NIS2-dokumentation i Sverige: helheten först, sedan första steget

Helheten först: fem dokumentområden som hänger ihop

NIS2 genomförs i Sverige genom cybersäkerhetslagen (2025:1506). Enligt 2 kap. 3 § ska en verksamhetsutövare vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda nätverks- och informationssystem mot incidenter. Åtgärderna ska utgå från ett allriskperspektiv och ge en säkerhetsnivå som är lämplig i förhållande till risken. Paragrafen räknar upp tio åtgärdsområden – och de områden som ledningen i praktiken behöver kunna visa upp i skrift grupperar sig i fem kärnområden.

• 1. Strategier för riskanalys och informationssystemens säkerhet. Detta är första punkten i uppräkningen i 2 kap. 3 § (motsvarar art 21(2)(a) i direktiv (EU) 2022/2555). Här beslutas hur risker identifieras, värderas och behandlas, och vilken säkerhetsnivå verksamheten har valt i förhållande till risken. Dokumentet är den styrande ramen som de övriga områdena hänvisar tillbaka till.
• 2. Incidenthantering. Andra punkten i 2 kap. 3 § (art 21(2)(b)). Hit hör rutinen för att upptäcka, bedöma och hantera incidenter – kopplad till rapporteringsskyldigheterna i 2 kap. 5–8 §§, inklusive bedömningen av när en incident är betydande enligt 2 kap. 5 §: den har orsakat eller kan orsaka allvarlig driftsstörning eller ekonomisk skada, eller har påverkat andra fysiska eller juridiska personer genom betydande skada.
• 3. Kontinuitetshantering och krishantering. Tredje punkten i 2 kap. 3 § (art 21(2)(c), som nämner bland annat hantering av säkerhetskopiering och katastrofhantering). Här beskrivs hur verksamheten fortsätter fungera under och efter en störning, vem som leder arbetet och hur återställning sker.
• 4. Säkerhet i leveranskedjan. Fjärde punkten i 2 kap. 3 § (art 21(2)(d), som uttryckligen omfattar säkerhetsaspekter i förbindelserna mellan varje entitet och dess direkta leverantörer eller tjänsteleverantörer). Här dokumenteras krav på leverantörer, vad som avtalas och hur uppföljningen görs.
• 5. Ledningens ansvar och utbildning. Verksamhetsutövaren ansvarar för att säkerhetsåtgärderna enligt 2 kap. 3 § vidtas, och de personer som ingår i ledningen ska genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §). Detta motsvarar art 20 i direktivet, där ledningsorganen godkänner riskhanteringsåtgärderna och övervakar genomförandet. Beslut, godkännanden och genomförd utbildning behöver därför kunna dokumenteras.

De fem områdena är alltså inte fem separata projekt utan en uppsättning: samma riskbild, samma roller, samma system – beskrivna ur olika vinklar.

Varför riskhanteringspolicyn är det naturliga första steget

Först när helheten är synlig blir startpunkten självklar. Riskhanteringspolicyn – strategier för riskanalys och informationssystemens säkerhet – är det första av de fem områdena i 2 kap. 3 §, och det som de övriga fyra vilar på.

Skälet är praktiskt:

• Incidenthanteringen behöver veta vilka system och tjänster som är kritiska för att kunna prioritera.
• Kontinuitetsplanen behöver veta vilka avbrott som är oacceptabla och hur snabbt återställning krävs.
• Leverantörskraven behöver veta vilken risk en leverantör faktiskt bär i er verksamhet.
• Ledningen kan bara godkänna och följa upp åtgärder som är beskrivna mot en riskbild.

Utan den styrande ramen blir de andra dokumenten gissningar. Med den blir de konsekventa – och det syns när någon utomstående läser dem.

Ett konkret sätt att börja: gör först en egen bedömning av om lagen alls omfattar er verksamhet och om ni räknas som väsentlig verksamhetsutövare eller viktig verksamhetsutövare enligt 1 kap. 9 §, eftersom klassificeringen påverkar både tillsyn och sanktionsnivå. Verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare (1 kap. 9 §). Kom också ihåg anmälningsplikten: anmälan ska göras så snart det kan ske, och en ändring av redovisade förhållanden ska anmälas senast 14 dagar efter att den ägde rum (2 kap. 2 §).

Tillsyn och kunder frågar efter uppsättningen – inte ett enskilt dokument

Tillsynen i Sverige är sektorsvis. Lagen anger att den eller de myndigheter som regeringen bestämmer ska vara tillsynsmyndighet och att tillsynsmyndigheten utövar tillsyn över att lagen och anslutande föreskrifter följs (3 kap. 1 §). Sektorsindelningen finns i förordning (2025:1507) §§ 7–8 – exempelvis Post- och telestyrelsen för digital infrastruktur, Statens energimyndighet för energi, Finansinspektionen för bankverksamhet och finansmarknadsinfrastruktur, Livsmedelsverket för dricksvatten, avloppsvatten och livsmedel.

För viktiga verksamhetsutövare får tillsynsåtgärder enligt 3 kap. 3, 4, 6 och 7 §§ vidtas endast när tillsynsmyndigheten har anledning att anta att lagen, anslutande föreskrifter eller rättsakter antagna med stöd av artiklarna 21.5 och 23.11 i NIS 2-direktivet inte följs (3 kap. 2 §). För väsentliga verksamhetsutövare gäller inte den begränsningen.

Vid en överträdelse av skyldigheterna i 2 kap. 1–10 §§ får tillsynsmyndigheten besluta om sanktionsavgift (4 kap. 9 §). Avgiften bestäms till lägst 5 000 kronor och högst till det högsta av 2 procent av den totala globala årsomsättningen närmast föregående räkenskapsår eller ett belopp i kronor motsvarande 10 000 000 euro för en väsentlig verksamhetsutövare, det högsta av 1,4 procent eller ett belopp motsvarande 7 000 000 euro för en viktig verksamhetsutövare, och 10 000 000 kronor för en offentlig verksamhetsutövare (4 kap. 10 §).

Eftersom skyldigheterna i 2 kap. hänger samman – säkerhetsåtgärder, ledningens utbildning, anmälan och incidentrapportering – bedöms de som en helhet. Detsamma gäller upphandlande kunder: de frågar sällan efter ett enda dokument, utan efter den samlade uppsättningen.

Vill ni veta exakt vilken tillsynsmyndighet som gäller för just er sektor eller undersektor krävs en bedömning mot hela kartläggningen i förordning (2025:1507) §§ 7–22. Kontrollera detta mot tillsynsmyndigheternas och Försvarets radioanstalts (FRA) publicerade information som officiell källa.

Leveranskedjan: därför får även underleverantörer frågor

Säkerhet i leveranskedjan är en egen punkt i 2 kap. 3 § (punkt 4) och i art 21(2)(d), som uttryckligen omfattar säkerhetsaspekter som rör förbindelserna mellan varje entitet och dess direkta leverantörer eller tjänsteleverantörer.

Konsekvensen är en kedjeeffekt: en kund som omfattas av lagen måste hantera säkerheten hos sina direkta leverantörer. Därför skickas frågor om säkerhetsåtgärder, incidentrutiner och kontinuitet vidare nedåt i kedjan – till IT-leverantörer, molntjänster, transportörer och underhållsentreprenörer. Många företag möter NIS2 första gången i ett kundformulär, inte i ett myndighetsbrev.

Det betyder i praktiken två saker:

• Om ni omfattas: era leverantörskrav och er uppföljning behöver vara dokumenterade, inte muntliga.
• Om ni är leverantör till någon som omfattas: räkna med förfrågningar om underlag, även om lagens skyldigheter inte riktas mot er direkt.

Ett bra riskhanteringsunderlag gör att sådana svar kan lämnas snabbt och konsekvent, i stället för att skrivas om från början för varje kund.

Praktisk ordning för arbetet

En arbetsordning som följer lagens egen logik:

Tidsfristerna i steg 3 är värda att skriva in i rutinen ordagrant: upplysning till myndigheten så snart det kan ske, dock senast 24 timmar efter kännedom om den betydande incidenten (2 kap. 5 §). Incidentanmälan ska göras så snart det kan ske – verksamhetsutövare som tillhandahåller betrodda tjänster senast 24 timmar efter kännedom och övriga verksamhetsutövare senast 72 timmar efter sådan kännedom (2 kap. 6 §). På begäran lämnas en delrapport med statusuppdateringar (2 kap. 7 §), och en slutrapport ska lämnas senast en månad efter incidentanmälan; pågår incidenten fortfarande lämnas i stället en lägesrapport och därefter en slutrapport inom en månad efter att incidenten har hanterats (2 kap. 8 §). Rapportering görs till CSIRT-enheten (förordning 2025:1507 § 6), som från och med 2026-07-01 är Försvarets radioanstalt (FRA) genom det nationella cybersäkerhetscentret.

Exakt rapporteringskanal och anmälningsplattform framgår inte av lag- och förordningstexten ensam – bekräfta dem i FRA:s och er sektorsvisa tillsynsmyndighets publicerade information (officiell källa).