NIS2 för tillverkande företag i Sverige: omfattas ni av cybersäkerhetslagen?
Lagstiftning: Sverige · Cybersäkerhetslagen
Kort svar: omfattas tillverkningsföretag av NIS2 i Sverige?
Kort svar: Tillverkande företag – elektronik, maskiner, fordon och medicintekniska produkter – pekas inte ut i någon egen svensk paragraf med en egen kravkatalog. Cybersäkerhetslagen (2025:1506) knyter i stället an till NIS 2-direktivets bilagor i den ursprungliga lydelsen och delar in dem som omfattas i väsentlig verksamhetsutövare och viktig verksamhetsutövare (1 kap. 9 §). Det första ni bör göra är därför att fastställa om ert företag alls är en verksamhetsutövare som omfattas – och i så fall vilken av de två klasserna ni hamnar i, eftersom klassen styr både tillsyn och sanktionsnivå.
En kostnadsfri kontroll av om lagen gäller er är ett bra första steg innan ni börjar bygga rutiner. Stäm därefter av bedömningen mot den publicerade vägledningen från Försvarets radioanstalt (FRA) och från er sektorsvisa tillsynsmyndighet (officiella källor).
Så hanterar den svenska lagen sektorstillhörighet
Cybersäkerhetslagen räknar inte upp varje bransch i lagtexten. I 1 kap. 9 § hänvisas till att verksamhetsutövaren "i övrigt omfattas av bilaga 1 till NIS 2-direktivet i den ursprungliga lydelsen". Sektorsbeskrivningarna hämtas alltså direkt från direktivets bilagor.
Sektorsformuleringen i den tillgängliga källtexten (bilaga II till direktiv (EU) 2022/2555) lyder ordagrant:
> "Tillverkning, produktion och distribution av kemikalier — Företag som tillverkar ämnen och distribuerar ämnen eller blandningar som avses i artikel 3.9 och 3.14 i Europaparlamentets och rådets förordning (EG) nr 1907/2006 samt företag som producerar varor enligt definitionen i artikel 3.3 i den"
Att tillverkning behandlas som ett eget tillsynsområde framgår också av hur tillsynen är fördelad i förordning (2025:1507) §§ 7–8, där bland annat Transportstyrelsen anges för transporter inklusive *tillverkning av motorfordon och andra transportmedel*, och Läkemedelsverket för hälso- och sjukvård utom vårdgivare samt *medicintekniska produkter*.
Exakt vilken tillsynsmyndighet som gäller för en enskild verksamhetsutövares sektor eller undersektor kräver en bedömning mot hela kartläggningen i förordning (2025:1507) §§ 7–22. Bekräfta detta hos FRA respektive er sektorsvisa tillsynsmyndighet (officiella källor).
Väsentlig eller viktig verksamhetsutövare – och storlekskriteriet
Klassificeringen framgår av 1 kap. 9 §. Som väsentlig verksamhetsutövare räknas bland annat:
- en verksamhetsutövare som är en statlig myndighet,
- en verksamhetsutövare som är större än ett medelstort företag och som i övrigt omfattas av bilaga 1 till NIS 2-direktivet i den ursprungliga lydelsen men inte av 7 § 2 eller 3,
- en verksamhetsutövare som avses i 6 § och som storleksmässigt motsvarar eller är större än ett medelstort företag,
- en verksamhetsutövare som avses i 7 § 2 eller 3,
- en kvalificerad tillhandahållare av betrodda tjänster.
Sista meningen i paragrafen är avgörande för många tillverkare: "Verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare." I praktiken innebär det att den som omfattas av lagen men inte uppfyller kriterierna för väsentlig verksamhetsutövare hamnar i klassen viktig verksamhetsutövare.
Lagtexten uttrycker storlekskriteriet i termer av "medelstort företag" utan att ange siffrorna i den paragraf som citeras här. Hämta den exakta storleksdefinitionen och tillämpningen ur FRA:s och er tillsynsmyndighets publicerade vägledning (officiell källa) i stället för att uppskatta den.
Grundkraven: säkerhetsåtgärder, ledningens ansvar och anmälan
Cybersäkerhetslagen ställer inga särskilda tillverkningsspecifika krav. Skyldigheterna i 2 kap. gäller lika för alla verksamhetsutövare som omfattas — skillnaden mellan väsentlig och viktig verksamhetsutövare rör tillsyn och sanktionsnivå, inte kravkatalogen.
Säkerhetsåtgärder (2 kap. 3 §) ska vara lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder, utgå från ett allriskperspektiv och minst avse:
1. strategier för riskanalys och informationssystemens säkerhet 2. incidenthantering 3. kontinuitetshantering och krishantering 4. säkerhet i leveranskedjan 5. säkerhet vid förvärv, utveckling och underhåll av system 6. strategier och förfaranden för att bedöma åtgärdernas effektivitet 7. grundläggande cyberhygien och utbildning i cybersäkerhet 8. kryptografi och vid behov kryptering 9. personalsäkerhet, åtkomstkontroll och tillgångsförvaltning 10. vid behov multifaktorautentisering, säkrade kommunikationer och säkrade nödkommunikationssystem
Samma tio områden återfinns i art 21(2) i direktiv (EU) 2022/2555. För tillverkare med många underleverantörer och serviceavtal är punkt 4 om leveranskedjan ofta den tyngsta posten.
Ledningens ansvar (2 kap. 3–4 §§): verksamhetsutövaren ansvarar för att säkerhetsåtgärderna vidtas, och de personer som ingår i ledningen ska genomgå utbildning om säkerhetsåtgärder.
Anmälan (2 kap. 2 §): verksamhetsutövare ska så snart det kan ske anmäla sig till den myndighet som regeringen bestämmer. Om de förhållanden som redovisats i anmälan ändras ska förändringen anmälas så snart det kan ske, dock senast 14 dagar efter att den ägde rum. Exakt anmälningsplattform och vilka uppgifter som ska lämnas fastställs i myndighetens föreskrifter — bekräfta hos FRA (officiell källa).
Incidentrapportering: tidsfrister vid en betydande incident
En incident är betydande om den har orsakat eller kan orsaka allvarlig driftsstörning för den erbjudna tjänsten eller ekonomisk skada för verksamhetsutövaren, eller om den har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande skada (2 kap. 5 §).
Stegen enligt 2 kap. 5–8 §§:
| Steg | Tidsfrist |
|---|---|
| Upplysning om incidenten | så snart det kan ske, dock senast 24 timmar efter kännedom (5 §) |
| Incidentanmälan | så snart det kan ske, senast 72 timmar efter kännedom; för den som tillhandahåller betrodda tjänster senast 24 timmar (6 §) |
| Delrapport med statusuppdateringar | på myndighetens begäran (7 §) |
| Slutrapport | senast en månad efter incidentanmälan; pågår incidenten fortfarande lämnas en lägesrapport och därefter slutrapport inom en månad efter att incidenten hanterats (8 §) |
Rapporteringen görs till CSIRT-enheten (förordning 2025:1507 § 6). Från och med 2026-07-01 är Försvarets radioanstalt (FRA) både gemensam kontaktpunkt och CSIRT-enhet, genom det nationella cybersäkerhetscentret. Den exakta tekniska rapporteringskanalen framgår inte av lag- eller förordningstexten ensam — bekräfta kanalen hos FRA (officiell källa) och lägg in den i er incidentrutin i förväg.
Tillsyn och sanktionsavgifter
Tillsynen är sektorsindelad (3 kap. 1 §; förordning 2025:1507 §§ 7–8). För viktiga verksamhetsutövare gäller en viktig begränsning: tillsynsåtgärder enligt 3, 4, 6 och 7 §§ får vidtas endast när tillsynsmyndigheten har anledning att anta att lagen, anslutande föreskrifter eller rättsakter antagna med stöd av artiklarna 21.5 och 23.11 i NIS 2-direktivet inte följs (3 kap. 2 §).
En tillsynsmyndighet får besluta om sanktionsavgift vid överträdelse av skyldigheterna i 2 kap. 1–10 §§ (4 kap. 9 §). Avgiften bestäms till lägst 5 000 kronor och högst till (4 kap. 10 §):
- väsentlig verksamhetsutövare: det högsta av 2 procent av den totala globala årsomsättningen närmast föregående räkenskapsår eller ett belopp i kronor motsvarande 10 000 000 euro
- viktig verksamhetsutövare: det högsta av 1,4 procent av den totala globala årsomsättningen eller ett belopp motsvarande 7 000 000 euro
- offentlig verksamhetsutövare: 10 000 000 kronor
Sanktionsavgiften betalas till tillsynsmyndigheten inom 30 dagar (4 kap. 13 §) och faller bort om beslutet inte verkställts inom fem år (4 kap. 14 §).
Finns det i annan författning krav på säkerhetsåtgärder eller incidentrapportering gäller de bestämmelserna, om verkan av kraven minst motsvarar verkan av skyldigheterna enligt 2 kap. 3–10 §§ (1 kap. 10 §).
Verksamhetskoder (NACE rev. 2)
Denna sektors poster i NIS2-bilagorna motsvarar en-till-en följande NACE rev. 2-verksamhetskoder. Listan täcker endast entydiga matchningar — vissa poster definieras av själva verksamheten, inte av en kod.
NACE 26 — Tillverkning av datorer, elektronikvaror och optikNACE 27 — Tillverkning av elapparaturNACE 28 — Tillverkning av övriga maskinerNACE 29 — Tillverkning av motorfordon, släpfordon och påhängsvagnarNACE 30 — Tillverkning av andra transportmedelNACE 32.50 — Tillverkning av medicinsk och dental utrustning
SNI 2025-branschkoder i denna sektor
Koderna kopplas automatiskt: sektorns NACE Rev. 2-koder är via Eurostats officiella nyckeltabell kopplade till NACE Rev. 2.1-klasser och därifrån till SNI 2025-koder. Där en koppling inte är entydig utelämnas koden — listan är medvetet hellre smalare än bredare.
SNI 26.110 — Tillverkning av elektroniska komponenterSNI 26.120 — Tillverkning av kretskortSNI 26.200 — Tillverkning av datorer och kringutrustningSNI 26.300 — Tillverkning av kommunikationsutrustningSNI 26.400 — Tillverkning av hemelektronikSNI 26.510 — Tillverkning av instrument och apparater för mätning, provning och navigeringSNI 26.520 — UrtillverkningSNI 26.600 — Tillverkning av strålningsutrustning samt elektromedicinsk och elektroterapeutisk utrustningSNI 26.700 — Tillverkning av optiska instrument, magnetiska och optiska medier samt fotoutrustningSNI 27.110 — Tillverkning av elmotorer, generatorer och transformatorerSNI 27.120 — Tillverkning av eldistributions- och elkontrollapparaterSNI 27.200 — Batteri- och ackumulatortillverkningSNI 27.310 — Tillverkning av optiska fiberkablarSNI 27.320 — Tillverkning av andra elektroniska och elektriska ledningar och kablarSNI 27.330 — Tillverkning av kabeltillbehörSNI 27.400 — Tillverkning av belysningsarmaturSNI 27.510 — Tillverkning av elektriska hushållsmaskiner och hushållsapparaterSNI 27.520 — Tillverkning av icke-elektriska hushållsmaskiner och hushållsapparaterSNI 27.900 — Tillverkning av annan elapparaturSNI 28.110 — Tillverkning av motorer och turbiner utom för luftfartyg och fordonSNI 28.120 — Tillverkning av fluidteknisk utrustningSNI 28.130 — Tillverkning av andra pumpar och kompressorerSNI 28.140 — Tillverkning av andra kranar och ventilerSNI 28.150 — Tillverkning av lager, kugghjul och andra delar för kraftöverföringSNI 28.220 — Tillverkning av lyft- och godshanteringsanordningarSNI 28.230 — Tillverkning av kontorsmaskiner och kontorsutrustning, utom datorer och kringutrustningSNI 28.240 — Tillverkning av motordrivna handverktygSNI 28.250 — Tillverkning av luftkonditionering, utom för hushållSNI 28.290 — Tillverkning av diverse övriga maskiner för allmänt ändamålSNI 28.300 — Tillverkning av jord- och skogsbruksmaskinerSNI 28.410 — Tillverkning av maskiner för metallbearbetning och verktygsmaskiner för bearbetning av metallSNI 28.420 — Tillverkning av andra verktygsmaskinerSNI 28.910 — Tillverkning av maskiner för metallurgiSNI 28.920 — Tillverkning av gruv-, bergbrytnings- och byggmaskinerSNI 28.930 — Tillverkning av maskiner för framställning av livsmedel, drycker och tobaksvarorSNI 28.940 — Tillverkning av maskiner för produktion av textil-, beklädnads- och lädervarorSNI 28.950 — Tillverkning av maskiner för produktion av massa, papper och pappSNI 28.960 — Tillverkning av maskiner för gummi och plastSNI 28.970 — Tillverkning av maskiner för additiv tillverkningSNI 28.990 — Tillverkning av diverse övriga specialmaskinerSNI 29.101 — Tillverkning av personbilar och andra lätta motorfordonSNI 29.102 — Tillverkning av lastbilar och andra tunga motorfordonSNI 29.200 — Tillverkning av karosserier för motorfordon; tillverkning av släpfordon och påhängsvagnarSNI 29.310 — Tillverkning av elektrisk och elektronisk utrustning för motorfordonSNI 30.110 — Byggande av civila fartyg och flytande materielSNI 30.120 — Byggande av fritidsbåtarSNI 30.130 — Byggande av militära skepp och fartygSNI 30.200 — Tillverkning av rälsfordonSNI 30.310 — Tillverkning av civila luftfartyg, rymdfarkoster o.d.SNI 30.320 — Tillverkning av militära luftfartyg, rymdfarkoster o.d.SNI 30.400 — Tillverkning av militära stridsfordonSNI 30.910 — Tillverkning av motorcyklarSNI 30.920 — Tillverkning av cyklar, rullstolar o.d.SNI 30.990 — Diverse övrig transportmedelstillverkning
Finns din SNI-kod med på listan? Kontrollera om NIS2 gäller dig
Se även sektorsidan: Tillverkning
Vanliga frågor
Omfattas små tillverkningsföretag av cybersäkerhetslagen?
Klassificeringen i 1 kap. 9 § bygger på ett storlekskriterium uttryckt som "större än ett medelstort företag" respektive "storleksmässigt motsvarar eller är större än ett medelstort företag". Den som omfattas av lagen men inte uppfyller kriterierna för väsentlig verksamhetsutövare är viktig verksamhetsutövare. De exakta storlekssiffrorna och hur de tillämpas framgår av den publicerade vägledningen från FRA och er sektorsvisa tillsynsmyndighet (officiella källor).
Gäller särskilda krav för elektronik-, maskin- och fordonsproduktion?
Nej. Cybersäkerhetslagen anger inga tillverkningsspecifika skyldigheter. Kraven i 2 kap. — säkerhetsåtgärder enligt 3 §, ledningens utbildning enligt 4 §, anmälan enligt 2 § och incidentrapportering enligt 5–8 §§ — gäller lika för alla verksamhetsutövare som omfattas. Det som skiljer är tillsynens intensitet (3 kap. 2 §) och sanktionsnivån (4 kap. 10 §).
Vilka tidsfrister gäller vid en betydande incident?
Upplysning ska lämnas så snart det kan ske, dock senast 24 timmar efter kännedom (2 kap. 5 §). Incidentanmälan ska göras så snart det kan ske, för de flesta verksamhetsutövare senast 72 timmar efter kännedom och för den som tillhandahåller betrodda tjänster senast 24 timmar (2 kap. 6 §). Slutrapport lämnas senast en månad efter incidentanmälan (2 kap. 8 §).
Till vilken myndighet rapporterar vi?
Rapportering enligt 2 kap. 5–8 §§ görs till CSIRT-enheten (förordning 2025:1507 § 6). Från och med 2026-07-01 är Försvarets radioanstalt (FRA) gemensam kontaktpunkt och CSIRT-enhet via det nationella cybersäkerhetscentret. Tillsynen utövas däremot av sektorsvisa tillsynsmyndigheter enligt förordning (2025:1507) §§ 7–22 — bekräfta vilken som gäller er verksamhet hos FRA (officiell källa).
Kontrollera din NIS2-efterlevnad
Starta den kostnadsfria tillämplighetskontrollen
Kör den kostnadsfria självbedömningen Gör den gratis externa säkerhetskontrollen
Den kompletta NIS2-guiden — Sverige →
Se det kostnadsfria exempelpaketet →
Denna artikel är allmän information, inte juridisk rådgivning. Kontakta en kvalificerad expert för din specifika situation.
Innehållet bygger på cybersakerhetslag_2025_1506-versionen som gäller från 2026-01-15 (kontrollsumma 215a4dfd3a85).