NIS2 för transportföretag i Sverige – vad cybersäkerhetslagen (2025:1506) kräver

Omfattas transportföretag av den svenska NIS2-lagen?

Kort svar: Ja, transportverksamhet omfattas i den utsträckning verksamheten faller under bilaga 1 till NIS 2-direktivet, som cybersäkerhetslagen (2025:1506) hänvisar till i 1 kap. 9 § andra punkten b. Där avgör lagen också klassen: en verksamhetsutövare som är större än ett medelstort företag och som i övrigt omfattas av bilaga 1 räknas som väsentlig verksamhetsutövare, medan verksamhetsutövare som inte är väsentliga är viktig verksamhetsutövare (1 kap. 9 §).

Det första ni bör göra är att ta ställning till två saker: om er verksamhet motsvarar den sektorsbeskrivning som gäller för transporter, och om företaget är större än ett medelstort företag. Faller ni in ska ni så snart det kan ske anmäla er till den myndighet som regeringen bestämmer (2 kap. 2 §). Använd gärna självutvärderingen intill den här artikeln som en första strukturerad genomgång innan ni går vidare.

Så beskrivs sektorn – ordagrant i den sektorsbestämmelse lagen hänvisar till

Cybersäkerhetslagen räknar inte upp sektorerna i lagtexten, utan hänvisar i 1 kap. 9 § andra punkten b till bilaga 1 till NIS 2-direktivet, direktiv (EU) 2022/2555, i den ursprungliga lydelsen. Där lyder sektorsbeskrivningen för transporter, i den del som avser luftfart, ordagrant:

> Transporter > > a) Lufttransport > > — Lufttrafikföretag enligt definitionen i artikel 3.4 i förordning (EG) nr 300/2008 och som används för kommersiella syften > > — Flygplatsens ledningsenheter enligt definitionen i artikel 2.2 i Europaparlamentets och rådets direktiv

Det är alltså verksamhetens art enligt bilaga 1, inte någon svensk särlista, som avgör om ett transportföretag träffas. Driver ni järnvägs-, sjö- eller vägtransport eller trafikledning bör ni bekräfta den exakta ordalydelsen för just er undersektor mot bilaga 1 och mot Transportstyrelsens publicerade vägledning (officiell källa) – Transportstyrelsen är enligt förordning (2025:1507) §§ 7–8 tillsynsmyndighet för sektorn Transporter. Vi återger här bara den ordalydelse som är belagd i lagtexten.

Väsentlig eller viktig verksamhetsutövare – vad avgör klassen

Klassindelningen följer direkt av 1 kap. 9 § cybersäkerhetslagen. Som väsentlig verksamhetsutövare räknas bland annat:

• en verksamhetsutövare som är en statlig myndighet,
• en verksamhetsutövare som är större än ett medelstort företag och som i övrigt omfattas av bilaga 1 till NIS 2-direktivet i den ursprungliga lydelsen men inte av 7 § 2 eller 3 (det är den punkt som är relevant för de flesta privata transportföretag),
• en verksamhetsutövare som avses i 6 § och som storleksmässigt motsvarar eller är större än ett medelstort företag,
• en verksamhetsutövare som avses i 7 § 2 eller 3,
• en kvalificerad tillhandahållare av betrodda tjänster,
• en verksamhetsutövare som räknas som väsentlig enligt föreskrifter meddelade med stöd av 15 § andra stycket.

Sista meningen i paragrafen är avgörande för alla övriga: "Verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare." Skillnaden mellan klasserna ligger inte i vilka säkerhetskrav som gäller, utan i tillsynens intensitet och i sanktionsavgifternas tak (se nedan).

En sak till är värd att känna till: finns det i annan författning krav på säkerhetsåtgärder eller incidentrapportering vars verkan minst motsvarar skyldigheterna i 2 kap. 3–10 §§, gäller de bestämmelserna i stället (1 kap. 10 §). Det är särskilt relevant i transportbranschen, som redan är tungt reglerad.

Grundkraven: anmälan, säkerhetsåtgärder och ledningens ansvar

Lagen ställer samma grundkrav på alla verksamhetsutövare som omfattas – det finns inga särskilda transportspecifika skyldigheter i cybersäkerhetslagens 2 kap.

Anmälan (2 kap. 2 §). Verksamhetsutövare ska så snart det kan ske anmäla sig till den myndighet som regeringen bestämmer. Ändras de förhållanden som redovisats i anmälan ska förändringen anmälas så snart det kan ske, dock senast 14 dagar efter att förändringen ägde rum.

Säkerhetsåtgärder (2 kap. 3 §). Åtgärderna ska vara lämpliga och proportionella, tekniska, driftsrelaterade och organisatoriska, utgå från ett allriskperspektiv och åtminstone avse:

1. strategier för riskanalys och informationssystemens säkerhet 2. incidenthantering 3. kontinuitetshantering och krishantering 4. säkerhet i leveranskedjan 5. säkerhet vid förvärv, utveckling och underhåll av system 6. strategier och förfaranden för att bedöma åtgärdernas effektivitet 7. grundläggande cyberhygien och utbildning i cybersäkerhet 8. kryptografi och vid behov kryptering 9. personalsäkerhet, åtkomstkontroll och tillgångsförvaltning 10. vid behov multifaktorautentisering, säkrade kommunikationer och säkrade nödkommunikationssystem

Samma tio områden anges i art 21(2) i direktiv (EU) 2022/2555. Ytterligare föreskrifter får meddelas enligt 2 kap. 14 §.

Ledningens ansvar (2 kap. 3–4 §§). Verksamhetsutövaren ansvarar för att säkerhetsåtgärderna vidtas, och de personer som ingår i ledningen ska genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §). Detta motsvarar art 20(1) i direktivet, där ledningsorganen ska godkänna åtgärderna, övervaka genomförandet och kan hållas ansvariga.

Incidentrapportering: tidsfrister som gäller vid en betydande incident

En incident är betydande om den har orsakat eller kan orsaka allvarlig driftsstörning för den erbjudna tjänsten eller ekonomisk skada för verksamhetsutövaren, eller om den har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande skada (2 kap. 5 §).

Rapportering enligt 2 kap. 5–8 §§ görs till CSIRT-enheten (förordning 2025:1507 § 6). CSIRT-enhet och gemensam kontaktpunkt är från och med 2026-07-01 Försvarets radioanstalt (FRA), som driver det nationella cybersäkerhetscentret (cybersäkerhetslagen 1 kap. 17 §; förordning 2025:1507 §§ 23 och 31). Exakt teknisk rapporteringskanal framgår inte av lag- eller förordningstexten ensam – bekräfta den mot FRA:s publicerade information (officiell källa) och ha kontaktvägen dokumenterad i beredskapsplanen innan något händer.

Tillsyn och sanktionsavgifter

Tillsynen är sektorsindelad (3 kap. 1 §; förordning 2025:1507 §§ 7–8). För sektorn Transporter, inklusive tillverkning av motorfordon och andra transportmedel, är Transportstyrelsen tillsynsmyndighet. Vilken myndighet som gäller för en enskild undersektor kräver en bedömning mot hela kartläggningen i förordning (2025:1507) §§ 7–22 – kontrollera detta mot myndighetens publicerade vägledning.

För viktig verksamhetsutövare får tillsynsåtgärder enligt 3 kap. 3, 4, 6 och 7 §§ vidtas endast när tillsynsmyndigheten har anledning att anta att lagen, anslutande föreskrifter eller rättsakter antagna med stöd av artiklarna 21.5 och 23.11 i NIS 2-direktivet inte följs (3 kap. 2 §). För väsentliga verksamhetsutövare gäller ingen sådan begränsning.

En tillsynsmyndighet får besluta om sanktionsavgift vid överträdelse av skyldigheterna i 2 kap. 1–10 §§ (4 kap. 9 §). Avgiften bestäms till lägst 5 000 kronor och högst till (4 kap. 10 §):

• väsentlig verksamhetsutövare: det högsta av 2 procent av den totala globala årsomsättningen närmast föregående räkenskapsår eller ett belopp i kronor motsvarande 10 000 000 euro
• viktig verksamhetsutövare: det högsta av 1,4 procent av den totala globala årsomsättningen närmast föregående räkenskapsår eller ett belopp i kronor motsvarande 7 000 000 euro
• offentlig verksamhetsutövare: 10 000 000 kronor

Sanktionsavgiften betalas till tillsynsmyndigheten inom 30 dagar (4 kap. 13 §) och faller bort om beslutet inte verkställts inom fem år (4 kap. 14 §).