NIS2-tillsyn: dokument som krävs
Vilka dokument lagen i ditt land kräver, vem skyldigheten gäller och i vilka situationer de lämnas till tillsynsmyndigheten. Varje påstående hänvisar till en bestämmelse i lagen, och lagtexten visas under det.
Källa: cybersakerhetslag_2025_1506
Vilka dokument som ska finnas
Säkerhetsåtgärderna ska åtminstone avse strategier för riskanalys och för nätverks- och informationssystemens säkerhet samt incidenthantering. (2 kap. 3 § andra stycket 1–2)
Lagtext
Säkerhetsåtgärderna ska åtminstone avse 1. strategier för riskanalys och för nätverks- och informationssystemens säkerhet, 2. incidenthantering,
Säkerhetsåtgärderna ska även avse strategier och förfaranden för att bedöma effektiviteten i säkerhetsåtgärderna samt för användning av kryptografi. (2 kap. 3 § andra stycket 6 och 8)
Lagtext
6. strategier och förfaranden för att bedöma effektiviteten i säkerhetsåtgärderna, 7. grundläggande praxis för cyberhygien och utbildning i cybersäkerhet, 8. strategier och förfaranden för användning av kryptografi
Vem skyldigheten gäller
Skyldigheten att vidta säkerhetsåtgärder gäller verksamhetsutövare, som enligt lagen är antingen väsentliga eller viktiga verksamhetsutövare. (1 kap. 9 §)
Lagtext
5. en verksamhetsutövare som är en kvalificerad tillhandahållare av betrodda tjänster, och 6. en verksamhetsutövare som räknas som väsentlig enligt föreskrifter som har meddelats med stöd av 15 § andra stycket. Verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare.
De personer som ingår i ledningen för en verksamhetsutövare ska genomgå utbildning om säkerhetsåtgärder. (2 kap. 4 §)
Lagtext
De personer som ingår i ledningen för en verksamhetsutövare ska genomgå utbildning om säkerhetsåtgärder.
När dokumenten lämnas till tillsynsmyndigheten
Verksamhetsutövare ska så snart det kan ske anmäla sig till den myndighet som regeringen bestämmer och anmäla ändrade förhållanden senast 14 dagar efter förändringen. (2 kap. 2 §)
Lagtext
Om de förhållanden som har redovisats i en anmälan har ändrats ska verksamhetsutövare anmäla förändringen så snart det kan ske, dock senast 14 dagar efter det att förändringen ägde rum.
Den som står under tillsyn ska på begäran tillhandahålla tillsynsmyndigheten de uppgifter eller handlingar som behövs för tillsynen. (3 kap. 3 §)
Lagtext
Den som står under tillsyn ska på begäran tillhandahålla en tillsyns-myndighet de uppgifter eller handlingar som behövs för tillsynen.
När det gäller viktiga verksamhetsutövare får sådana tillsynsåtgärder vidtas endast när tillsynsmyndigheten har anledning att anta att de inte följer lagen eller tillhörande föreskrifter. (3 kap. 2 §)
Lagtext
Tillsynsåtgärder enligt 3, 4, 6 och 7 §§ får när det gäller viktiga verksamhetsutövare vidtas endast när tillsynsmyndigheten har anledning att anta att verksamhetsutövarna inte följer
Priser för dokumentpaketet och enskilda dokument: Prislista