Är ditt NIS2-dokument juridiskt hållbart i Sverige – och hur kontrollerar du det?

1. Spårbarhet: varje krav ska gå att följa till ett lagrum

Ett NIS2-dokument som ditt företag redan har – eller står i begrepp att köpa – är bara så användbart som det är kontrollerbart. Den svenska genomförandelagen heter Cybersäkerhetslag (2025:1506), och det är mot den texten dokumentet ska gå att stämma av, inte enbart mot NIS 2-direktivet.

Testa dokumentet så här:

• Slå upp fem påståenden på måfå i dokumentet – ett om säkerhetsåtgärder, ett om incidenter, ett om anmälan, ett om ledningen, ett om tillsyn.
• Finns för varje påstående en hänvisning i formen kapitel och paragraf, till exempel 2 kap. 3 §, 2 kap. 5 §, 3 kap. 1 § eller 4 kap. 10 §?
• Om dokumentet endast hänvisar till "NIS2" eller till direktivets artiklar, eller saknar hänvisning helt, går påståendet inte att kontrollera. Då vet varken du, en tillsynsmyndighet eller en kund om innehållet speglar svensk rätt.

En hänvisning till direktivet är inte fel i sig, men den är inte tillräcklig: det är den svenska lagtexten som är bindande för verksamheten. Notera också 1 kap. 10 § – finns det i annan författning krav på säkerhetsåtgärder eller incidentrapportering ska de bestämmelserna gälla om verkan av kraven minst motsvarar verkan av skyldigheterna enligt 2 kap. 3–10 §§. Ett dokument som helt bortser från annan reglering som redan träffar er är ofullständigt på just den punkten.

2. Täckning: de tio åtgärdsområdena i 2 kap. 3 §

Den svenska motsvarigheten till direktivets artikel 21.2 är 2 kap. 3 § cybersäkerhetslagen. Säkerhetsåtgärderna ska utgå från ett allriskperspektiv och åtminstone avse tio områden. Gå igenom dokumentet med listan bredvid och pricka av:

Ett tomt fält betyder inte automatiskt att ni gör fel – men det betyder att dokumentet inte visar hur området hanteras. Kom också ihåg att ytterligare föreskrifter får meddelas av regeringen eller den myndighet som regeringen bestämmer (2 kap. 14 §); ett dokument som påstår att listan är uttömmande för all framtid övertolkar lagen.

3. Ordalydelse: jämför mening mot mening med lagtexten

En omskrivning kan låta rimlig och ändå flytta innebörden. Så här ser en kontrollerbar källhänvisning ut i praktiken – ett ordagrant citat följt av exakt lagrum:

> "Verksamhetsutövare ska upplysa den myndighet som regeringen bestämmer om en betydande incident så snart det kan ske, dock senast 24 timmar efter det att verksamhetsutövaren har fått kännedom om incidenten."

— 2 kap. 5 § cybersäkerhetslagen (2025:1506).

Jämför nu den meningen med motsvarande mening i ditt dokument, ord för ord:

• Vem är skyldig? Verksamhetsutövaren – inte "IT-avdelningen".
• Vad ska göras? Upplysa myndigheten om en betydande incident.
• När börjar fristen? Vid kännedom om incidenten, inte vid åtgärdad incident.
• Vilken frist? Så snart det kan ske, dock senast 24 timmar jämfört med incidentanmälan enligt 2 kap. 6 §, som ska göras så snart det kan ske – för den som tillhandahåller betrodda tjänster senast 24 timmar och för övriga senast 72 timmar efter kännedom.

En text som slår ihop stegen till "rapportera snarast" har tappat både stegen och fristerna. Gör samma jämförelse för de påståenden som styr era rutiner mest.

4. Ledningens godkännande – ett dokument utan beslut är ofullständigt

Enligt direktiv (EU) 2022/2555 art 20(1) ska ledningsorganen godkänna riskhanteringsåtgärderna, övervaka genomförandet av dem och kunna ställas till svars för överträdelser. I den svenska lagen är det verksamhetsutövaren som ansvarar för att säkerhetsåtgärderna enligt 2 kap. 3 § vidtas, och de personer som ingår i ledningen ska genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §).

Kontrollera därför tre konkreta saker i dokumentet:

• Finns det en beslutsrad – datum, vem som beslutat, i vilket forum?
• Anges hur ledningen följer upp åtgärderna över tid, och inte bara antar dem en gång?
• Framgår det hur utbildningskravet i 2 kap. 4 § hanteras för dem som ingår i ledningen?

Ett påskrivet dokument gör inte i sig verksamheten säker och innebär inget besked om att kraven är uppfyllda. Men ett dokument som aldrig behandlats av ledningen saknar det steg som lagen och direktivet pekar ut.

5. Vad en tillsynsmyndighet eller en kund faktiskt tittar på

Tillsynen i Sverige är sektorsindelad: den eller de myndigheter som regeringen bestämmer ska vara tillsynsmyndighet och utövar tillsyn över att lagen och anslutande föreskrifter följs (3 kap. 1 §). Sektorsindelningen anges i förordning (2025:1507) §§ 7–8, till exempel Post- och telestyrelsen för digital infrastruktur och Finansinspektionen för bankverksamhet. Vilken myndighet som gäller för just er sektor kräver en bedömning mot hela kartläggningen i förordningen – kontrollera det mot myndighetens publicerade information.

För viktig verksamhetsutövare gäller en tröskel: tillsynsåtgärder enligt 3 kap. 3, 4, 6 och 7 §§ får vidtas endast när tillsynsmyndigheten har anledning att anta att verksamhetsutövaren inte följer lagen, anslutande föreskrifter eller rättsakter antagna med stöd av artiklarna 21.5 och 23.11 i NIS 2-direktivet (3 kap. 2 §). För väsentlig verksamhetsutövare gäller inte den begränsningen. Vilken kategori ni tillhör följer av 1 kap. 9 §, där verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare.

Kunder ställer i sin tur frågor via kravet på säkerhet i leveranskedjan (2 kap. 3 § punkt 4). Det är därför en leverantör som själv inte omfattas ändå kan få frågor om sitt underlag. Sanktionsavgift får beslutas vid överträdelse av skyldigheterna i 2 kap. 1–10 §§ och bestäms enligt 4 kap. 10 § till lägst 5 000 kronor och högst till bland annat det högsta av 2 procent av den totala globala årsomsättningen eller ett belopp motsvarande 10 000 000 euro för en väsentlig verksamhetsutövare, och 1,4 procent respektive 7 000 000 euro för en viktig verksamhetsutövare. Det är fakta om ramarna, inte en förutsägelse om utfall i ett enskilt fall.