NIS2-tidsfrister för incidentrapportering per EU-land
Den tidiga varningen om en betydande incident ska lämnas inom 24 timmar. (cybersakerhetslag_2025_1506, 2 kap. 5 §)
Tabellen visar för varje land vi täcker tidsfristerna för att rapportera en betydande incident enligt artikel 23 i NIS2-direktivet — tidig varning, fullständig anmälan och slutrapport — samt behörig myndighet. Där EU-direktivets basnivå visas är den tydligt markerad i tabellen.
| Tidig varning | Incidentanmälan | Slutrapport | Behörig myndighet | Anmälningskanal | |
|---|---|---|---|---|---|
| Belgien | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Bevoegde autoriteit en meldingsplicht (nationale cyberbeveiligingsautoriteit, nationale CSIRT — NIS2-wet art. 16, art. 35) [↗] | – |
| Bulgarien | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Компетентен орган и задължение за уведомяване (национален компетентен орган, СЕРИКС/CSIRT — ЗКС чл. 16, чл. 23) [↗] | СЕРИКС (nationell lag) [↗] |
| Cypern | 6h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Αρμόδια αρχή και υποχρέωση κοινοποίησης (Αρχή Ψηφιακής Ασφάλειας — Ν. 60(Ι)/2025 άρθρο 30, 35Β) [↗] | Αρχή Ψηφιακής Ασφάλειας (nationell lag) [↗] |
| Danmark | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Kompetent myndighed og underretningspligt (kompetent myndighed, CSIRT — NIS2-loven § 12, § 13) [↗] | – |
| Estland | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Estonian supervisory and competent authority: Estonian Information System Authority (RIA) [↗] | Riigi Infosüsteemi Amet (nationell lag) [↗] |
| Finland | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Keskitetty yhteyspiste Suomessa: Liikenne- ja viestintäviraston Kyberturvallisuuskeskus (18 §) [↗] | – |
| Grekland | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Αρμόδια αρχή και υποχρέωση αναφοράς (Εθνική Αρχή Κυβερνοασφάλειας, CSIRT — Νόμος 5160/2024 άρθρο 8, 16) [↗] | CSIRT της Εθνικής Αρχής Κυβερνοασφάλειας (nationell lag) [↗] |
| Italien | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Autorità nazionale competente NIS e Punto di contatto unico in Italia: ACN (art 10) [↗] | CSIRT Italia (nationell lag) [↗] |
| Kroatien | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 30d (nationell lag) [↗] | Nadležno tijelo i obveza obavještavanja (nadležni CSIRT / CARNET — Zakon o kibernetičkoj sigurnosti čl. 4, čl. 37) [↗] | nadležni CSIRT (Sigurnosno-obavještajna agencija või CARNET) (nationell lag) [↗] |
| Lettland | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Kompetentā iestāde un ziņošanas pienākums (Nacionālais kiberdrošības centrs — NKDL 4. pants, 34. pants) [↗] | – |
| Litauen | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Kompetentinga institucija ir registravimasis (Nacionalinis kibernetinio saugumo centras — KSĮ 7 str., 11 str.) [↗] | Nacionalinis kibernetinio saugumo centras (nationell lag) [↗] |
| Luxemburg | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Autorité compétente et obligation d'enregistrement (Institut luxembourgeois de régulation — loi du 5 mai 2026, art. 3, art. 11, art. 14) [↗] | Institut luxembourgeois de régulation (ILR); pangandus- ja finantsturu-infrastruktuuris CSSF (nationell lag) [↗] |
| Malta | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Supervisory authority and notification duty (CIP Department, national CSIRT — S.L. 460.41 article 7, article 20) [↗] | national CSIRT (Malta Information Technology Agency) (nationell lag) [↗] |
| Nederländerna | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Bevoegde autoriteit, CSIRT en meldpunt (Minister van Justitie en Veiligheid als CSIRT — Cbw art. 15, 26–27, 43–44; Cbb art. 2, 25, 27) [↗] | – |
| Österrike | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Zuständige Behörde und Meldepflicht (Cybersicherheitsbehörde, sektorspezifische CSIRTs — NISG § 4, § 34) [↗] | – |
| Polen | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Właściwy CSIRT sektorowy i obowiązek zgłaszania incydentów (CSIRT sektorowy — uKSC art. 11) [↗] | – |
| Portugal | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 30wd (nationell lag) [↗] | Autoridade competente e registo (CNCS — Decreto-Lei n.º 125/2025 artigo 19.º, artigo 8.º) [↗] | CNCS (Centro Nacional de Cibersegurança) / CERT.PT (nationell lag) [↗] |
| Rumänien | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Autoritate competentă și obligația de raportare (DNSC, CSIRT național — OUG 155/2024 art. 24, art. 15) [↗] | PNRISC (nationell lag) [↗] |
| Slovakien | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Príslušný orgán a registračná povinnosť (Národný bezpečnostný úrad — zákon č. 69/2018 Z. z. § 4, § 17) [↗] | jednotný informačný systém kybernetickej bezpečnosti (nationell lag) [↗] |
| Slovenien | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Pristojni organ in obveznost priglasitve (Urad Vlade RS za informacijsko varnost, CSIRT — ZInfV-1 10. člen, 30. člen) [↗] | – |
| Sverige | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Gemensam kontaktpunkt (SPOC) i Sverige: Försvarets radioanstalt (1 kap. 17 §; förordning 2025:1507 § 23) [↗] | – |
| Tjeckien | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 30d (nationell lag) [↗] | Příslušný úřad a ohlašovací povinnost (Úřad, Národní CERT — zákon 264/2025 Sb. § 42, § 43, § 16) [↗] | Úřad (vyšší kohustusetase) / Národní CERT (madalam tase) (nationell lag) [↗] |
| Tyskland | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Competent supervisory authority in Germany: Federal Office for Information Security (BSI) [↗] | gemeinsame Meldestelle des BSI und BBK (nationell lag) [↗] |
| Ungern | 24h (nationell lag) [↗] | 72h (nationell lag) [↗] | 1mo (nationell lag) [↗] | Kiberbiztonsági hatóság és bejelentési kötelezettség (nemzeti kiberbiztonsági hatóság — 2024. évi LXIX. törvény § 23, § 8) [↗] | Nemzetbiztonsági Szakszolgálat (Központ) (nationell lag) [↗] |
Tidsfrister enligt nationell lag: Sverige
Citaten nedan är ordagrant hämtade ur landets egen rättsakt som fastställer dessa tidsfrister. Varje citat har en hänvisning till den officiella källan.
Tidig varning
senast 24 timmar efter det att verksamhetsutövaren har fått kännedom om incidenten.
En incident ska anses vara betydande om den har orsakat eller kan orsaka allvarlig driftsstörning för den erbjudna tjänsten eller ekonomisk skada för den berörda verksamhetsutövaren, eller om den har påverkat eller kan påverka andraHänvisning: cybersakerhetslag_2025_1506, 2 kap. 5 § — Visa officiell källa
Incidentanmälan
som avses i
5 § göra en incidentanmälan om den betydande incidenten så snart det kan ske. Verksamhetsutövare som tillhandahåller betrodda tjänster ska göra anmälan senast 24 timmar efter det att verksamhetsutövaren har fått kännedom om incidenten och övriga verksamhetsutövare senast 72 timmar efter sådan kännedom.Hänvisning: cybersakerhetslag_2025_1506, 2 kap. 6 § — Visa officiell källa
Slutrapport
Senast en månad efter incidentanmälan enligt 6 § ska verksamhetsutövare lämna en slutrapport till samma myndighet. Om den betydande incidenten fortfarande är pågående ska i stället en lägesrapport lämnas vid denna tidpunkt och därefter en slutrapport inom en månad efter det att incidenten har hanterats.
InformationHänvisning: cybersakerhetslag_2025_1506, 2 kap. 8 § — Visa officiell källa
Vanliga frågor
Vilka är NIS2-fristerna för incidentrapportering i Sverige?
NIS2-frister för incidentrapportering i Sverige: Tidig varning 24h; Incidentanmälan 72h; Slutrapport 1mo. Grund: cybersakerhetslag_2025_1506 2 kap. 5 §; tabellen länkar till den officiella källan.