NIS2 i Sverige: vad cybersäkerhetslagen (2025:1506) faktiskt kräver av ett företag

Lagen som genomför NIS2 i Sverige

NIS2-direktivet genomförs i svensk rätt genom Cybersäkerhetslag (2025:1506). Det är den lagtexten som är bindande för svenska verksamhetsutövare — direktivet i sig riktar sig till medlemsstaterna, medan skyldigheterna för det enskilda företaget står i lagens 2 kap.

Lagen delar in de omfattade verksamheterna i två klasser. Enligt 1 kap. 9 § räknas bland annat statliga myndigheter, verksamhetsutövare som är större än ett medelstort företag och omfattas av bilaga 1 till NIS 2-direktivet, samt kvalificerade tillhandahållare av betrodda tjänster som väsentlig verksamhetsutövare. Om resten av bestämmelsen anger lagen kort och tydligt: "Verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare." (1 kap. 9 §). Klassificeringen som viktig verksamhetsutövare innebär alltså inte att kraven i 2 kap. faller bort — de gäller båda klasserna, men tillsynen och de högsta sanktionsbeloppen skiljer sig åt.

En särskild regel finns i 1 kap. 10 §: om det i annan lag eller författning finns krav på säkerhetsåtgärder eller incidentrapportering ska de bestämmelserna gälla, om verkan av kraven minst motsvarar verkan av skyldigheterna enligt 2 kap. 3–10 §§. Vilken sektorsvis tillsynsmyndighet som gäller för just er verksamhet framgår av förordning (2025:1507) §§ 7–22 — bekräfta det mot myndighetens publicerade information (officiell källa).

Säkerhetsåtgärderna enligt 2 kap. 3 §: en dokumenterad helhet

Kärnkravet står i 2 kap. 3 §: "Verksamhetsutövare ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda nätverks- och informationssystem mot incidenter (säkerhetsåtgärder)." (2 kap. 3 §). Åtgärderna ska utgå från ett allriskperspektiv och säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Paragrafen räknar upp tio områden som åtgärderna åtminstone ska avse. Fem av dem utgör den dokumentationskärna som allt annat vilar på.

1. Strategier för riskanalys och informationssystemens säkerhet (2 kap. 3 § punkt 1). Detta är grunddokumentet: hur ni identifierar och värderar risker i era nätverks- och informationssystem, och vilka principer som styr skyddet. Utan en beslutad riskhanteringspolicy saknar de övriga områdena den referenspunkt som avgör vad som är "lämpligt och proportionellt".

2. Incidenthantering (2 kap. 3 § punkt 2). Ni behöver beskrivna rutiner för hur en incident upptäcks, klassas, eskaleras och åtgärdas. Rutinen måste hänga ihop med rapporteringsplikten i 2 kap. 5–8 §§, annars hinner ni inte agera inom lagens tidsfrister.

3. Kontinuitetshantering och krishantering (2 kap. 3 § punkt 3). Här ingår hur verksamheten hålls igång och återställs när system slås ut, samt hur krisledningen fungerar. Dokumentationen ska visa vilka funktioner som prioriteras och hur återställning sker.

4. Säkerhet i leveranskedjan (2 kap. 3 § punkt 4). Detta motsvarar art 21(2)(d) i direktiv (EU) 2022/2555, som omfattar säkerhetsaspekter som rör förbindelserna mellan varje entitet och dess direkta leverantörer eller tjänsteleverantörer. Ni ansvarar alltså för säkerheten i era egna inköpta tjänster och system, inte bara i det ni själva driftar.

5. Ledningens ansvar och utbildning (2 kap. 3–4 §§). Verksamhetsutövaren ansvarar för att säkerhetsåtgärderna enligt 2 kap. 3 § vidtas, och enligt 2 kap. 4 § ska de personer som ingår i ledningen genomgå utbildning om säkerhetsåtgärder. Det motsvarar art 20(1) i direktiv (EU) 2022/2555, där ledningsorganen ska godkänna åtgärderna och övervaka genomförandet. Utbildningen är alltså inte frivillig kompetensutveckling utan en lagstadgad skyldighet.

Övriga områden i 2 kap. 3 § omfattar säkerhet vid förvärv, utveckling och underhåll av system; strategier för att bedöma åtgärdernas effektivitet; grundläggande cyberhygien och utbildning; kryptografi; personalsäkerhet, åtkomstkontroll och tillgångsförvaltning; samt vid behov multifaktorautentisering och säkrade kommunikationer.

Incidentrapportering: tidsfristerna i 2 kap. 5–8 §§

Lagens första tidsfrist är kort och står ordagrant i 2 kap. 5 §: "Verksamhetsutövare ska upplysa den myndighet som regeringen bestämmer om en betydande incident så snart det kan ske, dock senast 24 timmar efter det att verksamhetsutövaren har fått kännedom om incidenten." (2 kap. 5 §). En incident anses betydande om den har orsakat eller kan orsaka allvarlig driftsstörning för den erbjudna tjänsten eller ekonomisk skada, eller om den har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande skada.

Därefter följer den egentliga incidentanmälan enligt 2 kap. 6 §. Verksamhetsutövare som tillhandahåller betrodda tjänster ska göra anmälan senast 24 timmar efter kännedom om incidenten. Övriga verksamhetsutövare ska göra anmälan senast 72 timmar efter sådan kännedom.

På begäran ska en delrapport med statusuppdateringar lämnas (2 kap. 7 §). En slutrapport ska lämnas senast en månad efter incidentanmälan; pågår incidenten fortfarande lämnas i stället en lägesrapport och därefter en slutrapport inom en månad efter att incidenten har hanterats (2 kap. 8 §). Rapportering görs till CSIRT-enheten enligt förordning (2025:1507) § 6 — sedan 2026-07-01 är det Försvarets radioanstalt (FRA), som driver det nationella cybersäkerhetscentret. Exakt teknisk rapporteringskanal framgår inte av lag- eller förordningstexten ensam: bekräfta den mot FRA:s publicerade information (officiell källa).

Anmälan till myndigheten och ändringar inom 14 dagar

Utöver säkerhetsåtgärder och rapportering finns en registreringsplikt. Enligt 2 kap. 2 § första stycket ska verksamhetsutövare så snart det kan ske anmäla sig till den myndighet som regeringen bestämmer. Har de förhållanden som redovisats i anmälan ändrats ska förändringen anmälas så snart det kan ske, dock senast 14 dagar efter att förändringen ägde rum (2 kap. 2 § andra stycket).

Vilken e-tjänst som används och exakt vilka uppgifter som ska lämnas fastställs av myndigheten och i föreskrifter — det framgår inte av lagtexten ensam. Kontrollera detta i myndighetens publicerade vägledning (officiell källa) innan ni fyller i något.

Leveranskedjan: kraven når även företag utanför lagens tillämpningsområde

Punkt 4 i 2 kap. 3 § skapar en kedjeeffekt som många missar. Eftersom varje omfattad verksamhetsutövare måste hantera säkerheten i sin egen leveranskedja, inklusive förbindelserna med direkta leverantörer och tjänsteleverantörer (art 21(2)(d) i direktiv (EU) 2022/2555), måste de ställa säkerhetsfrågor till sina leverantörer och begära underlag.

Det betyder i praktiken att även företag som inte själva omfattas av cybersäkerhetslagen får leverantörsformulär, avtalsklausuler och krav på dokumenterade rutiner från sina kunder. Ett underleverantörsföretag utan egen skyldighet enligt lagen möter alltså kraven ändå — via kundavtalet. Den som inte kan visa upp något underlag riskerar inte sanktionsavgift, men riskerar att förlora affären.

Samtidigt är tillsynen inriktad på dokumentationen som helhet. Tillsynsmyndigheten utövar tillsyn över att lagen och anslutande föreskrifter följs (3 kap. 1 §) och kan begära in information och genomföra granskningar. För viktig verksamhetsutövare får tillsynsåtgärder enligt 3 kap. 3, 4, 6 och 7 §§ vidtas endast när tillsynsmyndigheten har anledning att anta att lagen, anslutande föreskrifter eller rättsakter antagna med stöd av artiklarna 21.5 och 23.11 i NIS 2-direktivet inte följs (3 kap. 2 §). Vid överträdelser av skyldigheterna i 2 kap. 1–10 §§ får sanktionsavgift beslutas (4 kap. 9 §), lägst 5 000 kronor och högst det högsta av 2 procent av den totala globala årsomsättningen eller ett belopp motsvarande 10 000 000 euro för en väsentlig verksamhetsutövare, respektive 1,4 procent eller 7 000 000 euro för en viktig verksamhetsutövare (4 kap. 10 §).

Första steget: riskhanteringspolicyn som allt annat bygger på

Av de fem kärnområdena finns en naturlig startpunkt: strategier för riskanalys och informationssystemens säkerhet (2 kap. 3 § punkt 1). Det är i det dokumentet ni fastställer vilka system och tjänster som är kritiska, vilka risker som är relevanta ur ett allriskperspektiv och vilken skyddsnivå som är proportionell för er storlek och exponering.

Utan den grunden blir incidentrutinen, kontinuitetsplanen, leverantörskraven och ledningens utbildning lösa dokument utan gemensam logik — och det är just sammanhanget som en tillsynsmyndighet efterfrågar när den begär in underlag. Börja därför med riskhanteringspolicyn, och bygg de övriga fyra områdena ovanpå den. Inget enskilt dokument garanterar i sig att kraven är uppfyllda; bedömningen görs alltid mot verksamhetens faktiska risker och mot tillsynsmyndighetens publicerade vägledning.