Ett utkast, ett septemberdatum och en enda tjänsteprofil

Den 24 juli lade ENISA ut utkastet till den europeiska ordningen för hanterade säkerhetstjänster, kallad EUMSS, på offentligt samråd. Juhan Lepassaar, myndighetens verkställande direktör, sammanfattade syftet på en rad: "Common baselines can guarantee a level of confidence in services offered." Samrådet går via portalen EU Survey och stänger den 13 september 2026.

Den rättsliga grunden är artikel 48.1 i Cybersecurity Act i dess lydelse enligt förordning (EU) 2025/37, som kommissionen antog den 15 januari 2025 just för att möjliggöra europeisk certifiering av tjänster och inte bara av produkter. Kommissionen gav ENISA uppdraget att ta fram kandidatordningen den 25 april 2025. Den 25 juni 2025 kom inbjudan till experter och den 13 oktober 2025 höll den särskilda ad hoc-arbetsgruppen sitt uppstartsmöte.

Det som föreligger nio månader senare är snävare än mandatet. Utkastet behandlar det vertikala området för incidenthanteringens livscykel och inom det en enda tjänsteprofil: incidenthantering.

De fem lagen nämner, den enda utkastet täcker

Definitionen av hanterade säkerhetstjänster i den ändrade rättsakten når fem verksamheter: säkerhetsövervakning och incidentdetektering, incidenthantering, penetrationstester, säkerhetsrevisioner och cybersäkerhetsrådgivning. Utkastet certifierar den andra. De övriga fyra är inte principiellt uteslutna, eftersom strukturen uttryckligen är byggd för att ta in fler tjänsteprofiler, men de finns inte i den första versionen.

Den ordningsföljden förtjänar ett ögonblick. Incidenthantering är tjänsten du kallar på när något redan har gått fel. Säkerhetsövervakning och detektering är tjänsten du betalar för varje månad för att det inte ska gå fel. En leverantör kommer snart att kunna säga, helt korrekt, att han har ett europeiskt certifikat för hanterade säkerhetstjänster medan den löpande delen av hans avtal med dig aldrig har bedömts enligt ordningen.

Det är mindre en kritik av ordningsföljden än en varning för hur märkningen kommer att läsas. Certifieringsmärken färdas längre och snabbare än sina omfattningsbeskrivningar.

Varför basic och high inte säger något om plattformen

Ordningen har en skiktad konstruktion. Ett horisontellt skikt fastställer grundkrav som gäller varje hanterad säkerhetstjänst som certifieras under den, och ett vertikalt skikt bär kraven för varje enskild tjänsteprofil. Den horisontella grunden omfattar säker tjänste- och plattformsdesign, utrullnings- och övergångsstyrning, tillgänglighets- och kontinuitetsstyrning, operativ tjänstestyrning samt ständig förbättring och teknikunderhåll.

Det finns tre tillitsnivåer: basic, substantial och high. Detaljen värd att dra ut ur utkastet är att de horisontella grundkraven är en obligatorisk förutsättning för varje certifierad tjänsteprofil och lyder likadant på alla tre nivåer. Nivån varierar alltså det vertikala skiktet, inte grunden. Rakt läst: en leverantör certifierad på high har visat mer om hur han driver ett incidenthanteringsuppdrag, och exakt lika mycket som en leverantör på basic om hur hans plattform är utformad och hålls tillgänglig.

Arton månader till ett utkast, och ankarkunden är Bryssel

Räkna kalendern. Från den rättsliga grunden den 15 januari 2025 till ett utkast öppet för synpunkter den 24 juli 2026 är det arton månader. Synpunkterna stänger den 13 september, därefter följer antagandet. Leverantörer till EU:s cybersäkerhetsreserv har sedan två år från ikraftträdandet på sig att inneha certifikatet.

Den sista bestämmelsen är mekanismen, och den bör namnges exakt. För den privata marknaden är ordningen frivillig. För leverantörer till unionens egen reserv av insatskapacitet är den det inte. EU har gjort sig självt till ankarkund och lämnat märkningen valfri för alla andra, vilket är den vanliga vägen där en frivillig ordning blir ett faktiskt upphandlingskrav utan att någon lagstiftar om saken. Räkna med att se EUMSS som en poängrad i offentlig upphandling långt innan den är fullständig.

Vad du bör fråga din leverantör före den 13 september

Tre saker är värda att reda ut nu. För det första: fråga mot vilken tjänsteprofil din leverantör tänker certifiera sig och om tjänsten du faktiskt köper ryms i den. Lyder ditt avtal på övervakning och detektering är det ärliga svaret i dag nej. För det andra: fråga vilken tillitsnivå han siktar på och låt honom förklara vad det ändrar, när grunden inte rör sig mellan nivåerna.

För det tredje: behandla samrådet som en öppen påverkanskanal och inte som ett meddelande. Synpunkterna stänger den 13 september, och det som står öppet är just omfattningen av den första versionen. Köpare är systematiskt underrepresenterade i sådana samråd jämfört med leverantörer och organ för bedömning av överensstämmelse. I Sverige ordnar MSB redan en betydande del av detta fält, så en svensk leverantör kommer att bära en nationell referens och ett europeiskt certifikat sida vid sida. Leveranskedjeskyldigheten i NIS2 ligger ändå hos dig, vilket gör omfattningen av den här ordningen till något du inte kan delegera till en leverantör.

Läs vidare: EU ska nu själv testa de främsta AI-modellerna  |  Suverän leverantör licensierar tillbaka sin kod