NIS2 och Cybersäkerhetslagen (2025:1506): hur hänger de ihop i Sverige?

Från EU-direktiv till svensk lag

EU:s NIS2-direktiv – direktiv (EU) 2022/2555 – är en ram som varje medlemsstat måste införliva i nationell rätt. Ett direktiv gäller alltså inte direkt för ditt företag; det är den svenska lagen som binder dig.

I Sverige har direktivet genomförts genom Cybersäkerhetslagen (2025:1506), kompletterad av förordning (2025:1507) och förordning (2025:237). Den svenska lagtexten är det bindande regelverket. På flera punkter hänvisar den svenska lagen tillbaka till NIS2-direktivet – till exempel bygger definitionen av vilka verksamhetsutövare som omfattas på bilaga 1 till NIS 2-direktivet (1 kap. 9 §).

Det innebär i praktiken:

• Direktivet sätter miniminivån och de gemensamma begreppen.
• Cybersäkerhetslagen (2025:1506) anger de konkreta skyldigheterna för verksamhetsutövare i Sverige, tillsyn och sanktioner.

Om det i annan författning redan finns krav på säkerhetsåtgärder eller incidentrapportering, gäller de bestämmelserna om deras verkan minst motsvarar skyldigheterna enligt 2 kap. 3–10 §§ (1 kap. 10 §).

Väsentlig eller viktig verksamhetsutövare?

Cybersäkerhetslagen delar in de som omfattas i två kategorier. Enligt 1 kap. 9 § räknas bland annat följande som väsentlig verksamhetsutövare:

• en statlig myndighet,
• en verksamhetsutövare som är större än ett medelstort företag och som är en kommun eller region, eller i övrigt omfattas av bilaga 1 till NIS 2-direktivet,
• en enskild utbildningsanordnare med tillstånd att utfärda vissa examina,
• en kvalificerad tillhandahållare av betrodda tjänster.

All annan verksamhet som omfattas av lagen men inte räknas som väsentlig är viktig verksamhetsutövare (1 kap. 9 §).

Skillnaden har praktisk betydelse för tillsynen: åtgärder mot viktig verksamhetsutövare enligt 3 kap. 3, 4, 6 och 7 §§ får vidtas endast när tillsynsmyndigheten har anledning att anta att lagen inte följs (3 kap. 2 §). Väsentliga verksamhetsutövare kan bli föremål för mer proaktiv tillsyn.

Behörig myndighet, kontaktpunkt och CSIRT

Cybersäkerhetslagen anger inte själv den behöriga myndigheten utan delegerar frågan: den myndighet som regeringen bestämmer ska vara gemensam kontaktpunkt, cyberkrishanteringsmyndighet och enhet för hantering av it-säkerhetsincidenter enligt artiklarna 8–10 i NIS 2-direktivet (1 kap. 17 §). Myndigheterna anges i förordning (2025:1507).

• Gemensam kontaktpunkt (SPOC): till och med 2026-06-30 Myndigheten för civilt försvar, och från och med 2026-07-01 Försvarets radioanstalt (FRA) (förordning 2025:1507 § 23).
• CSIRT-enhet: till och med 2026-06-30 Myndigheten för civilt försvar, och från och med 2026-07-01 Försvarets radioanstalt (FRA), som driver det nationella cybersäkerhetscentret (förordning 2025:1507 § 31; förordning 2025:237).

Tillsynen är sektorsvis. Lagen anger att den eller de myndigheter som regeringen bestämmer ska vara tillsynsmyndighet (3 kap. 1 §). Sektorsindelningen framgår av förordning (2025:1507) §§ 7–8, bland annat:

Exakt tillsynsmyndighet för en enskild verksamhetsutövares sektor kräver bedömning mot hela kartläggningen i förordning (2025:1507) §§ 7–22 [TÄPSUSTAB PARTNER-JURIST].

Vad lägger den svenska lagen till konkret?

Cybersäkerhetslagen omsätter direktivets krav till konkreta skyldigheter:

Säkerhetsåtgärder (2 kap. 3 §). Verksamhetsutövare ska vidta lämpliga och proportionella åtgärder utifrån ett allriskperspektiv, med minst tio åtgärdsområden – bland annat riskanalys, incidenthantering, kontinuitetshantering, säkerhet i leveranskedjan, kryptografi och multifaktorautentisering. Detta motsvarar art 21(2) i direktivet.

Ledningens ansvar (2 kap. 3–4 §§). Verksamhetsutövaren ansvarar för att åtgärderna vidtas, och personer i ledningen ska genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §) – i linje med art 20(1).

Anmälan (2 kap. 2 §). Verksamhetsutövare ska anmäla sig så snart det kan ske; ändrade förhållanden ska anmälas senast 14 dagar efter förändringen.

Incidentrapportering (2 kap. 5–8 §§):

• Upplysning senast 24 timmar efter kännedom om en betydande incident (5 §).
• Incidentanmälan så snart det kan ske: betrodda tjänster senast 24 timmar, övriga senast 72 timmar (6 §).
• Slutrapport senast en månad efter incidentanmälan (8 §).

Sanktionsavgifter (4 kap. 10 §). Avgiften bestäms till lägst 5 000 kronor och högst till:

• väsentlig verksamhetsutövare: det högsta av 2 % av total global årsomsättning eller 10 000 000 euro,
• viktig verksamhetsutövare: det högsta av 1,4 % eller 7 000 000 euro,
• offentlig verksamhetsutövare: 10 000 000 kronor.

Vill du snabbt se om din verksamhet omfattas och var era största luckor finns? Testa vårt kostnadsfria scoping- och gap-verktyg.