NIS2 för banker och kreditinstitut i Sverige: vad cybersäkerhetslagen kräver

Kort svar: omfattas banker och kreditinstitut?

Ja — bankverksamhet är en av de sektorer som räknas upp i bilaga 1 till NIS 2-direktivet (EU) 2022/2555, och sektorn förs in i svensk rätt genom cybersäkerhetslagen (2025:1506). Enligt 1 kap. 9 § räknas en verksamhetsutövare som är större än ett medelstort företag och som i övrigt omfattas av bilaga 1 som väsentlig verksamhetsutövare; verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare.

Det första du bör göra är därför två saker i tur och ordning: fastställ om ditt institut faller inom lagens tillämpningsområde och vilken av de två klasserna du hamnar i enligt 1 kap. 9 §, och anmäl dig därefter till den myndighet som regeringen bestämmer så snart det kan ske (2 kap. 2 §).

En viktig avgränsning för finansiella aktörer: enligt 1 kap. 10 § gäller bestämmelser om säkerhetsåtgärder eller incidentrapportering i annan lag eller författning i stället för skyldigheterna i 2 kap. 3–10 §§, om verkan av de kraven minst motsvarar verkan av skyldigheterna enligt cybersäkerhetslagen — med beaktande av bestämmelsernas omfattning samt vilken tillsyn och vilka sanktioner som är kopplade till kraven.

Så namnger regelverket sektorn — ordagrant

Sektorsbeskrivningen som styr täckningen är hämtad ur bilaga I till direktiv (EU) 2022/2555 och lyder ordagrant:

> Bankverksamhet — *Kreditinstitut enligt definitionen i artikel 4.1 i Europaparlamentets och rådets förordning (EU) nr 575/2013*

I samma bilaga finns även den närliggande sektorn Finansmarknadsinfrastruktur, som bland annat avser *operatörer av handelsplatser enligt definitionen i artikel 4.24* i det direktiv som anges där.

Det avgörande för ett svenskt institut är alltså inte vad verksamheten kallas i marknadsföringen, utan om den motsvarar definitionen av kreditinstitut i artikel 4.1 i förordning (EU) nr 575/2013. Cybersäkerhetslagen knyter an till bilagan genom 1 kap. 9 § 2 b, som talar om verksamhetsutövare som "i övrigt omfattas av bilaga 1 till NIS 2-direktivet i den ursprungliga lydelsen".

Väsentlig eller viktig verksamhetsutövare — och storlekströskeln

Cybersäkerhetslagen använder två statutära klasser, och klassen avgör tillsynens intensitet och sanktionstaket.

• Väsentlig verksamhetsutövare — enligt 1 kap. 9 § bland annat en verksamhetsutövare som är större än ett medelstort företag och som i övrigt omfattas av bilaga 1 till NIS 2-direktivet i den ursprungliga lydelsen men inte av 7 § 2 eller 3. Till samma klass räknas även statliga myndigheter, verksamhetsutövare enligt 6 § som storleksmässigt motsvarar eller är större än ett medelstort företag, verksamhetsutövare enligt 7 § 2 eller 3, kvalificerade tillhandahållare av betrodda tjänster samt de som räknas som väsentliga enligt föreskrifter meddelade med stöd av 15 § andra stycket.
• Viktig verksamhetsutövare — 1 kap. 9 § avslutas med regeln att verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare.

Skillnaden märks i tillsynen. Enligt 3 kap. 2 § får tillsynsåtgärder enligt 3, 4, 6 och 7 §§ när det gäller viktiga verksamhetsutövare vidtas endast när tillsynsmyndigheten har anledning att anta att verksamhetsutövaren inte följer lagen eller anslutande föreskrifter, eller sådana rättsakter som antagits med stöd av artiklarna 21.5 och 23.11 i NIS 2-direktivet. För väsentliga verksamhetsutövare gäller ingen sådan begränsning.

De exakta gränsvärdena för vad som utgör ett medelstort företag anges inte i den lagtext som återges här. Bekräfta tröskelvärdena och den slutliga klassificeringen mot publicerad vägledning från Försvarets radioanstalt (FRA) och den sektorsvisa tillsynsmyndigheten (officiella källor).

Kärnkraven: säkerhetsåtgärder, ledningens ansvar och anmälan

Lagen ställer samma grundkrav på alla verksamhetsutövare inom tillämpningsområdet — det finns inga särskilda, bankspecifika åtgärdskrav i lagtexten utöver de allmänna.

Säkerhetsåtgärder (2 kap. 3 §). Åtgärderna ska vara lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder, utgå från ett allriskperspektiv och säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. De ska åtminstone avse:

1. strategier för riskanalys och informationssystemens säkerhet 2. incidenthantering 3. kontinuitetshantering och krishantering 4. säkerhet i leveranskedjan 5. säkerhet vid förvärv, utveckling och underhåll av system 6. strategier och förfaranden för att bedöma åtgärdernas effektivitet 7. grundläggande cyberhygien och utbildning i cybersäkerhet 8. kryptografi och vid behov kryptering 9. personalsäkerhet, åtkomstkontroll och tillgångsförvaltning 10. vid behov multifaktorautentisering, säkrade kommunikationer och säkrade nödkommunikationssystem

Detta motsvarar åtgärdskatalogen i art 21(2) i direktiv (EU) 2022/2555. Ytterligare föreskrifter får meddelas av regeringen eller den myndighet som regeringen bestämmer (2 kap. 14 §).

Ledningens ansvar (2 kap. 3–4 §§). Verksamhetsutövaren ansvarar för att säkerhetsåtgärderna vidtas, och de personer som ingår i ledningen ska genomgå utbildning om säkerhetsåtgärder. Det motsvarar art 20(1) i direktivet, där ledningsorganen ska godkänna åtgärderna, övervaka genomförandet och kan hållas ansvariga för överträdelser.

Anmälan (2 kap. 2 §). Verksamhetsutövare ska så snart det kan ske anmäla sig till den myndighet som regeringen bestämmer. Har de förhållanden som redovisats i anmälan ändrats ska förändringen anmälas så snart det kan ske, dock senast 14 dagar efter att den ägde rum. Exakt anmälningsplattform och vilka uppgifter som ska lämnas framgår inte av lagtexten ensam — bekräfta hos Försvarets radioanstalt (FRA) (officiell källa).

Incidentrapportering och tidsfrister

En incident är betydande om den har orsakat eller kan orsaka allvarlig driftsstörning för den erbjudna tjänsten eller ekonomisk skada för verksamhetsutövaren, eller om den har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande skada (2 kap. 5 §).

För en betydande incident gäller följande kedja enligt 2 kap. 5–8 §§:

Rapportering görs till CSIRT-enheten (förordning 2025:1507 § 6). Från och med den 1 juli 2026 är Försvarets radioanstalt (FRA), som driver det nationella cybersäkerhetscentret, både CSIRT-enhet och gemensam kontaktpunkt (1 kap. 17 §; förordning 2025:1507 §§ 23 och 31; förordning 2025:237). Den exakta tekniska rapporteringskanalen fastställs av myndigheten och i föreskrifter — bekräfta hos Försvarets radioanstalt (FRA) (officiell källa).

Tillsynen är sektorsindelad (3 kap. 1 §). Enligt förordning (2025:1507) §§ 7–8 är Finansinspektionen tillsynsmyndighet för Bankverksamhet och Finansmarknadsinfrastruktur.

Sanktionsavgifter

En tillsynsmyndighet får besluta att ta ut en sanktionsavgift av en verksamhetsutövare till följd av en överträdelse av skyldigheterna i 2 kap. 1–10 §§ (4 kap. 9 § jämförd med 1 §). Avgiften ska bestämmas till lägst 5 000 kronor och högst till (4 kap. 10 §):

• Väsentlig verksamhetsutövare: det högsta av 2 procent av den totala globala årsomsättningen närmast föregående räkenskapsår eller ett belopp i kronor motsvarande 10 000 000 euro.
• Viktig verksamhetsutövare: det högsta av 1,4 procent av den totala globala årsomsättningen närmast föregående räkenskapsår eller ett belopp i kronor motsvarande 7 000 000 euro.
• Offentlig verksamhetsutövare: 10 000 000 kronor.

Sanktionsavgiften betalas till tillsynsmyndigheten inom 30 dagar (4 kap. 13 §) och faller bort om beslutet inte har verkställts inom fem år (4 kap. 14 §).

En praktisk startpunkt: gå igenom de tio åtgärdsområdena i 2 kap. 3 §, dokumentera nuläget per område, säkerställ att ledningen har genomgått utbildning enligt 2 kap. 4 § och att era rutiner klarar fristerna i 2 kap. 5–8 §§. En strukturerad enkätbaserad självutvärdering av om lagen är tillämplig på er verksamhet ger en snabb första bild innan ni går vidare till detaljerna.