Riskhanteringspolicy enligt NIS2 i Sverige – vad dokumentet ska innehålla

Grunden: 2 kap. 3 § cybersäkerhetslagen (2025:1506)

Den svenska lagen som genomför NIS2-direktivet är cybersäkerhetslagen (2025:1506). Det är 2 kap. 3 § som styr vad en riskhanteringspolicy för cybersäkerhet i praktiken måste täcka.

Lagen kräver att verksamhetsutövare vidtar lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda nätverks- och informationssystem mot incidenter. Om själva nivån på åtgärderna säger lagtexten:

> "Åtgärderna ska utgå från ett allriskperspektiv och säkerställa en säkerhetsnivå som är lämplig i förhållande till risken" (2 kap. 3 § cybersäkerhetslagen (2025:1506)).

Policyn är alltså inte en fri textprodukt. Den ska visa vilka åtgärder som valts, varför de är lämpliga i förhållande till verksamhetens risk, och hur de hänger ihop med de områden som lagen räknar upp.

De tio åtgärdsområdena – policyns innehållsförteckning

Enligt 2 kap. 3 § ska åtgärderna åtminstone avse tio områden. De fungerar i praktiken som policyns kapitelindelning:

Två formuleringar är värda att notera. Ordet "åtminstone" betyder att listan är ett golv, inte ett tak. Och uttrycket "vid behov" i punkterna 8 och 10 innebär att policyn behöver redovisa en bedömning – varför en lösning används, eller varför den inte bedöms nödvändig i er miljö.

Ytterligare föreskrifter får meddelas av regeringen eller den myndighet som regeringen bestämmer (2 kap. 14 §). Kontrollera därför alltid om sektorsspecifika föreskrifter tillkommit.

Allriskperspektiv och proportionalitet – därför skiljer sig två policyer åt

Allriskperspektivet betyder att policyn inte bara ska hantera antagonistiska angrepp, utan alla typer av händelser som kan störa nätverks- och informationssystemen – tekniska fel, leverantörsavbrott, fysiska händelser och mänskliga misstag.

Proportionaliteten är den andra halvan. Åtgärderna ska vara "lämpliga och proportionella" och säkerhetsnivån "lämplig i förhållande till risken" (2 kap. 3 §). NIS 2-direktivet uttrycker samma princip så att hänsyn ska tas till entitetens grad av riskexponering, entitetens storlek samt sannolikheten för att incidenter inträffar och deras allvarlighetsgrad, inbegripet deras samhälleliga och ekonomiska konsekvenser (art 21(1) i direktiv (EU) 2022/2555).

Därför kan två företag i samma bransch ha olika omfattande policyer – helt lagenligt. Skillnaden ska dock vara motiverad i dokumentet, inte outtalad. En policy som saknar riskmotivering är svår att försvara vid tillsyn.

Vad som beror på just er verksamhet

Fyra egenskaper avgör hur policyn ska skrivas:

• Klassificeringen. Cybersäkerhetslagen delar in verksamhetsutövare i väsentlig verksamhetsutövare och viktig verksamhetsutövare. 1 kap. 9 § räknar upp vilka som är väsentliga – bland annat statliga myndigheter, kommuner och regioner som är större än ett medelstort företag, verksamheter som i övrigt omfattas av bilaga 1 till NIS 2-direktivet, samt kvalificerade tillhandahållare av betrodda tjänster. Bestämmelsen avslutas: "Verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare." (1 kap. 9 § cybersäkerhetslagen (2025:1506)).
• Storlek och sektor. Storlekskriterierna i 1 kap. 9 § och sektorstillhörigheten avgör både om lagen gäller och vilken tillsynsmyndighet ni möter. Tillsynen är sektorsindelad enligt 3 kap. 1 § och förordning (2025:1507) §§ 7–8 – exempelvis Post- och telestyrelsen för digital infrastruktur.
• Tjänster och beroenden. Punkt 4 om säkerhet i leveranskedjan innebär att policyn måste beskriva era faktiska leverantörsberoenden, inte en generisk leverantörstext.
• Andra författningar. Finns i annan lag eller författning krav på säkerhetsåtgärder eller incidentrapportering gäller de bestämmelserna om verkan av kraven minst motsvarar verkan av skyldigheterna enligt 2 kap. 3–10 §§ (1 kap. 10 §). Det påverkar hur policyn ska formuleras och hänvisa.

Klassificeringen får också ekonomisk betydelse. Sanktionsavgiften bestäms enligt 4 kap. 10 § till lägst 5 000 kronor och högst det högsta av 2 procent av den totala globala årsomsättningen eller ett belopp motsvarande 10 000 000 euro för en väsentlig verksamhetsutövare, respektive 1,4 procent eller 7 000 000 euro för en viktig verksamhetsutövare, och 10 000 000 kronor för en offentlig verksamhetsutövare.

Ledningens godkännande, utbildning och spårbarhet

Policyn är ett ledningsdokument. Verksamhetsutövaren ansvarar för att säkerhetsåtgärderna enligt 2 kap. 3 § vidtas, och de personer som ingår i ledningen ska genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §). Detta motsvarar ledningsorganens ansvar och utbildningskrav enligt art 20(1) i direktiv (EU) 2022/2555, där ledningsorganen godkänner riskhanteringsåtgärderna, övervakar genomförandet av dem och kan ställas till svars.

Praktiskt innebär det att policyn bör innehålla:

• Datum och beslut för ledningens godkännande.
• Namngivet ansvar för varje åtgärdsområde.
• Dokumentation av genomförd ledningsutbildning.
• Rutin för uppföljning – punkt 6 kräver ju förfaranden för att bedöma åtgärdernas effektivitet.

Spårbarhet är det som gör policyn granskningsbar. Skriv varje krav med sin exakta hänvisning – 2 kap. 3 § punkt 4, 2 kap. 4 §, 1 kap. 9 § – så att en tillsynsmyndighet direkt kan följa från lagrum till åtgärd. Policyn bör också hänvisa till era incidentrutiner, eftersom en betydande incident ska upplysas om senast 24 timmar efter kännedom (2 kap. 5 §) och incidentanmälan göras senast 72 timmar efter kännedom för övriga verksamhetsutövare (2 kap. 6 §).

För tolkningsfrågor och detaljer som inte framgår av lag- och förordningstexten – exempelvis exakta rapporteringskanaler eller sektorsföreskrifter – utgå från de publicerade vägledningarna från Försvarets radioanstalt (FRA) och er sektorsvisa tillsynsmyndighet som officiell källa.