att stoppa eller förhindra ett brott. Myndigheten måste också peka ut vilka uppgifter som ska tas bort.

Att en del av ett system används för brott ger alltså inte myndigheten rätt att tömma hela miljön.

Du får inte alltid veta

Radering ska som huvudregel beslutas av en åklagare. Andra åtgärder ska kunna beslutas av särskilt utsedda personer inom de berörda myndigheterna.

Den vars uppgifter raderas ska normalt underrättas. Detsamma gäller om uppgifterna har varit blockerade i mer än en månad.

Men beskedet kan dröja eller helt utebli. Det gäller bland annat om en underrättelse skulle skada en brottsutredning, avslöja myndighetens tekniska metoder eller om den berörda personen inte kan identifieras.

Ett företag kan därför upptäcka ändrade lösenord eller blockerade uppgifter utan att omedelbart få veta vem som ligger bakom.

Radering får inte överklagas

Utredningen föreslår att åklagarens beslut om radering inte ska kunna överklagas.

Den som anser sig ha drabbats felaktigt får i stället kräva skadestånd av staten.

Alla beslut och genomförda åtgärder ska dokumenteras. Säkerhets- och integritetsskyddsnämnden föreslås granska hur myndigheterna använder lagen.

Viktigast för it-chefen

Förslaget är mest relevant för molnleverantörer, datacenter, operatörer och andra verksamheter som driver digital infrastruktur åt externa kunder.

För dessa verksamheter finns det skäl att ta fram tydliga rutiner för:

• vem som tar emot och kontrollerar myndighetskontakter
• när juridik, säkerhet och drift kopplas in
• hur misstänkta intrång hanteras när orsaken är oklar
• hur åtgärder och påverkan på andra kunder dokumenteras.

Vanliga företagssystem kommer sannolikt inte att beröras regelmässigt. Men för företag som upplåter digital infrastruktur kan ett till synes pågående intrång i vissa fall vara en laglig myndighetsåtgärd.

Lagen föreslås träda i kraft den 1 juli 2027 och gälla till och med juni 2032.