NIS2 i Sverige – den kompletta guiden till cybersäkerhetslagen (2025:1506)

Vad är cybersäkerhetslagen och hur hänger den ihop med NIS2-direktivet?

Cybersäkerhetslagen (2025:1506) är den svenska lag som genomför NIS 2-direktivet – direktiv (EU) 2022/2555 – i svensk rätt. Det innebär att direktivets krav på riskhantering, incidentrapportering och tillsyn nu gäller för svenska verksamhetsutövare genom bindande svensk lagtext.

Lagen kompletteras av förordning (2025:1507) och förordning (2025:237), som pekar ut vilka myndigheter som utövar olika funktioner. Ett viktigt datum för ledningen att känna till är 2026-07-01: från och med det datumet är Försvarets radioanstalt (FRA) gemensam kontaktpunkt och driver CSIRT-funktionen via det nationella cybersäkerhetscentret (förordning 2025:1507 § 23 och § 31, samt förordning 2025:237). Fram till och med 2026-06-30 fullgörs dessa roller av Myndigheten för civilt försvar.

För en vd är den centrala insikten enkel: NIS2 är inte längre ett förslag på EU-nivå, utan en svensk lag med konkreta skyldigheter, rapporteringstider och sanktionsavgifter.

Vem omfattas? Väsentlig och viktig verksamhetsutövare

Lagen delar in verksamhetsutövare i två kategorier: väsentlig verksamhetsutövare (essential) och viktig verksamhetsutövare (important). Enligt 1 kap. 9 § räknas bland annat följande som väsentlig verksamhetsutövare:

• en verksamhetsutövare som är en statlig myndighet,
• en verksamhetsutövare som är större än ett medelstort företag och som är en kommun eller en region,
• en verksamhetsutövare som i övrigt omfattas av bilaga 1 till NIS 2-direktivet (med vissa undantag),
• en enskild utbildningsanordnare med tillstånd att utfärda examina enligt lagen (1993:792),
• en verksamhetsutövare som är en kvalificerad tillhandahållare av betrodda tjänster.

Enligt samma paragraf gäller att verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare. Storlekskriteriet knyts till begreppet ”större än ett medelstort företag”, och sektorstillhörigheten avgörs mot bilagorna till NIS 2-direktivet.

Om det i annan lag eller författning redan finns krav på säkerhetsåtgärder eller incidentrapportering, gäller de reglerna i stället om deras verkan minst motsvarar skyldigheterna enligt 2 kap. 3–10 §§ (1 kap. 10 §). Den exakta klassificeringen av en enskild verksamhet kräver en bedömning mot sektorskartläggningen – här är en tidig scoping-analys avgörande.

Registreringsplikten och tidsfristen

Verksamhetsutövare ska anmäla sig till den myndighet som regeringen bestämmer (2 kap. 2 § första stycket). Tidsfristen anges som att anmälan ska ske så snart det kan ske.

Om de förhållanden som redovisats i en anmälan har ändrats, ska förändringen anmälas så snart det kan ske, dock senast 14 dagar efter att förändringen ägde rum (2 kap. 2 § andra stycket).

En särskild undantagsregel gäller domänadministratörer enligt lagen (2006:24) om nationella toppdomäner: för dem gäller i stället skyldighet att föra register enligt 6 § den lagen (2 kap. 13 §).

Exakt anmälningsplattform, e-tjänst och vilka uppgifter som ska lämnas fastställs av myndigheten och i föreskrifter – det framgår inte av lagtexten ensam [TÄPSUSTAB PARTNER-JURIST].

De tio åtgärdsområdena – din checklista för riskhantering

Verksamhetsutövare ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda nätverks- och informationssystem mot incidenter. Åtgärderna ska utgå från ett allriskperspektiv och åtminstone avse följande tio områden (2 kap. 3 §), vilket motsvarar art 21(2) i NIS 2-direktivet:

1. strategier för riskanalys och informationssystemens säkerhet 2. incidenthantering 3. kontinuitetshantering och krishantering 4. säkerhet i leveranskedjan 5. säkerhet vid förvärv, utveckling och underhåll av system 6. strategier och förfaranden för att bedöma åtgärdernas effektivitet 7. grundläggande cyberhygien och utbildning i cybersäkerhet 8. kryptografi och vid behov kryptering 9. personalsäkerhet, åtkomstkontroll och tillgångsförvaltning 10. vid behov multifaktorautentisering, säkrade kommunikationer och säkrade nödkommunikationssystem

Använd listan som en första gap-checklista mot er nuvarande säkerhetsnivå. Om en verksamhetsutövare finner att den inte uppfyller åtgärderna ska den utan onödigt dröjsmål vidta alla nödvändiga, lämpliga och proportionella korrigerande åtgärder (art 21(4) i direktiv (EU) 2022/2555).

Incidentrapportering – tidsfrister som ledningen måste kunna

Vid en betydande incident gäller ett flerstegs­förfarande (2 kap. 5–8 §§). En incident anses betydande om den har orsakat eller kan orsaka allvarlig driftsstörning för tjänsten eller ekonomisk skada för verksamhetsutövaren, eller om den har påverkat eller kan påverka andra fysiska eller juridiska personer genom betydande skada (2 kap. 5 §).

Om incidenten fortfarande pågår vid tidpunkten för slutrapporten lämnas i stället en lägesrapport, och därefter en slutrapport inom en månad efter att incidenten har hanterats (2 kap. 8 §). Rapportering görs till CSIRT-enheten (förordning 2025:1507 § 6). Den exakta tekniska rapporteringskanalen/portalen fastställs av myndigheten och i föreskrifter [TÄPSUSTAB PARTNER-JURIST].

Sanktionsavgifter och ledningens ansvar

En tillsynsmyndighet får besluta att ta ut en sanktionsavgift av en verksamhetsutövare vid överträdelse av skyldigheterna i 2 kap. 1–10 §§ (4 kap. 9 §). Sanktionsavgiften ska bestämmas till lägst 5 000 kronor och högst till följande (4 kap. 10 §):

• Väsentlig verksamhetsutövare: det högsta av 2 procent av den totala globala årsomsättningen närmast föregående räkenskapsår eller ett belopp i kronor motsvarande 10 000 000 euro.
• Viktig verksamhetsutövare: det högsta av 1,4 procent av den totala globala årsomsättningen eller ett belopp motsvarande 7 000 000 euro.
• Offentlig verksamhetsutövare: 10 000 000 kronor.

Sanktionsavgiften betalas till tillsynsmyndigheten inom 30 dagar (4 kap. 13 §) och faller bort om beslutet inte verkställts inom fem år (4 kap. 14 §).

Ledningen har ett direkt ansvar. Verksamhetsutövaren ansvarar för att säkerhetsåtgärderna enligt 2 kap. 3 § vidtas, och de personer som ingår i ledningen ska genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §). Detta motsvarar ledningsorganens ansvar och utbildningskrav enligt art 20(1) i direktiv (EU) 2022/2555, där ledningen godkänner och övervakar riskhanteringsåtgärderna och kan hållas ansvarig för överträdelser.

Tillsynsmyndigheten och hur tillsynen ser ut

Tillsynen i Sverige är sektorsindelad. Lagen anger att den eller de myndigheter som regeringen bestämmer ska vara tillsynsmyndighet och att tillsynsmyndigheten utövar tillsyn över att lagen och anslutande föreskrifter följs (3 kap. 1 §). Sektorsindelningen anges i förordning (2025:1507) §§ 7–8, bland annat:

• Statens energimyndighet – energi
• Transportstyrelsen – transporter samt tillverkning av transportmedel
• Finansinspektionen – bankverksamhet och finansmarknadsinfrastruktur
• Inspektionen för vård och omsorg – vårdgivare
• Läkemedelsverket – hälso- och sjukvård utom vårdgivare, medicintekniska produkter
• Livsmedelsverket – dricksvatten, avloppsvatten, livsmedel
• Post- och telestyrelsen – digital infrastruktur och domännamnsregistreringstjänster

En viktig nyansering gäller viktig verksamhetsutövare: tillsynsåtgärder enligt 3, 4, 6 och 7 §§ får för dessa vidtas endast när tillsynsmyndigheten har anledning att anta att verksamhetsutövaren inte följer lagen, anslutande föreskrifter eller rättsakter antagna med stöd av artiklarna 21.5 och 23.11 i NIS 2-direktivet (3 kap. 2 §). Väsentliga verksamhetsutövare kan omfattas av mer proaktiv tillsyn.

Parallellt fungerar den gemensamma kontaktpunkten (från 2026-07-01 Försvarets radioanstalt, FRA) som sambandsfunktion för gränsöverskridande och sektorsövergripande samarbete (förordning 2025:1507 §§ 24–25). Fastställande av exakt tillsynsmyndighet för en enskild verksamhets sektor kräver en bedömning mot hela kartläggningen i förordning (2025:1507) [TÄPSUSTAB PARTNER-JURIST].

Nästa steg: kartlägg omfattning och identifiera era luckor

För de flesta verksamhetsutövare består vägen framåt av tre frågor: Omfattas vi, och i så fall som väsentlig eller viktig verksamhetsutövare? Uppfyller vi de tio åtgärdsområdena i 2 kap. 3 §? Har vi rutiner för att klara 24- och 72-timmars­fristerna vid en betydande incident?

Ett strukturerat scoping- och gap-arbete ger ledningen ett tydligt underlag för prioriteringar innan tillsynen aktiveras. Använd vår kostnadsfria scoping- och gap-analys för att snabbt få en översikt över var ni står i förhållande till cybersäkerhetslagen (2025:1506) – och vilka åtgärder som bör prioriteras först.