NIS2 i Sverige: omfattas ditt företag av Cybersäkerhetslagen (2025:1506)?

Vad reglerar Cybersäkerhetslagen (2025:1506)?

Sverige har genomfört NIS2-direktivet genom Cybersäkerhetslagen (2025:1506). Lagen ställer krav på cybersäkerhet och incidentrapportering för organisationer inom ett antal samhällsviktiga sektorer.

Det första steget för varje verksamhet är att avgöra en enda sak: omfattas vi av lagen eller inte? Om svaret är ja måste ni bland annat:

• vidta säkerhetsåtgärder utifrån ett allriskperspektiv (2 kap. 3 §),
• anmäla er till den myndighet som regeringen bestämmer så snart det kan ske (2 kap. 2 §),
• rapportera betydande incidenter inom givna tidsfrister (2 kap. 5–8 §§).

Lagen delar in de organisationer som omfattas i två statutära kategorier: väsentlig verksamhetsutövare och viktig verksamhetsutövare. Vilken kategori ni tillhör påverkar bland annat tillsynen och sanktionsnivån.

Väsentlig verksamhetsutövare eller viktig verksamhetsutövare?

Klassificeringen framgår av 1 kap. 9 § Cybersäkerhetslagen (2025:1506).

Som väsentlig verksamhetsutövare räknas enligt 1 kap. 9 §:

1. en verksamhetsutövare som är en statlig myndighet, 2. en verksamhetsutövare som är större än ett medelstort företag och som

• är en kommun eller en region,
• i övrigt omfattas av bilaga 1 till NIS 2-direktivet i den ursprungliga lydelsen men inte av 7 § 2 eller 3, eller
• är en enskild utbildningsanordnare med tillstånd att utfärda examina enligt lagen (1993:792) om tillstånd att utfärda vissa examina,

3. en verksamhetsutövare som avses i 6 § och som storleksmässigt motsvarar eller är större än ett medelstort företag, 4. en verksamhetsutövare som avses i 7 § 2 eller 3, 5. en verksamhetsutövare som är en kvalificerad tillhandahållare av betrodda tjänster, och 6. en verksamhetsutövare som räknas som väsentlig enligt föreskrifter meddelade med stöd av 15 § andra stycket.

Enligt samma paragraf gäller principen: verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare. Kategorin viktig verksamhetsutövare är alltså en restkategori som fångar upp de organisationer som omfattas av lagen men inte uppfyller kriterierna för att vara väsentliga.

De exakta storlekströsklarna ("medelstort företag") och den fullständiga sektorsindelningen enligt bilaga 1 och bilaga 2 till NIS 2-direktivet kräver en bedömning mot lagtexten och tillhörande förordning i det enskilda fallet — [TÄPSUSTAB PARTNER-JURIST].

Vilka sektorer täcks in?

Cybersäkerhetslagen bygger på NIS 2-direktivets sektorsindelning (bilaga 1 och bilaga 2). Ett praktiskt sätt att förstå vilka sektorer som är i fokus är att titta på den sektorsvisa tillsynen, som anges i 3 kap. 1 § och i förordning (2025:1507) §§ 7–8. Exempel på sektorer och deras tillsynsmyndigheter:

Att fastställa exakt tillsynsmyndighet för en enskild verksamhetsutövares sektor eller undersektor kräver en bedömning mot hela kartläggningen i förordning (2025:1507) §§ 7–22 — [TÄPSUSTAB PARTNER-JURIST].

Notera också att det finns särskilda undantag. Enligt 2 kap. 13 § gäller till exempel inte vissa skyldigheter (11 och 12 §§) för den som är domänadministratör enligt lagen (2006:24) om nationella toppdomäner för Sverige på internet.

Vad händer när ni väl omfattas?

När ni väl konstaterat att ni är en väsentlig eller viktig verksamhetsutövare aktiveras skyldigheterna i 2 kap. Cybersäkerhetslagen (2025:1506):

• Anmälan: Ni ska anmäla er till den myndighet som regeringen bestämmer så snart det kan ske. Ändrade förhållanden ska anmälas senast 14 dagar efter att förändringen ägde rum (2 kap. 2 §).
• Säkerhetsåtgärder: Ni ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder utifrån ett allriskperspektiv, med minst tio åtgärdsområden — bland annat riskanalys, incidenthantering, kontinuitetshantering, säkerhet i leveranskedjan och kryptografi (2 kap. 3 §).
• Ledningens ansvar: Personer i ledningen ska genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §).
• Incidentrapportering: En betydande incident ska anmälas i flera steg — upplysning senast 24 timmar (2 kap. 5 §), incidentanmälan senast 24 timmar för betrodda tjänster respektive 72 timmar för övriga (2 kap. 6 §), samt slutrapport enligt 2 kap. 8 §.

Klassificeringen påverkar sanktionerna. Enligt 4 kap. 10 § bestäms sanktionsavgiften till lägst 5 000 kronor och högst till:

• för en väsentlig verksamhetsutövare: det högsta av 2 procent av den totala globala årsomsättningen eller ett belopp motsvarande 10 000 000 euro,
• för en viktig verksamhetsutövare: det högsta av 1,4 procent av den totala globala årsomsättningen eller ett belopp motsvarande 7 000 000 euro,
• för en offentlig verksamhetsutövare: 10 000 000 kronor.

En skillnad i tillsyn är också värd att notera: enligt 3 kap. 2 § får vissa tillsynsåtgärder mot viktiga verksamhetsutövare vidtas endast när tillsynsmyndigheten har anledning att anta att lagen inte följs.

Så tar ni reda på om ni omfattas

Att göra en korrekt scoping-bedömning handlar om att svara på tre frågor:

1. Verkar ni inom en sektor som omfattas av bilaga 1 eller bilaga 2 till NIS 2-direktivet (så som de speglas i Cybersäkerhetslagen och förordning 2025:1507)? 2. Uppfyller ni storlekströskeln, det vill säga är ni storleksmässigt lika stora som eller större än ett medelstort företag, eller omfattas ni på annan grund enligt 1 kap. 9 §? 3. Är ni väsentlig eller viktig verksamhetsutövare enligt klassificeringen i 1 kap. 9 §?

Eftersom bedömningen kräver en avstämning mot lagtext, bilagor och förordning rekommenderar vi att ni gör en strukturerad genomgång. Använd vårt kostnadsfria scoping- och gap-verktyg för att steg för steg gå igenom sektor, storlek och klassificering — och få en första bild av vilka skyldigheter som kan gälla för just er organisation.