Så tar NIS2Europe fram och kontrollerar dina dokument

Rättskällan: cybersäkerhetslagen (2025:1506) och kravens innehåll

Den svenska genomförandeförfattningen är Cybersäkerhetslag (2025:1506), kompletterad av förordning (2025:1507). Dokumentationen skrivs därför inte mot direktivtexten i första hand, utan mot den svenska lagtexten — det är den som är bindande.

Det lagrum som styr vad ett dokumentationspaket i praktiken måste täcka är 2 kap. 3 §. Där anges att verksamhetsutövare ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda nätverks- och informationssystem mot incidenter, utifrån ett allriskperspektiv, och att åtgärderna åtminstone ska avse tio områden:

• strategier för riskanalys och informationssystemens säkerhet
• incidenthantering
• kontinuitetshantering och krishantering
• säkerhet i leveranskedjan
• säkerhet vid förvärv, utveckling och underhåll av system
• strategier och förfaranden för att bedöma åtgärdernas effektivitet
• grundläggande cyberhygien och utbildning i cybersäkerhet
• kryptografi och vid behov kryptering
• personalsäkerhet, åtkomstkontroll och tillgångsförvaltning
• vid behov multifaktorautentisering, säkrade kommunikationer och säkrade nödkommunikationssystem

Till detta kommer ledningens ansvar och kravet att personer i ledningen ska genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §), anmälan till myndighet och anmälan av ändrade förhållanden senast 14 dagar efter att förändringen ägde rum (2 kap. 2 §) samt registerskyldigheter för vissa verksamhetsutövare (2 kap. 11–12 §§). Varje sådant lagrum blir ett eget avsnitt i dokumentationen — inte en allmän text om cybersäkerhet.

Behörig myndighet och tidsfristerna vid en betydande incident

Lagen pekar inte själv ut myndigheten utan delegerar: ”Den myndighet som regeringen bestämmer ska vara gemensam kontaktpunkt, cyberkrishanteringsmyndighet och enhet för hantering av it-säkerhetsincidenter enligt artiklarna 8–10 i NIS 2-direktivet” (cybersäkerhetslagen 2025:1506, 1 kap. 17 §). I förordning (2025:1507) anges Försvarets radioanstalt som gemensam kontaktpunkt (§ 23) och som CSIRT-enhet (§ 31). Incidentrapportering enligt 2 kap. 5–8 §§ görs till CSIRT-enheten (förordning 2025:1507 § 6).

Tillsynen är däremot sektorsvis: ”den eller de myndigheter som regeringen bestämmer ska vara tillsynsmyndighet” (3 kap. 1 §), och sektorsindelningen framgår av förordning (2025:1507) §§ 7–8 — bland andra Statens energimyndighet, Finansinspektionen, Post- och telestyrelsen, Livsmedelsverket, Transportstyrelsen, Läkemedelsverket och Inspektionen för vård och omsorg.

Tidsfristerna vid en betydande incident skrivs in ordagrant, var för sig:

Lagtexten lyder: ”Verksamhetsutövare ska upplysa den myndighet som regeringen bestämmer om en betydande incident så snart det kan ske, dock senast 24 timmar efter det att verksamhetsutövaren har fått kännedom om incidenten.” (cybersäkerhetslagen 2025:1506, 2 kap. 5 §). Exakt rapporteringskanal fastställs av myndigheten och i föreskrifter — bekräfta den hos Försvarets radioanstalt (officiell källa).

Verksamhetens egen profil avgör vilka skyldigheter som kommer in

Sektor, storlek och rättslig klassificering avgör innehållet. Enligt 1 kap. 9 § räknas bland annat statliga myndigheter samt verksamhetsutövare som är större än ett medelstort företag och som är kommun eller region, i övrigt omfattas av bilaga 1 till NIS 2-direktivet i den ursprungliga lydelsen, eller är enskild utbildningsanordnare med examenstillstånd, som väsentlig verksamhetsutövare. Även kvalificerade tillhandahållare av betrodda tjänster hör dit. Samma paragraf avslutas: ”Verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare.”

Profilen slår igenom på flera ställen i dokumentet:

• vilken sektorsvis tillsynsmyndighet som anges
• vilken av tidsfristerna i 2 kap. 6 § som gäller vid incidentanmälan
• vilket sanktionsintervall som beskrivs enligt 4 kap. 10 §: lägst 5 000 kronor och högst det högsta av 2 procent av den totala globala årsomsättningen eller ett belopp motsvarande 10 000 000 euro för en väsentlig verksamhetsutövare, respektive 1,4 procent eller ett belopp motsvarande 7 000 000 euro för en viktig verksamhetsutövare, och 10 000 000 kronor för en offentlig verksamhetsutövare

Också 1 kap. 10 § påverkar omfånget: finns i annan författning krav på säkerhetsåtgärder eller incidentrapportering gäller de bestämmelserna om verkan av kraven minst motsvarar verkan av skyldigheterna enligt 2 kap. 3–10 §§.

Varje krav stäms av mot lagtexten mening för mening

Metoden är enkel och upprepningsbar. Ett utkast delas upp i enskilda påståenden. Varje påstående placeras bredvid det lagrum det påstår sig genomföra, och tre frågor besvaras:

1. Finns lagrummet? Paragrafen slås upp i den gällande lydelsen hos den officiella publiceringen av författningen.
2. Säger lagrummet det påståendet säger? Ordval om tidsfrister, belopp och klassificering jämförs bokstavligt — ”senast 72 timmar efter sådan kännedom” är inte samma sak som en ungefärlig beskrivning.
3. Är hänvisningen fullständig? Kapitel och paragraf skrivs ut i originalform, till exempel 2 kap. 3 § eller 4 kap. 10 §.

Ett påstående som inget lagrum stöder rättas eller stryks innan dokumentet används. Det gäller särskilt punkter som ser rimliga ut men saknar täckning — exempelvis detaljer om anmälningsplattformar eller om vilken tillsynsmyndighet som gäller för en viss undersektor, där bedömningen kräver hela kartläggningen i förordning (2025:1507) §§ 7–22. Sådana punkter beskrivs som öppna och hänvisas till myndighetens publicerade vägledning i stället för att gissas.

Det som förblir kontrollerbart efteråt

Värdet i paketet ligger i spårbarheten. Efter avstämningen står författningens fullständiga namn och det exakta lagrummet intill varje krav: Cybersäkerhetslag (2025:1506) med kapitel och paragraf, och där det behövs förordning (2025:1507) med paragrafnummer.

Det gör att tre olika läsare kan kontrollera samma sak utan att fråga den som skrev dokumentet:

• en tillsynsmyndighet, som vid tillsyn av viktiga verksamhetsutövare får vidta åtgärder enligt 3, 4, 6 och 7 §§ först när den har anledning att anta att lagen inte följs (3 kap. 2 §)
• en revisor eller intern granskare, som följer varje mening tillbaka till sin paragraf
• en upphandlande kund, som vill se hur leveranskedjekravet i 2 kap. 3 § punkt 4 hanteras

Dokumentationen är ett underlag, inte ett besked om utfall. Den beskriver vad lagen kräver och vad verksamheten gör — bedömningen av efterlevnaden ligger hos tillsynsmyndigheten. Eftersom lag- och förordningstext ändras bör hänvisningarna stämmas av mot den gällande lydelsen och mot de föreskrifter och den vägledning som Försvarets radioanstalt och den sektorsvisa tillsynsmyndigheten publicerar.