NIS2-dokumentation i Sverige – vad avgör omfattningen och därmed kostnaden

Kort svar: kostnaden följer av vilka dokument lagen kräver av just ert företag

Kostnaden för NIS2-dokumentation beror på vilka dokument Cybersäkerhetslagen (2025:1506) faktiskt kräver av er verksamhet. Det avgörs av tre saker: om verksamheten alls omfattas av lagen, om den räknas som väsentlig verksamhetsutövare eller viktig verksamhetsutövare, och hur många av åtgärdsområdena i 2 kap. 3 § som behöver beskrivas i skrift. De aktuella priserna för varje enskilt dokument och för paketen visas i prislistan på den här sidan.

Resten av artikeln går igenom vad som styr den bedömningen, område för område, med lagrummet till varje punkt.

Steg ett: omfattas verksamheten – och i vilken klass?

Klassificeringen står i 1 kap. 9 § Cybersäkerhetslagen (2025:1506). Som väsentlig verksamhetsutövare räknas bland annat en verksamhetsutövare som är en statlig myndighet, en verksamhetsutövare som är större än ett medelstort företag och som är en kommun eller en region eller i övrigt omfattas av bilaga 1 till NIS 2-direktivet i den ursprungliga lydelsen men inte av 7 § 2 eller 3, en verksamhetsutövare som avses i 6 § och som storleksmässigt motsvarar eller är större än ett medelstort företag, samt en kvalificerad tillhandahållare av betrodda tjänster.

Alla övriga som omfattas av lagen hamnar i den andra klassen. Lagen uttrycker det så här:

"Verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare." (1 kap. 9 §)

Skyldigheterna i 2 kap. gäller båda klasserna. Skillnaden ligger i tillsynen: tillsynsåtgärder enligt 3, 4, 6 och 7 §§ får när det gäller viktiga verksamhetsutövare vidtas endast när tillsynsmyndigheten har anledning att anta att lagen eller anslutande föreskrifter inte följs (3 kap. 2 §).

Ett företag som inte omfattas av lagen behöver ingen lagstadgad NIS2-dokumentation. Sådana företag får däremot ofta frågor från kunder som själva omfattas, eftersom säkerhet i leveranskedjan är ett eget åtgärdsområde (2 kap. 3 § punkt 4) – då handlar underlaget om vad kunden efterfrågar, inte om en skyldighet i lagen.

Den exakta sektorsindelningen och vilken tillsynsmyndighet som gäller för just er undersektor framgår av förordning (2025:1507) §§ 7–22. Bekräfta bedömningen mot de publicerade uppgifterna från Försvarets radioanstalt (FRA) och den sektorsvisa tillsynsmyndigheten som officiell källa.

Steg två: dokumentationen som lagen kräver är en helhet

2 kap. 3 § kräver lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder utifrån ett allriskperspektiv, med en säkerhetsnivå som är lämplig i förhållande till risken. Av de tio uppräknade områdena är fem de som normalt blir egna dokument:

• Riskhanteringspolicy. 2 kap. 3 § punkt 1 avser strategier för riskanalys och informationssystemens säkerhet. Här beskrivs vilka system och tjänster som ingår, hur risker bedöms och vem som beslutar. Punkt 6 hör nära samman: strategier och förfaranden för att bedöma åtgärdernas effektivitet.
• Incidenthantering. Området anges i 2 kap. 3 § punkt 2, och rapporteringsskyldigheterna i 2 kap. 5–8 §§ styr vad rutinen måste klara av. Lagtexten anger utgångspunkten: "Verksamhetsutövare ska upplysa den myndighet som regeringen bestämmer om en betydande incident så snart det kan ske, dock senast 24 timmar efter det att verksamhetsutövaren har fått kännedom om incidenten." (2 kap. 5 §). Incidentanmälan ska göras så snart det kan ske, för verksamhetsutövare som tillhandahåller betrodda tjänster senast 24 timmar och för övriga senast 72 timmar efter sådan kännedom (2 kap. 6 §), och en slutrapport lämnas senast en månad efter incidentanmälan (2 kap. 8 §).
• Kontinuitetshantering. 2 kap. 3 § punkt 3 omfattar kontinuitetshantering och krishantering. Dokumentet beskriver hur verksamheten ska kunna fortsätta vid avbrott, inklusive säkerhetskopiering och krisorganisation. Direktivets motsvarande led nämner driftskontinuitet, exempelvis hantering av säkerhetskopiering och katastrofhantering (art 21(2) c).
• Säkerhet i leveranskedjan. 2 kap. 3 § punkt 4 kräver säkerhet i leveranskedjan. Enligt art 21(2) d ingår säkerhetsaspekter som rör förbindelserna mellan varje entitet och dess direkta leverantörer eller tjänsteleverantörer. Här hamnar leverantörskrav, avtalsvillkor om säkerhet och uppföljning.
• Ledningens ansvar och utbildning. Verksamhetsutövaren ansvarar för att säkerhetsåtgärderna enligt 2 kap. 3 § vidtas, och de personer som ingår i ledningen ska genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §). Det dokumenteras som beslut, ansvarsfördelning och utbildningslogg.

Ju fler av dessa områden som verkligen berör er verksamhet, desto mer text – och det är detta som styr omfattningen.

Steg tre: ett dokument eller hela uppsättningen är ett verkligt val

Riskhanteringspolicyn är grunddokumentet. Den definierar omfattning, systemförteckning, riskmetod och beslutsordning – och de fyra övriga områdena bygger vidare på just de definitionerna. Skriver man incidentrutinen först får man ofta göra om den när policyn senare drar gränserna annorlunda.

Därför är ordningen sällan slumpmässig: policy först, därefter incidenthantering, kontinuitet, leveranskedja och ledningsdelen. Lagen beskriver samtidigt åtgärderna i 2 kap. 3 § som en samlad uppsättning med ett allriskperspektiv, inte som fristående valfria delar. Ett enda dokument täcker alltså ett av områdena, inte skyldigheten som helhet.

Om en verksamhetsutövare finner att den inte följer åtgärderna ska nödvändiga, lämpliga och proportionella korrigerande åtgärder vidtas utan onödigt dröjsmål (art 21(4) i direktiv (EU) 2022/2555).

Ledningens godkännande och utbildning

Kravet på ledningen har två delar. Enligt art 20(1) i direktiv (EU) 2022/2555 ska medlemsstaterna säkerställa att väsentliga och viktiga entiteters ledningsorgan godkänner riskhanteringsåtgärderna för cybersäkerhet, övervakar genomförandet av dem och kan ställas till svars för entiteternas överträdelser av artikel 21. I svensk rätt ansvarar verksamhetsutövaren för att säkerhetsåtgärderna enligt 2 kap. 3 § vidtas.

Den andra delen är utbildning: de personer som ingår i ledningen för en verksamhetsutövare ska genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §). Grundläggande cyberhygien och utbildning i cybersäkerhet är dessutom ett eget åtgärdsområde för verksamheten i stort (2 kap. 3 § punkt 7).

I praktiken betyder det att dokumentationen behöver visa ett beslut och en utbildningsinsats, inte bara en text. Det påverkar arbetets omfattning.

Två saker som ofta ändrar omfattningen

Krav i andra författningar. Finns det i lag eller annan författning bestämmelser med krav på säkerhetsåtgärder eller incidentrapportering ska de bestämmelserna gälla om verkan av kraven minst motsvarar verkan av skyldigheterna enligt 2 kap. 3–10 §§, med beaktande av bestämmelsernas omfattning samt vilken tillsyn och vilka sanktioner som är kopplade till kraven (1 kap. 10 §). Redan befintlig sektorsreglering kan alltså påverka vad som behöver skrivas.

Anmälan och ändringar. Verksamhetsutövare ska så snart det kan ske anmäla sig till den myndighet som regeringen bestämmer (2 kap. 2 § första stycket), och en ändring av redovisade förhållanden ska anmälas så snart det kan ske, dock senast 14 dagar efter att förändringen ägde rum (2 kap. 2 § andra stycket). Vilken e-tjänst och vilka uppgifter som gäller framgår inte av lagtexten ensam – kontrollera de publicerade uppgifterna från Försvarets radioanstalt (FRA) som officiell källa.