NIS2 i Sverige: registreringsplikten – vem, var och när ska du anmäla dig?

Vad innebär registrerings- och anmälningsplikten enligt NIS2?

Den svenska cybersäkerhetslagen (2025:1506) genomför NIS2-direktivet och inför en tydlig anmälningsplikt för de företag och organisationer som omfattas.

Huvudregeln är enkel: en verksamhetsutövare ska så snart det kan ske anmäla sig till den myndighet som regeringen bestämmer (2 kap. 2 § första stycket).

Syftet med anmälan är att myndigheterna ska känna till vilka verksamhetsutövare som omfattas av lagen, så att tillsyn och samverkan fungerar. Anmälningsplikten är alltså startpunkten för hela ditt NIS2-arbete – innan du hinner tänka på säkerhetsåtgärder och incidentrapportering behöver du klargöra om du överhuvudtaget omfattas och därefter registrera dig.

Om de förhållanden som du har redovisat i en anmälan ändras, ska du dessutom anmäla förändringen så snart det kan ske, dock senast 14 dagar efter att förändringen ägde rum (2 kap. 2 § andra stycket).

Vem måste registrera sig? Väsentlig eller viktig verksamhetsutövare

Lagen delar in de som omfattas i två kategorier. Vilken du tillhör påverkar bland annat nivån på tillsyn och de sanktionsavgifter som kan bli aktuella.

Väsentlig verksamhetsutövare (1 kap. 9 §) är bland annat:

• en verksamhetsutövare som är en statlig myndighet,
• en verksamhetsutövare som är större än ett medelstort företag och som är en kommun eller en region, i övrigt omfattas av bilaga 1 till NIS 2-direktivet (med vissa undantag) eller är en enskild utbildningsanordnare med tillstånd att utfärda vissa examina,
• en verksamhetsutövare enligt 6 § som storleksmässigt motsvarar eller är större än ett medelstort företag,
• en verksamhetsutövare som avses i 7 § 2 eller 3,
• en kvalificerad tillhandahållare av betrodda tjänster, och
• den som räknas som väsentlig enligt föreskrifter meddelade med stöd av 15 § andra stycket.

Viktig verksamhetsutövare definieras enligt samma paragraf negativt: *"Verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare"* (1 kap. 9 §).

Om din verksamhet redan omfattas av andra författningar med krav på säkerhetsåtgärder eller incidentrapportering kan dessa gälla i stället, förutsatt att verkan minst motsvarar skyldigheterna i 2 kap. 3–10 §§ (1 kap. 10 §). Vilken kategori just din organisation hamnar i, och om ett undantag är tillämpligt, är en bedömning som bör göras noggrant – här behöver den exakta klassificeringen mot lagens och förordningens kartläggning [TÄPSUSTAB PARTNER-JURIST].

Till vilken myndighet ska anmälan göras?

Cybersäkerhetslagen anger inte själv myndigheten, utan delegerar frågan: *"Den myndighet som regeringen bestämmer ska vara gemensam kontaktpunkt, cyberkrishanteringsmyndighet och enhet för hantering av it-säkerhetsincidenter"* (1 kap. 17 §). De enskilda myndigheterna pekas ut i förordning (2025:1507).

Det är viktigt att förstå att det svenska systemet är sektorsindelat. Lagen anger att *"den eller de myndigheter som regeringen bestämmer ska vara tillsynsmyndighet"* (3 kap. 1 §), och tillsynen fördelas mellan olika sektorsvisa tillsynsmyndigheter, till exempel:

• Post- och telestyrelsen (PTS) – digital infrastruktur och domännamnsregistreringstjänster,
• Statens energimyndighet – energi,
• Finansinspektionen – bankverksamhet och finansmarknadsinfrastruktur,
• Transportstyrelsen – transporter.

Därutöver finns en gemensam kontaktpunkt (SPOC). Från och med 2026-07-01 är det Försvarets radioanstalt (FRA), som också driver det nationella cybersäkerhetscentret och CSIRT-enheten (1 kap. 17 §; förordning 2025:1507).

Den exakta anmälningsplattformen/e-tjänsten och vilka uppgifter som ska lämnas fastställs av myndigheten och i föreskrifter och framgår inte av lagtexten ensam [TÄPSUSTAB PARTNER-JURIST]. Fastställandet av exakt tillsynsmyndighet för just din sektor kräver en bedömning mot hela kartläggningen i förordning (2025:1507) [TÄPSUSTAB PARTNER-JURIST].

När ska anmälan göras – och vad händer om du inte gör det?

Tidsfristen för själva anmälan uttrycks i lagen som en skyndsamhetsregel: du ska anmäla dig så snart det kan ske (2 kap. 2 § första stycket). Lagen anger alltså ingen fast kalenderdag för förstagångsanmälan – i stället gäller att den ska göras utan dröjsmål.

För ändringar finns däremot en konkret bortre gräns: en förändring i de förhållanden som redovisats ska anmälas så snart det kan ske, dock senast 14 dagar efter att förändringen ägde rum (2 kap. 2 § andra stycket).

Konsekvenser av att inte fullgöra skyldigheterna: En tillsynsmyndighet får besluta att ta ut en sanktionsavgift vid överträdelse av skyldigheterna i 2 kap. 1–10 §§ (4 kap. 9 §). Avgiften bestäms till lägst 5 000 kronor och högst till (4 kap. 10 §):

Sanktionsavgiften betalas inom 30 dagar (4 kap. 13 §). Det lönar sig alltså att kartlägga sin status och registrera sig i tid.

Tips: Använd vårt kostnadsfria scoping- och gap-verktyg för att snabbt ta reda på om din organisation omfattas, vilken kategori du sannolikt tillhör och vilka steg som återstår.