Ashio whistleblowing software

Sep 30, 2026

Visselblåsarlag i Sverige 2026: vad säger lagen och vad måste du göre?

Visselblåsarlag i Sverige 2026: vad säger lagen och vad måste du göre?

Många svenska arbetsgivare vet ännu inte exakt vad den nya lagen kräver – eller om de omfattas. Den svenska visselblåsarlagen, som bygger på EU-direktiv 2019/1937 och infördes genom SFS 2024:1989 (visselblåsarlagen), ställer konkreta krav på organisationer med minst 50 arbetstagare: en säker intern rapporteringskanal, tidsfrister på sju dagar för bekräftelse och tre månader för återkoppling, samt skydd mot repressalier. Den här guiden reder ut vad direktivet och den svenska lagen faktiskt säger, vem som är skyldig att ha en rapporteringskanal och vilka påföljderna blir om du missar tidsfristerna. För en bredare genomgång av direktivets bakgrund och syfte, se EU:s visselblåsardirektiv.

Innehållsförteckning

De viktigaste punkterna

  • SFS 2024:1989 är den svenska implementationen av EU:s visselblåsardirektiv 2019/1937 och gäller sedan den 17 december 2021 för arbetsgivare med 250 eller fler anställda och den 17 december 2023 för arbetsgivare med 50–249 anställda.
  • Du måste bekräfta en rapport inom sju dagar och lämna återkoppling inom tre månader – båda tidsfristerna är absoluta och börjar löpa från det ögonblick rapporten kommer in.
  • Sanktionerna omfattar administrativa sanktionsavgifter samt skadestånd; repressalier kan i allvarliga fall vara straffrättsligt sanktionerade enligt nationell rätt.
  • En korrekt kanal måste vara säker, konfidentiell, åtkomlig och kunna tas emot skriftligt samt, i vissa fall, via ett fysiskt möte – inte enbart en e-postlåda.
  • Dokumentationen är lika viktig som kanalen: utan ett revisionsklart ärendehanteringssystem riskerar du att förlora bevisning vid inspektion från tillsynsmyndigheten eller en domstol.

Vad är visselblåsarlagen i Sverige?

Den svenska visselblåsarlagen är SFS 2024:1989, den nationella lag som införlivar EU-direktiv 2019/1937 om skydd för personer som rapporterar missförhållanden. Lagen ställer krav på både offentliga och privata arbetsgivare att inrätta säkra interna rapporteringskanaler, hantera ärenden inom fastställda tidsfrister och skydda rapportörer mot repressalier.

Bakom den svenska lagen ligger EU-direktiv 2019/1937, ett minimidirektiv som varje medlemsstat måste implementera i nationell rätt. Direktivet ställer tre grundkrav: en kanal som garanterar konfidentialitet, tydliga tidsfrister för handläggning och ett starkt skydd mot repressalier för den som rapporterar. Den fullständiga texten finns i EU-direktiv 2019/1937 på EUR-Lex, och den svenska versionen av lagen finns i SFS 2024:1989 – visselblåsarlagen, Svensk författningssamling (riksdagen.se).

Vad innebär lagen i praktiken?

I praktiken innebär SFS 2024:1989 att du som arbetsgivare måste kunna ta emot rapporter om missförhållanden som rör korruption, mutor, miljöbrott, folkhälsa, konsumentskydd, integritet och säkerhet i nätverks- och informationssystem. En rapport ska kunna lämnas skriftligt och, om rapportören begär det, via ett fysiskt möte inom rimlig tid. Du måste bekräfta mottagandet inom sju dagar, utreda ärendet och lämna återkoppling inom tre månader. Allt ska dokumenteras i en spårbar, revisionsklar logg.

Hur skiljer sig anonym från konfidentiell rapportering?

Många arbetsgivare förväxlar anonymitet med konfidentialitet, och skillnaden är avgörande. En anonym rapportör avslöjar inte sin identitet, och systemet samlar inte in uppgifter som gör det möjligt att identifiera personen – inga IP-adresser, inga cookies, inga webbläsaravtryck. En konfidentiell rapportör uppger däremot sitt namn, men uppgiften får endast hanteras av behöriga handläggare och får inte spridas vidare. SFS 2024:1989 kräver konfidentialitet som minsta nivå, men ju starkare skydd du erbjuder, desto fler rapporter får du – och desto tidigare får du kännedom om problem.

Vem måste ha en intern rapporteringskanal enligt SFS 2024:1989?

Enligt SFS 2024:1989 måste alla arbetsgivare inom privat och offentlig sektor med minst 50 arbetstagare ha en intern rapporteringskanal. Vissa sektorer – däribland finansiella tjänster, försvar och folkhälsa – har särskilda regler som kan innebära en lägre tröskel eller striktare krav. Även kommuner och regioner omfattas, oavsett storlek.

Tröskeln på 50 anställda är inte kopplad till heltidstjänster utan till antalet personer som är anställda eller annars utför arbete inom organisationens verksamhet. En arbetsgivare med franchisetagare, konsulter eller inhydr personal kan alltså omfattas även om det egna antalet anställda är färre. Ansvaret ligger alltid på den juridiska personen, inte på en enskild avdelning.

Vilka organisationer är undantagna?

Arbetsgivare med färre än 50 arbetstagare är formellt inte skyldiga att ha en intern rapporteringskanal enligt SFS 2024:1989. De kan dock välja att frivilligt inrätta en sådan, och om de gör det måste den uppfylla direktivets krav på konfidentialitet, återkoppling och skydd mot repressalier. Många mindre arbetsgivare väljer ändå att ansluta sig till en extern kanal via en branschorganisation eller en gemensam lösning för att kunna erbjuda sina anställda en trygg väg att rapportera. Den fullständiga definitionen av vilka sektorer som har särskilda regler finns i översikten över EU-direktivet.

Vad gäller för kommuner och regioner?

Kommuner och regioner omfattas av SFS 2024:1989 utan storleksgräns, eftersom offentlig verksamhet lyder under särskilda regler. Även en liten kommun med ett fåtal anställda är skyldig att ha en fungerande intern rapporteringskanal. Samma krav på sju dagars bekräftelse, tre månaders återkoppling och skydd mot repressalier gäller som för privata arbetsgivare.

Vilka tidsfrister gäller – 7 dagar och 3 månader?

Enligt SFS 2024:1989 måste du bekräfta mottagandet av en rapport inom sju dagar från det att den kom in, och lämna återkoppling till rapportören inom tre månader. Båda tidsfristerna är absoluta – de kan inte pausas utan dokumenterad grund för förlängning, och förlängningen får som mest uppgå till ytterligare tre månader vid komplexa ärenden.

Sjudagarsfristen börjar löpa så snart rapporten når din kanal, oavsett om den kommer in via webbformulär, e-post, telefon eller fysiskt möte. Det räcker alltså inte att du svarar först när du hunnit läsa rapporten – du måste ha en teknisk lösning som registrerar mottagningstidpunkten och skickar en automatisk bekräftelse. Tretmånadersfristen räknas från samma tidpunkt och innefattar hela utredningen, inte bara ett första svar.

Vad räknas som "återkoppling"?

Återkoppling i lagens mening är inte samma sak som ett snabbt "vi har mottagit ditt meddelande". Det är en faktisk redogörelse för vilka åtgärder som har vidtagits, vad utredningen har kommit fram till och om ärendet är avslutat eller fortsätter. Du får inte lämna enbart en allmän bekräftelse utan att ha granskat rapporten, och du får inte heller lämna information som kan äventyra utredningen eller andras rättigheter. Syftet är att rapportören ska kunna se att ärendet tas på allvar och inte försvinner i en byråkratisk glömska.

Kan tidsfristerna förlängas?

Ja, men bara i undantagsfall. Om ärendets komplexitet motiverar det får du förlänga tremånadersfristen med upp till ytterligare tre månader. Förlängningen måste dokumenteras och motiveras skriftligt, och rapportören ska informeras om den. Sjudagarsfristen för bekräftelse kan inte förlängas – den ska alltid kunna hanteras av en enkel automatisk process.

Vad kostar det att inte följa lagen?

Sanktionerna för att bryta mot SFS 2024:1989 delas in i tre nivåer: administrativa sanktionsavgifter för organisationer som inte uppfyller krav på kanaler och handläggning, skadestånd till rapportörer som utsätts för repressalier, och straffrättsliga påföljder för den som utövar repressalier. Beloppen för de administrativa avgifterna kan uppgå till betydande belopp för större organisationer.

Tillsynsmyndigheten är Arbetsmiljöverket (arbetsmiljö- och kanalaspekter) och IMY (dataskyddsaspekter); dessa kan förelägga en organisation att rätta sig efter lagen. För organisationer med 250 eller fler anställda ligger maxbeloppet enligt direktivet på motsvarande EUR 1 miljon eller en andel av årsomsättningen, beroende på vilket belopp som är högre. För mindre organisationer är taket lägre men fortfarande betydande.

Vilka repressalier är förbjudna?

Repressalier omfattar i princip alla negativa åtgärder som drabbar en rapportör på grund av att denne har rapporterat: avsked, uppsägning, degradering, förändring av arbetsuppgifter, utebliven befordran, ekonomisk skada och skada på rykte. Även indirekta repressalier som att hota någon att rapportera, att stämma en rapportör för förtal eller att neka tjänster som andra anställda får omfattas. Den som utövar repressalier riskerar, förutom skadeståndsskyldighet, straffrättsliga påföljder.

Hur utreds överträdelser?

En utredning inleds oftast av tillsynsmyndigheten på basis av en anmälan från en rapportör eller en granskning av myndigheten själv. Myndigheten har rätt att begära in handlingar, genomföra inspektioner och förelägga organisationen att rätta bristerna. Om föreläggandet inte följs kan myndigheten besluta om vite. I mer allvarliga fall, framför allt när repressalier påstås ha ägt rum, hamnar ärendet i domstol och kan leda till både skadestånd och straffrättsliga påföljder.

Så uppfyller du kraven steg för steg

Så uppfyller du kraven steg för steg Att uppfylla SFS 2024:1989 handlar om fyra konkreta steg: kartlägg din organisation, inrätta en tekniskt säker kanal, fastställ rutiner för handläggning och dokumentation, och säkerställ skydd mot repressalier. Varje steg är nödvändigt, och brister i ett enda steg kan underkänna hela systemet vid en inspektion.

Börja med att kartlägga din organisation: hur många anställda har du, vilka sektorer är verksamheten i och vilka typer av missförhållanden kan uppstå. En redovisningsbyrå har andra risker än ett vårdbolag, och en IT-leverantör har andra än en restaurang. Kartläggningen ger dig svaret på vilka rapporteringskategorier din kanal måste stödja.

Hur inrättar du en säker rapporteringskanal?

En godkänd rapporteringskanal enligt SFS 2024:1989 ska kunna ta emot skriftliga rapporter och, på begäran, rapporter via fysiskt möte inom rimlig tid. Den ska vara konfidentiell, tekniskt säker och tillgänglig för alla anställda. Ett öppet e-postkonto räcker inte – du behöver en lösning som skyddar rapportörens identitet, lagrar ärendet på ett spårbart sätt och kan kommunicera säkert tvåvägs utan att informationen läcker. För en fullständig checklista, se guiden för en intern rapporteringskanal.

Vilka rutiner behöver du för handläggning?

Rutiner för handläggning ska vara skriftliga, kända av alla som hanterar rapporter och följa lagens tidsfrister. En rapport ska tilldelas en utredare, en kategorisering ska göras och ärendet ska loggföras med alla steg. Sjudagarsbekräftelsen ska gå ut automatiskt, tremånadersåterkopplingen ska planeras in i god tid och allt ska kunna exporteras i ett standardformat för revision. Avsaknaden av rutiner är en av de vanligaste bristerna som tillsynsmyndigheten påtalar.

Hur säkerställer du skydd mot repressalier?

Skydd mot repressalier kräver både tekniska och organisatoriska åtgärder. Tekniskt handlar det om att rapportörens identitet skyddas i varje steg – från kanal till återkoppling – och att endast behöriga handläggare har åtkomst. Organisatoriskt handlar det om att informera de anställda om att repressalier är förbjudna och att alla misstänkta fall utreds omedelbart. Det räcker inte att lita på god vilja; strukturen måste göra det svårt för någon att agera fel.

Vilken programvara behöver du – och vilka funktioner krävs?

Du behöver en programvara som uppfyller fem funktionella krav: anonym eller konfidentiell mottagning, säker tvåvägskommunikation med rapportören, strukturerad ärendehantering, tidsfristbevakning och en oföränderlig revisionslogg. Dessa funktioner är inte valfria – utan dem kan du inte visa att du uppfyller SFS 2024:1989.

Många organisationer försöker bygga sin egen lösning med e-post och kalkylblad. Det fungerar i teorin under en kort period, men faller snabbt på tre punkter: ingen spårbar tidsfristbevakning, ingen garanti för att rapporter förblir konfidentiella och ingen export som en revisor kan lita på. En rapport som ligger i en persons inkorg är inte en rapport som kan visas vid en inspektion.

Vilka tekniska krav ställs?

Programvaran måste vara krypterad, hostad inom EU eller i en jurisdiktion med adekvat skyddsnivå, och konstruerad så att inte ens leverantören kan läsa rapportinnehållet. Det ska inte finnas kakor eller spårning på rapportsidan som kan äventyra anonymiteten, och alla dataöverföringar ska vara krypterade enligt moderna standarder. För en översikt över hur dessa krav omsätts i praktiken, se säkerhetsöversikten.

Vilka roller och behörigheter behövs?

En kompliancelösning kräver minst tre roller: en mottagare som tar emot rapporter, en utredare som granskar dem och en administratör som hanterar behörigheter och loggar. Rollerna ska vara tydligt åtskilda och alla åtgärder i systemet ska loggas med tidpunkt, användare och åtgärd. Det är dessa loggar som gör systemet revisionsklart, och det är avsaknaden av loggar som gör att många hemmasnickrade lösningar faller vid en inspektion.

Vilken lösning gör jobbet utan att du bygger allt själv?

För den som inte vill bygga ett eget system finns färdiga lösningar som är byggda för direktivets krav. En sådan lösning är ashio, en GDPR-kompatibel visselblåsningsprogramvara med anonym rapportering, tvåvägskommunikation och inbyggd tidsfristbevakning – den passar mindre och medelstora organisationer som behöver uppfylla SFS 2024:1989 utan att själva administrera krypteringen och loggningen. För en mer detaljerad beskrivning av hur lösningen stödjer compliance-ansvariga i det dagliga arbetet, se ashio för compliance officers.

Vanliga frågor

Gäller lagen även för ideella föreningar?

Ja, om föreningen har minst 50 arbetstagare eller utför arbete i en av de särskilt reglerade sektorerna. SFS 2024:1989 är knuten till arbetsgivarbegreppet, inte till associationsform. En ideell förening som är arbetsgivare med tillräckligt många anställda omfattas av samma krav som ett aktiebolag.

Måste kanalen vara på svenska?

Nej, men den ska vara tillgänglig för alla anställda. Om du har anställda som inte talar svenska måste kanalen kunna användas på de språk som är relevanta för din verksamhet. Praktiskt innebär det ofta flerspråkigt stöd i formulär och bekräftelsemail, något som många färdiga lösningar erbjuder som standard.

Vad händer om en rapport visar sig vara falsk?

En rapport som visar sig vara ogrundad leder inte till repressalier mot rapportören, så länge denne hade rimlig grund att tro att uppgifterna var sanna vid tiden för rapporteringen. Däremot kan en medvetet falsk rapport få rättsliga konsekvenser för den som lämnar den, exempelvis förtal. Du är skyldig att utreda alla rapporter, men inte skyldig att vidta åtgärder om utredningen visar att missförhållandet inte ägt rum.

Kan en anställd rapportera direkt till en myndighet?

Ja, men bara under vissa förutsättningar. En anställd ska i första hand använda din interna kanal, men kan gå direkt till en behörig myndighet om det finns risk för repressalier, om ärendet är brådskande eller om den interna kanalen inte fungerar. Du får inte avvisa en rapport som går via myndighet, och du måste fortsatt skydda rapportören mot repressalier.

Hur länge ska rapporter sparas?

Rapporter ska sparas så länge som är nödvändigt för att uppfylla lagens krav, men inte längre än vad som är proportionerligt. Identitetsuppgifter för rapportören får endast sparas så länge det krävs för utredningen och för att skydda rapportören mot repressalier. Efter att ärendet är avslutat ska personuppgifter rensas eller anonymiseras enligt GDPR-principerna om uppgiftsminimering och lagringsbegränsning.

Källor