Hur ett NIS2-dokument tas fram och kontrolleras mot lagen i Sverige

Källan fastställs först: lagtexten innan första meningen skrivs

Ett NIS2-underlag är inte en fritt formulerad text. Innehållet styrs av vad den svenska lagstiftningen faktiskt kräver, och därför bestäms källtexten innan något skrivs.

I Sverige är källan Cybersäkerhetslag (2025:1506). De bestämmelser som normalt avgör vad dokumentationen ska innehålla är:

• 2 kap. 3 § – säkerhetsåtgärder utifrån ett allriskperspektiv, med tio angivna områden: strategier för riskanalys och informationssystemens säkerhet, incidenthantering, kontinuitetshantering och krishantering, säkerhet i leveranskedjan, säkerhet vid förvärv, utveckling och underhåll av system, strategier och förfaranden för att bedöma åtgärdernas effektivitet, grundläggande cyberhygien och utbildning i cybersäkerhet, kryptografi och vid behov kryptering, personalsäkerhet, åtkomstkontroll och tillgångsförvaltning samt vid behov multifaktorautentisering, säkrade kommunikationer och säkrade nödkommunikationssystem.
• 2 kap. 4 § – de personer som ingår i ledningen ska genomgå utbildning om säkerhetsåtgärder. Verksamhetsutövaren ansvarar för att åtgärderna enligt 2 kap. 3 § vidtas.
• 2 kap. 2 § – anmälan till den myndighet som regeringen bestämmer så snart det kan ske, och anmälan av ändrade förhållanden senast 14 dagar efter att förändringen ägde rum.
• 2 kap. 5–8 §§ – skyldigheter vid en betydande incident.
• 3 kap. och 4 kap. – tillsyn respektive ingripanden.

När den listan är fastställd är ramen för dokumentet given. Allt som senare står i texten ska kunna knytas till ett av dessa lagrum.

Verksamhetens profil avgör vilka skyldigheter som förs in

Nästa steg är att bestämma vilka delar av lagen som över huvud taget berör den enskilda verksamheten. Det avgörs av sektor, storlek och den lagstadgade klassificeringen.

Cybersäkerhetslagen delar in verksamhetsutövare i väsentlig verksamhetsutövare och viktig verksamhetsutövare. I 1 kap. 9 § räknas de väsentliga upp – bland annat statliga myndigheter, verksamhetsutövare som är större än ett medelstort företag och som är en kommun eller en region eller i övrigt omfattas av bilaga 1 till NIS 2-direktivet i den ursprungliga lydelsen, samt kvalificerade tillhandahållare av betrodda tjänster. Paragrafen avslutas med restregeln:

> "Verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare." (Cybersäkerhetslag (2025:1506), 1 kap. 9 §)

Klassificeringen är inte en etikett utan får konkreta följder i dokumentet. Den påverkar bland annat vilken tidsfrist som gäller för incidentanmälan enligt 2 kap. 6 § – tillhandahållare av betrodda tjänster ska anmäla senast 24 timmar efter kännedom, övriga verksamhetsutövare senast 72 timmar efter sådan kännedom – och vilka maximibelopp som gäller för sanktionsavgift enligt 4 kap. 10 §.

Också 1 kap. 10 § hör hit: om det i lag eller annan författning finns krav på säkerhetsåtgärder eller incidentrapportering ska de bestämmelserna gälla om verkan av kraven minst motsvarar verkan av skyldigheterna enligt 2 kap. 3–10 §§. Sektorspecifik reglering måste alltså kartläggas innan innehållet låses.

Vilken tillsynsmyndighet som är aktuell följer av sektorsindelningen i förordning (2025:1507) §§ 7–8, exempelvis Post- och telestyrelsen för digital infrastruktur. Att fastställa rätt myndighet för en enskild undersektor kräver en bedömning mot hela kartläggningen i förordningen.

Varje krav kontrolleras tillbaka mot lagtexten

När utkastet finns görs en kontroll mening för mening. Metoden är enkel att beskriva och krävande att utföra: varje påstående i dokumentet ställs bredvid den bestämmelse som påståendet säger sig genomföra.

Kontrollen besvarar tre frågor för varje punkt:

1. Finns bestämmelsen? Lagrummet ska existera i den gällande lydelsen och ha den beteckning som anges i texten (till exempel 2 kap. 3 § eller 4 kap. 10 §). 2. Säger bestämmelsen det som påstås? Formuleringen i dokumentet ska rymmas inom lagrummets ordalydelse – inte vara en utvidgning eller en förenkling som ändrar innebörden. 3. Är det rätt bestämmelse för just denna verksamhetsutövare? Ett krav som bara gäller väsentlig verksamhetsutövare hör inte hemma i ett underlag för en viktig verksamhetsutövare, och omvänt.

Ett påstående som ingen bestämmelse bär upp tas bort eller korrigeras innan dokumentet används. Det gäller också siffror: belopp, procentsatser och tidsfrister skrivs som de står i lagen, inte ungefärligt. Där lagtexten inte ger svar – exempelvis exakt teknisk rapporteringskanal eller anmälningsplattform, som fastställs av myndigheten och i föreskrifter – ska dokumentet inte gissa, utan hänvisa till den behöriga myndighetens publicerade information. Bekräfta hos Försvarets radioanstalt (FRA) respektive den sektorsvisa tillsynsmyndigheten (officiell källa).

En rättelseomgång innan dokumentet tas i bruk

Kontrollen är meningslös om anmärkningarna följer med in i slutversionen. Därför läggs en rättelseomgång in mellan kontrollen och användningen.

Arbetsordningen är:

Att ledningen är inkopplad hör till samma skede. Verksamhetsutövaren ansvarar för att säkerhetsåtgärderna enligt 2 kap. 3 § vidtas, och enligt 2 kap. 4 § ska de personer som ingår i ledningen genomgå utbildning om säkerhetsåtgärder. Underlaget bör därför vara i ett skick där ledningen kan läsa och ta ställning till det.

Att ett dokument har genomgått denna ordning innebär inte i sig att kraven i lagen är uppfyllda i praktiken – åtgärderna ska också vara genomförda i verksamheten.

Det som går att kontrollera i efterhand

Poängen med metoden visar sig när någon utifrån ställer frågor. Bredvid varje krav i dokumentet ska det stå lagens exakta namn och det exakta lagrummet – Cybersäkerhetslag (2025:1506) samt kapitel och paragraf, exempelvis 2 kap. 3 §, 2 kap. 6 § eller 4 kap. 10 §.

Därmed kan ett enskilt påstående kontrolleras mot den officiella lagtexten av:

• en sektorsvis tillsynsmyndighet, vars tillsyn enligt 3 kap. 1 § avser att lagen och anslutande föreskrifter följs. För viktiga verksamhetsutövare gäller enligt 3 kap. 2 § att tillsynsåtgärder enligt 3, 4, 6 och 7 §§ får vidtas endast när tillsynsmyndigheten har anledning att anta att verksamhetsutövarna inte följer lagen eller föreskrifter som har meddelats i anslutning till lagen, eller sådana rättsakter som har antagits med stöd av artiklarna 21.5 och 23.11 i NIS 2-direktivet, i den ursprungliga lydelsen;
• en revisor eller intern granskningsfunktion;
• en upphandlande kund som ställer frågor om leveranskedjan, ett av de tio områdena i 2 kap. 3 §.

Spårbarheten har också en ekonomisk sida. Sanktionsavgift får enligt 4 kap. 9 § beslutas vid överträdelse av skyldigheterna i 2 kap. 1–10 §§, och avgiften ska enligt 4 kap. 10 § bestämmas till lägst 5 000 kronor och högst till 2 procent av den totala globala årsomsättningen närmast föregående räkenskapsår eller 10 000 000 euro i kronor för en väsentlig verksamhetsutövare, 1,4 procent eller 7 000 000 euro för en viktig verksamhetsutövare, och 10 000 000 kronor för en offentlig verksamhetsutövare. Ett dokument där varje krav är knutet till sitt lagrum är därför lättare att försvara än ett dokument som bara beskriver ambitioner.