NIS2 och cybersäkerhetslagen: vem omfattas och vad krävs?

Vad är NIS2, och vad är cybersäkerhetslagen?

NIS2 är EU:s direktiv om säkerhet för nät- och informationssystem, (EU) 2022/2555, och uppföljaren till det första NIS-direktivet (EU) 2016/1148. Som direktiv blir det svensk rätt genom införlivning: cybersäkerhetslagen (2025:1506) ersätter lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster och breddar kraven kraftigt, fler sektorer, tydligare ledningsansvar och strängare sanktioner. Kärnan är att omfattade verksamheter ska hantera sina cybersäkerhetsrisker på ett systematiskt sätt.

Direktivets deadline för införlivning, den 17 oktober 2024, passerades utan svensk lag på plats, och implementeringen drog ut på tiden: cybersäkerhetslagen trädde i kraft först den 15 januari 2026, och detaljer som tillsynsupplägg och övergångsregler klarnade sent i processen. Det gör NIS2 till ett läroboksexempel på varför bevakning slår gissning: innehållet i direktivet står fast, men föreskrifter och detaljer i svensk tillämpning behöver följas löpande.

Vem omfattas, är mitt företag med?

Omfattningen styrs av två frågor: bedriver du verksamhet i en sektor som direktivet räknar upp, och har verksamheten en viss storlek? I princip omfattas medelstora och stora verksamheter i de listade sektorerna, enligt EU:s företagsdefinition (rekommendation 2003/361/EG) ungefär femtio anställda eller tio miljoner euro i årsomsättning och däröver. Utanför tröskelvärdena kan verksamheter ändå omfattas i vissa fall, exempelvis som ensam leverantör av en tjänst som är väsentlig för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet.

Att ta reda på om ni omfattas är ett eget steg: utgå från er bransch och er storlek, läs sektorlistan i den svenska lagen, och följ tillsynsmyndigheternas vägledningar allteftersom de kommer. Tvekar ni är det bättre att göra en egenbedömning på riktigt, sektorer och trösklar är dokumenterade, än att vänta på att en myndighet gör bedömningen åt er. Svaret styr nämligen hur mycket av kravarbetet ni behöver ha klart, och när.

Direktivet räknar upp 18 sektorer i två bilagor, elva med hög kritikalitet och sju övriga kritiska sektorer:

• Energi, transporter, bank- och finanssektorn samt hälso- och sjukvård.
• Dricksvatten och avlopp, digital infrastruktur, IT-tjänstehantering och offentlig förvaltning.
• Rymden, post- och kurirtjänster, avfallshantering, kemikalier samt livsmedel.
• Tillverkning, digitala leverantörer och forskning.

Vad är skillnaden mellan väsentliga och viktiga verksamhetsutövare?

De omfattade verksamhetsutövarna delas in i väsentliga och viktiga utifrån kriterier i den svenska lagen. Skillnaden ligger framför allt i tillsynens utformning och i sanktionernas tak, inte i säkerhetskraven, båda kategorierna ska vidta samma typ av åtgärder. Enligt lagen räknas bland annat myndigheter, stora kommuner och regioner samt stora verksamheter i direktivets första bilaga som väsentliga; övriga omfattade verksamhetsutövare är viktiga.

Vilka krav ställer cybersäkerhetslagen?

Kärnan är en ansvarsfull hantering av säkerhetsriskerna, inte en teknisk specifikation. Bland kraven i direktivet finns:

• Riskanalys och säkerhetsåtgärder för nät- och informationssystem, med hänsyn till hela leveranskedjan.
• Incidenthantering: rutiner för att upptäcka, hantera och rapportera incidenter.
• Affärskontinuitet, reservsystem, krisplaner och säkerhetskopior.
• Kryptering och andra grundläggande tekniska skyddsåtgärder där det är lämpligt.
• Säkerhet vid inköp och i relationer med leverantörer.
• Ledningens godkännande av åtgärderna, uppföljning av deras genomförande och utbildning av ledningen, ansvaret vilar uttryckligen på ledningen.

Vilka sanktioner ger cybersäkerhetslagen?

Sanktionerna är en av direktivets tydligaste förändringar: enligt 4 kap. 10 § lagen kan sanktionsavgiften för väsentliga enskilda verksamhetsutövare nå upp till tio miljoner euro eller två procent av den globala årsomsättningen, det högsta beloppet gäller, och för viktiga enskilda sju miljoner euro respektive 1,4 procent. Offentliga verksamhetsutövare har ett lägre tak, högst tio miljoner kronor. Till det kommer tillsyn: för väsentliga verksamhetsutövare kan myndigheten granska verksamheten även utan misstanke om brister, medan tillsynen för viktiga verksamhetsutövare i utgångspunkten kräver ett uppslag.

Rapporteringstakten är en annan: väsentliga incidenter ska anmälas i tre steg, en tidig varning inom 24 timmar, en incidentanmälan inom 72 timmar och en slutrapport inom en månad, till Nationellt cybersäkerhetscenter (NCSC), sedan den 1 juli 2026 en del av Försvarets radioanstalt (FRA); verksamheten flyttade då från MSB. Det förutsätter rutiner som fungerar mitt i en pågående incident, inte sådana som börjar diskuteras i efterhand. Och utöver avgifterna kan ledningen hållas ansvarig för brister i efterlevnaden, en av anledningarna till att frågan flyttats från IT-avdelningen till ledningsgruppen. Läs mer om det bredare mönstret i vår genomgång av chefsansvaret för regelverk.

Hur håller du dig uppdaterad om cybersäkerhetslagen?

Lagen gäller nu, men vägledningar och föreskrifter från tillsynsmyndigheterna fortsätter att komma. Välj källor, direktivtexten, cybersäkerhetslagen och myndigheternas vägledningar, där Nationellt cybersäkerhetscenter (NCSC) samordnar nationellt och sektorsmyndigheter som IMY, PTS och Finansinspektionen vägleder inom sina områden, och bevaka dem med fast intervall. EUR-Lex har direktivets fullständiga text, och vår standardlaglista för informationssäkerhet samlar det regelverk som redan i dag gäller för verksamheter inom området.

LawCrawl bevakar svenska och EU-källor löpande, informationssäkerhet inkluderat, och mailar en tydlig notis när en ändring upptäcks i dina källor, så ser du direkt när nya vägledningar eller föreskrifter påverkar cybersäkerhetslagens krav, utan att själv jaga dem.