NIS2 för livsmedelsföretag i Sverige: produktion, bearbetning och distribution

Omfattas ert livsmedelsföretag av NIS2-reglerna i Sverige?

Kort svar: ja, livsmedelssektorn är en av de sektorer som NIS2 pekar ut – men bara för vissa verksamheter och först när företaget når en viss storlek. Sektorsbeskrivningen omfattar livsmedelsföretag som bedriver grossisthandel samt industriell produktion och bearbetning, och de svenska skyldigheterna följer av cybersäkerhetslagen (2025:1506). Om ni tillverkar, bearbetar eller grossistdistribuerar livsmedel bör ni därför göra två saker först: (1) fastställa om er verksamhet motsvarar sektorsbeskrivningen, och (2) fastställa er storlek i förhållande till lagens storlekskriterier i 1 kap. 9 §.

Är svaret ja på båda punkterna ska ni anmäla er till den myndighet som regeringen bestämmer så snart det kan ske (2 kap. 2 §) och påbörja arbetet med säkerhetsåtgärderna i 2 kap. 3 §.

Ren butiksförsäljning i detaljhandelsledet nämns inte i sektorsbeskrivningen – det är grossistledet och den industriella produktionen och bearbetningen som pekas ut.

Så beskrivs livsmedelssektorn i regelverket

Sektorn definieras i bilaga II till direktiv (EU) 2022/2555, som den svenska lagen bygger på. Ordalydelsen är följande:

> Livsmedel: "Livsmedelsföretag enligt definitionen i artikel 3.2 i Europaparlamentets och rådets förordning (EG) nr 178/2002 som bedriver grossisthandel och industriell produktion och bearbetning"

Tre saker är värda att notera för ett svenskt livsmedelsföretag:

• Begreppet "livsmedelsföretag" är inte fritt tolkningsbart – det hänvisar till definitionen i artikel 3.2 i förordning (EG) nr 178/2002.
• Verksamhetstypen avgör. Det är grossisthandel samt industriell produktion och bearbetning som räknas upp.
• Cybersäkerhetslagen (2025:1506) ställer samma grundkrav på alla verksamhetsutövare som omfattas. Det finns inga särskilda, livsmedelsspecifika tekniska krav i de bestämmelser som gäller säkerhetsåtgärder och incidentrapportering – ett bryggeri, ett slakteri och en livsmedelsgrossist möter samma kravkatalog som andra sektorer i motsvarande klass.

Om ni redan omfattas av andra författningar med krav på säkerhetsåtgärder eller incidentrapportering gäller enligt 1 kap. 10 § de bestämmelserna, förutsatt att deras verkan minst motsvarar verkan av skyldigheterna i 2 kap. 3–10 §§ – med beaktande av bestämmelsernas omfattning samt vilken tillsyn och vilka sanktioner som är kopplade till kraven.

Väsentlig eller viktig verksamhetsutövare – och vilken storlek krävs?

Cybersäkerhetslagen delar in verksamhetsutövare i två klasser: väsentlig verksamhetsutövare och viktig verksamhetsutövare. Indelningen styr både tillsynens intensitet och sanktionsavgifternas tak.

Enligt 1 kap. 9 § räknas bland annat följande som väsentlig verksamhetsutövare:

• en verksamhetsutövare som är en statlig myndighet,
• en verksamhetsutövare som är större än ett medelstort företag och som är en kommun eller region, som i övrigt omfattas av bilaga 1 till NIS 2-direktivet i den ursprungliga lydelsen men inte av 7 § 2 eller 3, eller som är en enskild utbildningsanordnare med tillstånd att utfärda vissa examina,
• en verksamhetsutövare som avses i 6 § och som storleksmässigt motsvarar eller är större än ett medelstort företag,
• en verksamhetsutövare som avses i 7 § 2 eller 3,
• en kvalificerad tillhandahållare av betrodda tjänster,
• den som räknas som väsentlig enligt föreskrifter meddelade med stöd av 15 § andra stycket.

Sista meningen i paragrafen är avgörande för resten: "Verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare."

Livsmedelssektorn återfinns i direktivets bilaga II, inte i bilaga 1. Det innebär i praktiken att ett livsmedelsföretag som omfattas normalt hamnar i klassen viktig verksamhetsutövare – om det inte träffas av någon av de övriga punkterna i 9 § (t.ex. via 6 § eller 7 §).

Om storleken: lagen använder uttrycket "större än ett medelstort företag" respektive "storleksmässigt motsvarar eller är större än ett medelstort företag". De exakta tröskelvärdena och den fullständiga avgränsningen av tillämpningsområdet framgår inte av de bestämmelser som återges ovan. Bekräfta därför er klassning och er storleksbedömning mot lagtexten och mot publicerad vägledning från Livsmedelsverket, som är tillsynsmyndighet för sektorn Livsmedel enligt förordning (2025:1507) §§ 7–8.

Grundkraven: säkerhetsåtgärder, ledningens ansvar och anmälan

Säkerhetsåtgärder (2 kap. 3 §). Verksamhetsutövare ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda nätverks- och informationssystem mot incidenter. Åtgärderna ska utgå från ett allriskperspektiv och säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. De ska åtminstone avse:

1. strategier för riskanalys och informationssystemens säkerhet 2. incidenthantering 3. kontinuitetshantering och krishantering 4. säkerhet i leveranskedjan 5. säkerhet vid förvärv, utveckling och underhåll av system 6. strategier och förfaranden för att bedöma åtgärdernas effektivitet 7. grundläggande cyberhygien och utbildning i cybersäkerhet 8. kryptografi och vid behov kryptering 9. personalsäkerhet, åtkomstkontroll och tillgångsförvaltning 10. vid behov multifaktorautentisering, säkrade kommunikationer och säkrade nödkommunikationssystem

För ett livsmedelsföretag med automatiserade produktionslinjer, temperaturövervakning, spårbarhetssystem och många leverantörskopplingar är punkt 3 och punkt 4 ofta de tyngsta i praktiken – men lagen ställer samma tio krav på alla verksamhetsutövare som omfattas.

Ledningens ansvar (2 kap. 3–4 §§). Verksamhetsutövaren ansvarar för att säkerhetsåtgärderna vidtas, och de personer som ingår i ledningen ska genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §). Detta motsvarar ledningsorganens ansvar enligt artikel 20 i NIS 2-direktivet, där ledningen ska godkänna åtgärderna, övervaka genomförandet och kan hållas ansvarig för överträdelser.

Anmälan (2 kap. 2 §). Verksamhetsutövare ska så snart det kan ske anmäla sig till den myndighet som regeringen bestämmer. Ändras de förhållanden som redovisats i anmälan ska förändringen anmälas så snart det kan ske, dock senast 14 dagar efter att förändringen ägde rum. Exakt e-tjänst och vilka uppgifter som ska lämnas framgår inte av lagtexten ensam – kontrollera myndighetens publicerade anvisningar.

Incidentrapportering: vad ska rapporteras, när och till vem

En incident anses betydande om den har orsakat eller kan orsaka allvarlig driftsstörning för den erbjudna tjänsten eller ekonomisk skada för verksamhetsutövaren, eller om den har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande skada (2 kap. 5 §).

Tidsfristerna vid en betydande incident (2 kap. 5–8 §§):

Den kortare anmälningsfristen på 24 timmar i 2 kap. 6 § gäller verksamhetsutövare som tillhandahåller betrodda tjänster – inte livsmedelsföretag i allmänhet.

Till vem? Rapportering enligt 2 kap. 5–8 §§ görs till CSIRT-enheten (förordning 2025:1507 § 6). Från och med den 1 juli 2026 är CSIRT-enhet och gemensam kontaktpunkt Försvarets radioanstalt (FRA), som driver det nationella cybersäkerhetscentret. Den exakta tekniska rapporteringskanalen fastställs av myndigheten och i föreskrifter – kontrollera FRA:s publicerade anvisningar innan ni bygger in rutinen i er incidenthantering.

Tillsynen är sektorsindelad (3 kap. 1 §). För sektorn Livsmedel är Livsmedelsverket tillsynsmyndighet enligt förordning (2025:1507) §§ 7–8.

Sanktionsavgifter och hur tillsynen fungerar för viktiga verksamhetsutövare

En tillsynsmyndighet får besluta om sanktionsavgift vid överträdelse av skyldigheterna i 2 kap. 1–10 §§ (4 kap. 9 §). Avgiften ska bestämmas till lägst 5 000 kronor och högst till (4 kap. 10 §):

• väsentlig verksamhetsutövare: det högsta av 2 procent av den totala globala årsomsättningen närmast föregående räkenskapsår eller ett belopp i kronor motsvarande 10 000 000 euro,
• viktig verksamhetsutövare: det högsta av 1,4 procent av den totala globala årsomsättningen närmast föregående räkenskapsår eller ett belopp i kronor motsvarande 7 000 000 euro,
• offentlig verksamhetsutövare: 10 000 000 kronor.

Sanktionsavgiften betalas till tillsynsmyndigheten inom 30 dagar (4 kap. 13 §) och faller bort om beslutet inte har verkställts inom fem år (4 kap. 14 §).

En viktig skillnad i tillsynen: åtgärder enligt 3 kap. 3, 4, 6 och 7 §§ får när det gäller viktiga verksamhetsutövare vidtas endast när tillsynsmyndigheten har anledning att anta att verksamhetsutövaren inte följer lagen eller anslutande föreskrifter, eller sådana rättsakter som antagits med stöd av artiklarna 21.5 och 23.11 i NIS 2-direktivet (3 kap. 2 §). Tillsynen över viktiga verksamhetsutövare är alltså i huvudsak händelsestyrd – men sanktionsavgiften kan ändå beslutas i efterhand.