Vad NIS2 betyder för svenska företag

Den 15 januari 2026 trädde cybersäkerhetslagen (SFS 2025:1506) i kraft, och med den Sveriges genomförande av EU:s NIS2-direktiv. En verksamhet som omfattas ska anmäla sig till Nationellt cybersäkerhetscenter (NCSC) och hantera cybersäkerhetsrisker på ett dokumenterat sätt. Ledningen ska vara utbildad och delaktig, och betydande incidenter ska rapporteras inom bestämda tidsfrister.

Texten är allmän information. Pröva ert fall mot lagen och NCSC:s vägledning.

Vilka omfattas?

Arton sektorer. Bland dem finns energi, transporter, bank och finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, digital infrastruktur och offentlig förvaltning. Flera av dem låg utanför de gamla NIS-reglerna. Det gäller till exempel delar av tillverkningsindustrin, produktion och distribution av livsmedel, avfallshantering och posttjänster.

Storleken spelar också roll. Som huvudregel gäller lagen medelstora och stora verksamheter i de sektorerna, enligt EU:s definition av företagsstorlek. Det betyder minst 50 anställda, eller både årsomsättning och balansomslutning över 10 miljoner euro. Vissa tjänster omfattas oavsett storlek, bland annat leverantörer av DNS-tjänster, leverantörer av allmänna elektroniska kommunikationstjänster och verksamheter som har identifierats som kritiska.

Verksamheterna delas in i två grupper. Väsentliga verksamhetsutövare har aktiv tillsyn och högre maximala sanktionsavgifter, medan viktiga granskas främst i efterhand när det finns tecken på brister. Avgör själva vilken grupp ni tillhör innan ni anmäler er, och skriv ner hur ni kom fram till det.

Att vara leverantör till en verksamhet som omfattas gör inte i sig att ni omfattas. Ni märker ändå av lagen. Era kunder ansvarar för säkerhetsrisker i sina leverantörskedjor, så räkna med frågor om hur ni hanterar behörigheter, incidenter och säkerhetskopior.

Vad kräver lagen?

En verksamhet som omfattas måste:

• anmäla sig till NCSC (verksamheter som var anmälda enligt den gamla NIS-lagen måste anmäla sig på nytt)
• vidta lämpliga tekniska och organisatoriska åtgärder utifrån en riskanalys
• se till att ledningen godkänner åtgärderna, följer upp dem och genomgår utbildning
• rapportera betydande incidenter

Kraven ligger nära direktivet. Åtgärderna beskrivs medvetet brett. De omfattar bland annat riskanalys, incidenthantering, kontinuitet och säkerhetskopiering samt säkerhet i leverantörskedjan. Säker utveckling och förvaltning av system, behörighetsstyrning, flerfaktorsautentisering, kryptering och grundläggande säkerhetsutbildning för personalen finns också med. Den som har arbetat med informationssäkerhet känner igen listan, som nu är en lagstadgad skyldighet, och tillsynsmyndigheten kan begära att få se underlaget.

Tidsfrister för incidentrapportering

I Sverige rapporteras betydande incidenter till NCSC via CERT-SE, enligt detaljerade föreskrifter som gäller sedan den 1 juli 2026 (MCFFS 2026:8). Direktivet anger tre tidsfrister:

1. En tidig varning inom 24 timmar från att ni fick kännedom om incidenten. I den framgår om incidenten verkar vara avsiktlig och om den kan påverka andra länder.
2. En incidentanmälan inom 72 timmar från att ni fick kännedom om den, med en första bedömning av allvarlighet och konsekvenser.
3. En slutrapport senast en månad efter incidentanmälan, med orsak, vilka åtgärder ni vidtog och eventuella gränsöverskridande effekter.

Bristen vi hittar oftast är den tidiga varningen inom 24 timmar: det finns en plan, men ingen är utsedd att skicka varningen. Tjugofyra timmar är kort tid, så bestäm i förväg vem som rapporterar, genom vilken kanal och på vilket underlag. Öva på det före den första verkliga incidenten.

Vem utövar tillsyn?

Sedan den 1 juli 2026 är NCSC den centrala kontaktpunkten. NCSC är en del av Försvarets radioanstalt (FRA). Centret tar emot anmälningar och incidentrapporter och skickar rapporterna vidare till den myndighet som har tillsyn över er sektor. Under första halvåret 2026 låg den rollen hos Myndigheten för civilt försvar (MCF). Tillsynen är uppdelad per sektor. Energiföretag granskas till exempel av Energimyndigheten och transportföretag av Transportstyrelsen, och cybersäkerhetsförordningen (SFS 2025:1507) anger vilken myndighet som har tillsyn över vilken sektor.

Tillsynsmyndigheterna kan förelägga en verksamhet att vidta åtgärder, genomföra säkerhetsrevisioner och besluta om sanktionsavgifter. Som en sista utväg kan de ansöka om att en person tillfälligt förbjuds att ha en ledande befattning.

För väsentliga verksamhetsutövare måste medlemsstaterna tillåta sanktionsavgifter på minst 10 miljoner euro eller 2 procent av den globala årsomsättningen, beroende på vilket som är högst. Direktivets nivå för viktiga verksamhetsutövare är 7 miljoner euro eller 1,4 procent.

Var ska man börja?

Är ni osäkra, gå igenom det här:

1. Ta reda på om ni omfattas och i så fall som väsentlig eller viktig verksamhetsutövare. Skriv ner resonemanget.
2. Om ni omfattas och inte har anmält er, anmäl er till NCSC nu. Tillsynsmyndigheterna kan agera om en anmälan inte har kommit in inom 14 dagar.
3. Kartlägg vad era tjänster är beroende av: system, data, leverantörer och de personer som driver dem. För molnleverantörer avgör en molnstrategi vilken information som får ligga var.
4. Gör en riskanalys och jämför era nuvarande åtgärder med lagen. Håll resultatet till en kort lista över brister, med en ansvarig och ett datum på varje rad.
5. Bestäm hur ni ska upptäcka, bedöma och rapportera en incident inom 24 timmar. Genomför sedan en övning.
6. Ge ledningen utbildningen, och en kort och regelbunden rapport om cyberrisker som den kan agera utifrån.

Hur vi hjälper till

Vi hjälper verksamheter att avgöra om de omfattas, och vi gör gapanalyser mot lagen och sätter upp incidenthantering som fungerar under tidspress. Vår bakgrund finns i försvarsindustrin och i reglerad SaaS, där krav som dessa hör till vardagen. Läs mer om våra tjänster inom cybersäkerhet, eller hör av er för ett första, förtroligt samtal.