NIS2 steg för steg för hälso- och sjukvården i Sverige

1. Steg 1: Omfattas verksamheten av lagen?

Hälso- och sjukvårdssektorn med vårdgivare anges i bilaga 1 till direktiv (EU) 2022/2555, som cybersäkerhetslagen hänvisar till. Enligt 1 kap. 9 § räknas en verksamhetsutövare som är större än ett medelstort företag och som omfattas av den bilagan som väsentlig verksamhetsutövare. Kommuner och regioner som är större än ett medelstort företag räknas också som väsentliga, och en statlig myndighet räknas som väsentlig oavsett storlek. Verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare enligt samma paragraf.

SNI 21.100 — Tillverkning av farmaceutiska basprodukterSNI 21.200 — Tillverkning av läkemedelSNI 86.101 — Sluten primärvårdSNI 86.102 — Specialiserad sluten somatisk hälso- och sjukvård på sjukhusSNI 86.103 — Specialiserad sluten psykiatrisk hälso- och sjukvård på sjukhusSNI 86.211 — Primärvårdsmottagningar med läkare m.m.

Se även sektorsidan: Hälso- och sjukvård · NIS2-entitetskategorier — Sverige

Starta den kostnadsfria tillämplighetskontrollen

2. Steg 2: Ledningens ansvar och utbildning

Verksamhetsutövaren ansvarar för att säkerhetsåtgärderna enligt 2 kap. 3 § faktiskt vidtas. De personer som ingår i ledningen ska enligt 2 kap. 4 § genomgå utbildning om säkerhetsåtgärder. Detta motsvarar artikel 20 i direktiv (EU) 2022/2555, enligt vilken ledningsorganen godkänner riskhanteringsåtgärderna, övervakar genomförandet och kan hållas ansvariga för överträdelser. Enligt 4 kap. 6 § kan en befattningshavare hos en väsentlig verksamhetsutövare under vissa angivna förutsättningar förbjudas att inneha en ledningsfunktion, och ett sådant förbud meddelas för lägst ett och högst tre år.

NIS2-utbildningskrav för ledningsorgan per land

3. Steg 3: Riskanalysen som grund

Säkerhetsåtgärderna enligt 2 kap. 3 § ska utgå från ett allriskperspektiv och ge en säkerhetsnivå som är lämplig i förhållande till risken. Den första av de tio åtgärdspunkterna i paragrafen avser strategier för riskanalys och informationssystemens säkerhet. Enligt artikel 21.1 i direktiv (EU) 2022/2555 vägs vid proportionalitetsbedömningen in verksamhetens riskexponering, dess storlek samt sannolikheten för och allvaret i incidenter. Artikel 21.4 anger att den som konstaterar bristande efterlevnad av åtgärderna vidtar nödvändiga och proportionella korrigerande åtgärder utan onödigt dröjsmål.

Plattformen genererar detta dokument automatiskt — det ingår i dokumentpaketet. Tjänster

4. Steg 4: De tio områdena för säkerhetsåtgärder

Enligt 2 kap. 3 § vidtar verksamhetsutövaren lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder som skyddar nätverks- och informationssystem mot incidenter. Åtgärderna ska minst avse riskanalys och systemsäkerhet, incidenthantering, kontinuitets- och krishantering samt säkerhet i leveranskedjan. De omfattar även säkerhet vid förvärv, utveckling och underhåll av system, bedömning av åtgärdernas effektivitet, grundläggande cyberhygien och utbildning, kryptografi, personalsäkerhet med åtkomstkontroll och tillgångsförvaltning samt vid behov multifaktorautentisering och säkrad kommunikation. Lagtexten anger samma tio områden för alla verksamhetsutövare utan särskild uppräkning för hälso- och sjukvården, medan ytterligare föreskrifter får meddelas enligt 2 kap. 14 §.

NIS2 riskhanteringsåtgärder vs ISO 27001, DORA och GDPR

5. Steg 5: Rapportering av betydande incidenter

Vid en betydande incident ska verksamhetsutövaren enligt 2 kap. 5 § upplysa myndigheten så snart det kan ske, dock senast 24 timmar efter kännedom om incidenten. En incidentanmälan enligt 2 kap. 6 § görs så snart det kan ske och för verksamhetsutövare i allmänhet senast 72 timmar efter sådan kännedom. På begäran lämnas en delrapport med statusuppdateringar enligt 2 kap. 7 §, och en slutrapport lämnas enligt 2 kap. 8 § senast en månad efter incidentanmälan. Rapporteringen görs till CSIRT-enheten enligt förordning (2025:1507) § 6, vilket från och med den 1 juli 2026 är Försvarets radioanstalt.

NIS2-tidsfrister för incidentrapportering per EU-land · Plattformen genererar detta dokument automatiskt — det ingår i dokumentpaketet. Tjänster

6. Steg 6: Anmälan och skriftligt underlag

Åtgärdsområdena i 2 kap. 3 § avser bland annat strategier för riskanalys och informationssystemens säkerhet samt strategier och förfaranden för att bedöma åtgärdernas effektivitet, vilket förutsätter ett skriftligt och underhållet underlag. Enligt 2 kap. 2 § anmäler sig verksamhetsutövaren till myndigheten så snart det kan ske, och en ändring av de förhållanden som redovisats anmäls senast 14 dagar efter att förändringen ägde rum. Tillsynsmyndigheten kontrollerar enligt 3 kap. 1 § att lagen och anslutande föreskrifter följs, och sektorsindelningen framgår av förordning (2025:1507) §§ 7–8. För viktiga verksamhetsutövare får tillsynsåtgärder enligt 3 kap. 2 § vidtas endast när tillsynsmyndigheten har anledning att anta att reglerna inte följs.

Paketet innehåller:

• Policy för hantering av cybersäkerhetsrisker
• Plan för incidenthantering
• Kontinuitetsplan för verksamheten
• Policy för säkerhet i leveranskedjan
• Redogörelse för ledningsorganens ansvar och utbildningsplan
• Ifyllnadsguide i portalen

Underhåll (månadsvis) — re-sign av dokument enligt gällande rätt — 290 EUR/månad — Tjänster

7. Steg 7: Sanktionsavgifter

En tillsynsmyndighet får enligt 4 kap. 9 § besluta om sanktionsavgift vid överträdelse av skyldigheterna i 2 kap. 1–10 §§. Enligt 4 kap. 10 § bestäms avgiften till lägst 5 000 kronor och för en väsentlig verksamhetsutövare högst till det högsta av 2 procent av föregående räkenskapsårs totala globala årsomsättning eller ett belopp i kronor som motsvarar 10 000 000 euro. För en viktig verksamhetsutövare är taket det högsta av 1,4 procent av motsvarande omsättning eller ett belopp som motsvarar 7 000 000 euro, och för en offentlig verksamhetsutövare 10 000 000 kronor. Avgiften betalas till tillsynsmyndigheten inom 30 dagar enligt 4 kap. 13 § och faller bort om beslutet inte har verkställts inom fem år enligt 4 kap. 14 §.

NIS2-sanktionsavgifter per land