De tio NIS2-riskhanteringsåtgärderna (artikel 21) och hur svensk rätt inför dem

Vad kräver artikel 21 – och hur ser den svenska motsvarigheten ut?

NIS2-direktivets artikel 21(1) kräver att väsentliga och viktiga verksamhetsutövare vidtar lämpliga och proportionella tekniska, operativa och organisatoriska åtgärder för att hantera riskerna för nätverks- och informationssystemens säkerhet och för att förhindra eller minimera effekterna av incidenter.

Proportionaliteten bedöms utifrån verksamhetens riskexponering, storlek och sannolikheten för samt allvaret i incidenter (art 21(1)). Åtgärderna ska bygga på ett allriskperspektiv (art 21(2)).

I Sverige har detta införts genom cybersäkerhetslagen (2025:1506). Enligt 2 kap. 3 § ska verksamhetsutövare vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda nätverks- och informationssystem mot incidenter. Åtgärderna ska utgå från ett allriskperspektiv och säkerställa en säkerhetsnivå som är lämplig i förhållande till risken.

De tio åtgärdsområdena i den svenska lagen speglar direkt listan i art 21(2) punkterna (a)–(j).

Checklistan: de tio åtgärdsområdena enligt 2 kap. 3 §

Enligt 2 kap. 3 § cybersäkerhetslagen (2025:1506) ska säkerhetsåtgärderna åtminstone avse följande tio områden. Nedan kopplas varje punkt till motsvarande punkt i art 21(2):

Regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om åtgärderna (2 kap. 14 §).

Så tolkar du de tio punkterna i praktiken

En kort vägledning till vad varje område typiskt omfattar – utgå alltid från lagtextens ordalydelse och ert eget riskläge:

• 1. Riskanalys och systemsäkerhet: dokumenterade strategier och en återkommande riskanalys.
• 2. Incidenthantering: rutiner för att upptäcka, hantera och rapportera incidenter.
• 3. Kontinuitet och kris: säkerhetskopiering, återställning och krisplaner.
• 4. Leveranskedjan: säkerhetsaspekter i relationen till direkta leverantörer och tjänsteleverantörer (jfr art 21(2)(d)).
• 5. Förvärv, utveckling, underhåll: inklusive hantering och rapportering av sårbarheter (jfr art 21(2)(e)).
• 6. Effektivitetsbedömning: förfaranden för att mäta om åtgärderna verkligen fungerar.
• 7. Cyberhygien och utbildning: grundläggande rutiner för hela personalen.
• 8. Kryptografi: policyer för kryptografi och vid behov kryptering.
• 9. Personal, åtkomst, tillgångar: behörighetsstyrning och inventering av tillgångar.
• 10. Autentisering och kommunikation: vid behov MFA och säkrade kommunikationskanaler.

Om en verksamhetsutövare upptäcker att den inte uppfyller åtgärderna ska den utan onödigt dröjsmål vidta nödvändiga, lämpliga och proportionella korrigerande åtgärder (art 21(4)).

Ledningens ansvar och risken vid bristande efterlevnad

Enligt art 20(1) ska ledningsorganen godkänna riskhanteringsåtgärderna, övervaka genomförandet och kan hållas ansvariga för överträdelser.

I svensk rätt gäller att verksamhetsutövaren ansvarar för att säkerhetsåtgärderna enligt 2 kap. 3 § vidtas, och att de personer som ingår i ledningen ska genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §).

Bristande efterlevnad kan leda till sanktionsavgift. Enligt 4 kap. 9–10 §§ bestäms avgiften till lägst 5 000 kronor och högst till:

• För en väsentlig verksamhetsutövare: det högsta av 2 procent av den totala globala årsomsättningen eller ett belopp motsvarande 10 000 000 euro.
• För en viktig verksamhetsutövare: det högsta av 1,4 procent av den totala globala årsomsättningen eller ett belopp motsvarande 7 000 000 euro.
• För en offentlig verksamhetsutövare: 10 000 000 kronor.

Klassificeringen som väsentlig respektive viktig verksamhetsutövare följer av 1 kap. 9 §.

Tillsyn, kontaktpunkt och nästa steg

Tillsynen enligt cybersäkerhetslagen är sektorsindelad (3 kap. 1 §). Vilken myndighet som är tillsynsmyndighet anges i förordning (2025:1507) §§ 7–8 – exempelvis är Post- och telestyrelsen tillsynsmyndighet för digital infrastruktur.

Sverige har en gemensam kontaktpunkt och CSIRT-enhet enligt 1 kap. 17 §. Från och med 2026-07-01 är det Försvarets radioanstalt (FRA) som driver det nationella cybersäkerhetscentret (förordning 2025:237; förordning 2025:1507).

För viktiga verksamhetsutövare får tillsynsåtgärder enligt 3, 4, 6 och 7 §§ vidtas endast när tillsynsmyndigheten har anledning att anta att lagen inte följs (3 kap. 2 §).

Nästa steg: använd checklistan ovan för att göra en första gap-analys mot de tio områdena i 2 kap. 3 §. Vårt kostnadsfria scoping-/gap-verktyg hjälper dig att kartlägga var din verksamhet står.