Vad NIS2 betyder för svenska företag

Sverige har genomfört EU:s NIS2-direktiv genom cybersäkerhetslagen (SFS 2025:1506), som trädde i kraft den 15 januari 2026. Omfattas er verksamhet måste ni anmäla er till Nationellt cybersäkerhetscenter (NCSC), hantera cybersäkerhetsrisker på ett dokumenterat sätt, se till att ledningen är utbildad och delaktig och rapportera betydande incidenter inom bestämda tidsfrister.

Texten är allmän information. Pröva ert eget fall mot lagen och NCSC:s vägledning.

Vilka omfattas?

Lagen pekar ut 18 sektorer. Bland dem finns energi, transporter, bank och finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, digital infrastruktur och offentlig förvaltning. Flera sektorer låg utanför de gamla NIS-reglerna, till exempel delar av tillverkningsindustrin, produktion och distribution av livsmedel, avfallshantering och posttjänster.

Storleken spelar också roll. Som huvudregel gäller lagen medelstora och stora verksamheter i de sektorerna, enligt EU:s definition av företagsstorlek: minst 50 anställda, eller både en årsomsättning och en balansomslutning över 10 miljoner euro. Vissa tjänster omfattas oavsett storlek, till exempel leverantörer av DNS-tjänster, leverantörer av allmänna elektroniska kommunikationstjänster och verksamheter som har identifierats som kritiska.

Verksamheter som omfattas delas in i två grupper. Väsentliga verksamhetsutövare har aktiv tillsyn och högre maximala sanktionsavgifter. Viktiga verksamhetsutövare granskas främst i efterhand, när det finns tecken på brister. Ni bedömer själva vilken grupp ni tillhör innan ni anmäler er, och det är klokt att skriva ner hur ni kom fram till det.

En leverantör till en verksamhet som omfattas blir inte själv omfattad bara genom att vara leverantör. Ni märker ändå av lagen, eftersom era kunder ansvarar för säkerhetsrisker i sina leverantörskedjor. Räkna med frågor om hur ni hanterar behörigheter, incidenter och säkerhetskopior.

Vad kräver lagen?

Kraven följer direktivet nära. En verksamhet som omfattas måste:

• anmäla sig till NCSC (verksamheter som var anmälda enligt den gamla NIS-lagen måste anmäla sig på nytt)
• vidta lämpliga tekniska och organisatoriska åtgärder utifrån en riskanalys
• se till att ledningen godkänner åtgärderna, följer upp dem och genomgår utbildning
• rapportera betydande incidenter

Åtgärderna beskrivs medvetet i breda termer. De omfattar bland annat riskanalys, incidenthantering, kontinuitet och säkerhetskopiering, säkerhet i leverantörskedjan, säker utveckling och förvaltning av system, behörighetsstyrning, flerfaktorsautentisering, kryptering och grundläggande säkerhetsutbildning för personalen. Lite på den listan överraskar den som har arbetat med informationssäkerhet. Det nya är att det nu är en lagstadgad skyldighet, med en tillsynsmyndighet som kan begära att få se underlaget.

Hur snabbt måste incidenter rapporteras?

I Sverige rapporteras betydande incidenter till NCSC via CERT-SE, enligt detaljerade föreskrifter som gäller från den 1 juli 2026 (MCFFS 2026:8). Direktivet anger tre tidsfrister:

1. En tidig varning inom 24 timmar från att ni fick kännedom om incidenten, där det framgår om den verkar vara avsiktlig och om den kan påverka andra länder.
2. En incidentanmälan inom 72 timmar från att ni fick kännedom om den, med en första bedömning av allvarlighet och konsekvenser.
3. En slutrapport senast en månad efter incidentanmälan, med orsak, vilka åtgärder ni vidtog och eventuella gränsöverskridande effekter.

Tjugofyra timmar går fort om ingen i förväg har bestämt vem som rapporterar, genom vilken kanal och på vilket underlag. Fatta det beslutet, och öva på det, före den första verkliga incidenten.

Vem utövar tillsyn?

NCSC, som är en del av Försvarets radioanstalt (FRA), är sedan den 1 juli 2026 den centrala kontaktpunkten. NCSC tar emot anmälningar och incidentrapporter och skickar incidentrapporterna vidare till den myndighet som har tillsyn över er sektor. Under första halvåret 2026 låg den rollen hos Myndigheten för civilt försvar (MCF). Tillsynen är uppdelad per sektor: energiföretag granskas till exempel av Energimyndigheten och transportföretag av Transportstyrelsen. Cybersäkerhetsförordningen (SFS 2025:1507) anger vilken myndighet som har tillsyn över vilken sektor. Tillsynsmyndigheterna kan förelägga en verksamhet att vidta åtgärder, genomföra säkerhetsrevisioner och besluta om sanktionsavgifter. Som en sista utväg kan de ansöka om att en person tillfälligt förbjuds att ha en ledande befattning.

Direktivet kräver att medlemsstaterna tillåter sanktionsavgifter på minst 10 miljoner euro eller 2 procent av den globala årsomsättningen, beroende på vilket som är högst, för väsentliga verksamhetsutövare. För viktiga verksamhetsutövare är motsvarande nivå 7 miljoner euro eller 1,4 procent.

Var ska man börja?

Är ni osäkra på var ni står ger den här arbetsordningen snabbt resultat:

1. Ta reda på om ni omfattas och i så fall som väsentlig eller viktig verksamhetsutövare. Skriv ner resonemanget.
2. Om ni omfattas och inte har anmält er, anmäl er till NCSC nu. Tillsynsmyndigheterna kan agera om en anmälan inte har kommit in inom 14 dagar.
3. Kartlägg vad era tjänster är beroende av: system, data, leverantörer och de personer som driver dem.
4. Gör en riskanalys och jämför era nuvarande åtgärder med lagen. En kort lista över brister med ansvariga och datum är mer användbar än ett långt policydokument.
5. Bestäm hur ni ska upptäcka, bedöma och rapportera en incident inom 24 timmar, och genomför en övning.
6. Ge ledningen utbildningen, och en kort och regelbunden rapport om cyberrisker som den kan agera på.

Hur vi hjälper till

Vi hjälper verksamheter att ta reda på om de omfattas, gör gapanalyser mot lagen och sätter upp incidenthantering som fungerar under tidspress. Vår bakgrund finns i försvarsindustrin och i reglerad SaaS, där krav som dessa hör till vardagen. Läs mer om våra tjänster inom cybersäkerhet, eller hör av er för ett första samtal i förtroende.