NIS2 i Sverige: vad gäller för vård- och läkemedelsföretag?

Kort svar: omfattas ert företag?

Ja, hälso- och sjukvård är en av de sektorer som täcks av det svenska NIS2-regelverket. Vårdgivare räknas upp i bilaga 1 till NIS 2-direktivet, och cybersäkerhetslagen (2025:1506) knyter an till den bilagan i 1 kap. 9 §: en verksamhetsutövare som är större än ett medelstort företag och som i övrigt omfattas av bilaga 1 räknas som väsentlig verksamhetsutövare (1 kap. 9 § 2 b). Verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare (1 kap. 9 §).

Det första ni bör göra är en enkel självskattning: stäm av er faktiska verksamhet mot sektorsbeskrivningen i bilaga 1 och mot storlekströskeln i 1 kap. 9 §, och notera vilken av de två klasserna ni landar i. Klassningen styr både tillsynen och den övre gränsen för sanktionsavgift.

Så beskrivs sektorn i regelverket

Cybersäkerhetslagen definierar inte sektorerna i egen text, utan hänvisar i 1 kap. 9 § till bilaga 1 till NIS 2-direktivet i den ursprungliga lydelsen. I den bilagan anges hälso- och sjukvårdssektorn med bland annat följande lydelse (ordagrant):

> Hälso- och sjukvårdssektorn > > — Vårdgivare enligt definitionen i artikel 3 g i Europaparlamentets och rådets direktiv 2011/24/EU > > — EU-referenslaboratorier som avses i artikel 15 i Europaparlamentets och rådets förordning (EU) 20222/2371

De två kategorier som framgår av den tillgängliga lydelsen är alltså vårdgivare och EU-referenslaboratorier. Om er verksamhet är läkemedelstillverkning eller annan verksamhet inom hälso- och sjukvårdssektorn som inte uttryckligen framgår av utdraget ovan, bör tillhörigheten bekräftas mot den behöriga tillsynsmyndighetens publicerade vägledning. Tillsynen är sektorsindelad enligt 3 kap. 1 § cybersäkerhetslagen och förordning (2025:1507) §§ 7–8, där bland annat Inspektionen för vård och omsorg anges för vårdgivare och Läkemedelsverket för hälso- och sjukvård utom vårdgivare samt medicintekniska produkter. Vilken tillsynsmyndighet som gäller för en enskild verksamhetsutövares undersektor kräver en bedömning mot hela kartläggningen i förordning (2025:1507) §§ 7–22 — bekräfta detta mot myndighetens egen publicerade information.

Väsentlig eller viktig verksamhetsutövare

Klassningen framgår av 1 kap. 9 §. Som väsentlig verksamhetsutövare räknas bland annat:

• en verksamhetsutövare som är en statlig myndighet,
• en verksamhetsutövare som är större än ett medelstort företag och som i övrigt omfattas av bilaga 1 till NIS 2-direktivet i den ursprungliga lydelsen men inte av 7 § 2 eller 3,
• en verksamhetsutövare som är en kommun eller en region och som är större än ett medelstort företag,
• en verksamhetsutövare som avses i 6 § och som storleksmässigt motsvarar eller är större än ett medelstort företag,
• en verksamhetsutövare som avses i 7 § 2 eller 3,
• en kvalificerad tillhandahållare av betrodda tjänster.

Alla verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare (1 kap. 9 § sista stycket). Skyldigheterna i 2 kap. är desamma för båda klasserna — lagen gör alltså ingen skillnad på vilka säkerhets- och rapporteringskrav som gäller. Skillnaden ligger i tillsynen och i sanktionsnivån: för viktiga verksamhetsutövare får tillsynsåtgärder enligt 3 kap. 3, 4, 6 och 7 §§ vidtas endast när tillsynsmyndigheten har anledning att anta att lagen, anslutande föreskrifter eller rättsakter antagna med stöd av artiklarna 21.5 och 23.11 i NIS 2-direktivet inte följs (3 kap. 2 §).

Grundkraven: säkerhetsåtgärder, ledning och anmälan

Säkerhetsåtgärder (2 kap. 3 §). Verksamhetsutövare ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda nätverks- och informationssystem mot incidenter. Åtgärderna ska utgå från ett allriskperspektiv och åtminstone avse:

1. strategier för riskanalys och informationssystemens säkerhet 2. incidenthantering 3. kontinuitetshantering och krishantering 4. säkerhet i leveranskedjan 5. säkerhet vid förvärv, utveckling och underhåll av system 6. strategier och förfaranden för att bedöma åtgärdernas effektivitet 7. grundläggande cyberhygien och utbildning i cybersäkerhet 8. kryptografi och vid behov kryptering 9. personalsäkerhet, åtkomstkontroll och tillgångsförvaltning 10. vid behov multifaktorautentisering, säkrade kommunikationer och säkrade nödkommunikationssystem

Motsvarande uppräkning finns i art 21(2) i direktiv (EU) 2022/2555. Ytterligare föreskrifter får meddelas av regeringen eller den myndighet som regeringen bestämmer (2 kap. 14 §).

Ledningens ansvar (2 kap. 3–4 §§). Verksamhetsutövaren ansvarar för att säkerhetsåtgärderna vidtas, och de personer som ingår i ledningen ska genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §). Detta motsvarar art 20(1) i direktivet, där ledningsorganen ska godkänna åtgärderna, övervaka genomförandet och kan hållas ansvariga.

Anmälan (2 kap. 2 §). Verksamhetsutövare ska så snart det kan ske anmäla sig till den myndighet som regeringen bestämmer. Ändras de förhållanden som redovisats i anmälan ska förändringen anmälas så snart det kan ske, dock senast 14 dagar efter att den ägde rum. Exakt anmälningsplattform och vilka uppgifter som ska lämnas fastställs av myndigheten och i föreskrifter — bekräfta det mot myndighetens publicerade information.

Incidentrapportering: tider och mottagare

En incident är betydande om den har orsakat eller kan orsaka allvarlig driftsstörning för den erbjudna tjänsten eller ekonomisk skada för verksamhetsutövaren, eller om den har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande skada (2 kap. 5 §).

Vid en betydande incident gäller enligt 2 kap. 5–8 §§:

• Upplysning: så snart det kan ske, dock senast 24 timmar efter att verksamhetsutövaren fått kännedom om incidenten (5 §).
• Incidentanmälan: så snart det kan ske. Verksamhetsutövare som tillhandahåller betrodda tjänster ska anmäla senast 24 timmar efter kännedom; övriga verksamhetsutövare senast 72 timmar efter sådan kännedom (6 §).
• Delrapport: på begäran ska en delrapport med statusuppdateringar lämnas (7 §).
• Slutrapport: senast en månad efter incidentanmälan. Pågår incidenten fortfarande lämnas i stället en lägesrapport, och därefter en slutrapport inom en månad efter att incidenten har hanterats (8 §).

Rapportering enligt 2 kap. 5–8 §§ görs till CSIRT-enheten (förordning 2025:1507 § 6). Från och med 2026-07-01 är Försvarets radioanstalt (FRA) både gemensam kontaktpunkt och CSIRT-enhet genom det nationella cybersäkerhetscentret (cybersäkerhetslagen 1 kap. 17 §; förordning 2025:1507; förordning 2025:237). Exakt teknisk rapporteringskanal framgår inte av lag- eller förordningstexten ensam — bekräfta den mot FRA:s publicerade information.

Sanktionsavgifter

En tillsynsmyndighet får besluta om sanktionsavgift vid överträdelse av skyldigheterna i 2 kap. 1–10 §§ (4 kap. 9 §). Avgiften ska bestämmas till lägst 5 000 kronor och högst till (4 kap. 10 §):

Sanktionsavgiften betalas till tillsynsmyndigheten inom 30 dagar (4 kap. 13 §) och faller bort om beslutet inte verkställts inom fem år (4 kap. 14 §).

Börja med att fastställa er klassning och gå sedan igenom de tio åtgärdsområdena i 2 kap. 3 § punkt för punkt — det ger en konkret bild av var ni står i dag.