NIS2 steg för steg för livsmedelssektorn i Sverige

1. Omfattas verksamheten av lagen?

Sektorn livsmedel beskrivs i bilaga II till direktiv (EU) 2022/2555 och avser livsmedelsföretag i den betydelse som artikel 3.2 i förordning (EG) nr 178/2002 anger, när verksamheten består i grossisthandel eller i industriell produktion och bearbetning. Cybersäkerhetslagen (2025:1506) skiljer i 1 kap. 9 § mellan två klasser av verksamhetsutövare. Som väsentlig verksamhetsutövare räknas bland annat statliga myndigheter samt verksamhetsutövare som är större än ett medelstort företag och som omfattas av bilaga 1 till direktivet i dess ursprungliga lydelse, liksom övriga fall som paragrafen räknar upp. Samma paragraf slår fast att den verksamhetsutövare som inte är väsentlig i stället är viktig verksamhetsutövare.

SNI 10.111 — KreatursslaktSNI 10.112 — Styckning av köttSNI 10.120 — Beredning och hållbarhetsbehandling av fjäderfäköttSNI 10.130 — Charkuteri- och annan köttvarutillverkningSNI 10.200 — Beredning och hållbarhetsbehandling av fisk samt skal- och blötdjurSNI 10.310 — Beredning och hållbarhetsbehandling av potatis

Se även sektorsidan: Livsmedel · NIS2-entitetskategorier — Sverige

Starta den kostnadsfria tillämplighetskontrollen

2. Ledningens ansvar och utbildning

Enligt 2 kap. 3 § cybersäkerhetslagen ansvarar verksamhetsutövaren för att säkerhetsåtgärderna vidtas. De personer som ingår i ledningen ska enligt 2 kap. 4 § genomgå utbildning om säkerhetsåtgärder. Detta motsvarar artikel 20 i NIS 2-direktivet, där ledningsorganen godkänner riskhanteringsåtgärderna, övervakar genomförandet och kan hållas ansvariga för överträdelser. Lagen ger också en tillsynsmyndighet möjlighet att under vissa förutsättningar förbjuda en befattningshavare hos en väsentlig verksamhetsutövare att inneha en ledningsfunktion, för en tid om lägst ett och högst tre år (4 kap. 6 §).

NIS2-utbildningskrav för ledningsorgan per land

3. Riskanalys som grund

Utgångspunkten i 2 kap. 3 § är ett allriskperspektiv, alltså att skyddet av nätverks- och informationssystem bedöms mot hela bredden av tänkbara händelser. Det första av lagens tio åtgärdsområden är just strategier för riskanalys och för informationssystemens säkerhet. Säkerhetsnivån ska vara lämplig i förhållande till risken, och åtgärderna ska vara lämpliga och proportionella. Direktivets artikel 21.1 anger att proportionaliteten bedöms utifrån bland annat exponering för risker, verksamhetens storlek samt sannolikheten för och allvaret i incidenter.

Plattformen genererar detta dokument automatiskt — det ingår i dokumentpaketet. Tjänster

4. De tio områdena för säkerhetsåtgärder

Enligt 2 kap. 3 § ska säkerhetsåtgärderna vara tekniska, driftsrelaterade och organisatoriska samt minst omfatta tio områden. Dessa är riskanalys och systemsäkerhet, incidenthantering, kontinuitets- och krishantering, säkerhet i leveranskedjan samt säkerhet vid förvärv, utveckling och underhåll av system. Vidare ingår metoder för att bedöma åtgärdernas effektivitet, grundläggande cyberhygien och utbildning, kryptografi och vid behov kryptering, personalsäkerhet med åtkomstkontroll och tillgångsförvaltning samt vid behov multifaktorautentisering och säkrade kommunikations- och nödkommunikationssystem. Lagen ställer samma katalog av krav på alla verksamhetsutövare inom tillämpningsområdet och innehåller ingen särskild avvikelse för livsmedelssektorn, medan ytterligare föreskrifter får meddelas med stöd av 2 kap. 14 §.

NIS2 riskhanteringsåtgärder vs ISO 27001, DORA och GDPR

5. Rapportering av betydande incidenter

En incident anses betydande om den har orsakat eller kan orsaka allvarlig driftsstörning eller ekonomisk skada, eller om den har påverkat andra fysiska eller juridiska personer genom betydande skada (2 kap. 5 §). Upplysning ska lämnas så snart det kan ske, dock senast 24 timmar efter kännedom om incidenten (2 kap. 5 §). En incidentanmälan ska göras så snart det kan ske, och för andra verksamhetsutövare än tillhandahållare av betrodda tjänster senast 72 timmar efter kännedom (2 kap. 6 §). En delrapport lämnas på begäran (2 kap. 7 §), och en slutrapport ska lämnas senast en månad efter incidentanmälan, medan en pågående incident i stället föranleder en lägesrapport och därefter en slutrapport inom en månad efter att incidenten har hanterats (2 kap. 8 §). Rapporteringen görs till CSIRT-enheten enligt förordning (2025:1507) § 6, en uppgift som från och med den 1 juli 2026 ligger hos Försvarets radioanstalt inom det nationella cybersäkerhetscentret.

NIS2-tidsfrister för incidentrapportering per EU-land · Plattformen genererar detta dokument automatiskt — det ingår i dokumentpaketet. Tjänster

6. Skriftligt underlag och anmälan

Åtgärdsområdena i 2 kap. 3 § är formulerade som strategier och förfaranden, vilket förutsätter att riskanalys, incidenthantering och uppföljning av åtgärdernas effektivitet finns nedtecknade och hålls aktuella. Verksamhetsutövare ska enligt 2 kap. 2 § anmäla sig till den myndighet som regeringen bestämmer så snart det kan ske, och en ändring av de förhållanden som redovisats ska anmälas senast 14 dagar efter att ändringen ägde rum. Rapporteringskedjan i 2 kap. 5–8 §§ bygger likaså på uppgifter som kan redovisas i efterhand. Vid tillsyn kontrollerar tillsynsmyndigheten att lagen och anslutande föreskrifter följs (3 kap. 1 §), och för viktiga verksamhetsutövare får vissa tillsynsåtgärder vidtas först när myndigheten har anledning att anta att reglerna inte följs (3 kap. 2 §).

Paketet innehåller:

• Policy för hantering av cybersäkerhetsrisker
• Plan för incidenthantering
• Kontinuitetsplan för verksamheten
• Policy för säkerhet i leveranskedjan
• Redogörelse för ledningsorganens ansvar och utbildningsplan
• Ifyllnadsguide i portalen

Underhåll (månadsvis) — re-sign av dokument enligt gällande rätt — 290 EUR/månad — Tjänster

7. Sanktionsavgifter

En tillsynsmyndighet får besluta om sanktionsavgift vid överträdelse av skyldigheterna i 2 kap. 1–10 §§ (4 kap. 9 §). Avgiften bestäms enligt 4 kap. 10 § till lägst 5 000 kronor. För en väsentlig verksamhetsutövare är taket det högsta av 2 procent av den totala globala årsomsättningen närmast föregående räkenskapsår eller ett belopp i kronor som motsvarar 10 000 000 euro. För en viktig verksamhetsutövare är taket det högsta av 1,4 procent av samma omsättning eller ett belopp motsvarande 7 000 000 euro, och för en offentlig verksamhetsutövare gäller 10 000 000 kronor. Avgiften betalas till tillsynsmyndigheten inom 30 dagar (4 kap. 13 §).

NIS2-sanktionsavgifter per land