NIS2 anmälan – så anmäler ni verksamheten till NCSC

Den här guiden handlar om NIS2 anmälan: den skyldighet som varje verksamhetsutövare enligt cybersäkerhetslagen har att anmäla sin verksamhet. Vi går igenom vem som ska anmäla sig, till vem, när det ska ske, vad anmälan ska innehålla och hur ni gör i praktiken. Guiden riktar sig till VD, IT-chef och ekonomiansvarig i företag och offentlig verksamhet, inte till jurister.

Anmälan är inte detsamma som att rapportera en incident. Den gäller att myndigheterna ska veta att ni finns och vad ni bedriver för verksamhet. Incidentrapportering är en separat skyldighet som vi bara nämner kort här.

Vad innebär anmälningsskyldigheten?

Cybersäkerhetslagen (2025:1506) trädde i kraft den 15 januari 2026 och genomför NIS2-direktivet i Sverige. Enligt 2 kap. 2 § ska verksamhetsutövare så snart det kan ske anmäla sig till den myndighet som regeringen bestämmer.

Lagen anger alltså ingen fast sista dag i datum. Kravet är att anmälan sker så snart det kan ske. Myndigheten som tar emot anmälningarna skriver på sin webbplats att den som inte har anmält sig inom 14 dagar kan få tillsynsmyndigheterna att vidta åtgärder. Läs det som en tydlig signal om att det inte är något att vänta med.

Anmälan gäller även om ni är osäkra på detaljer i bedömningen. Verksamheterna ska själva avgöra om de omfattas. Nationellt cybersäkerhetscenter (NCSC) gör inte den bedömningen åt er och inte heller hur verksamheten ska klassificeras avseende sektor eller typ av verksamhet.

Vem ska anmäla sig?

Alla verksamhetsutövare som omfattas av cybersäkerhetslagen ska anmäla sig, oavsett sektor. Det gäller även kommuner och regioner.

Lagen gäller i huvudsak för:

• verksamhetsutövare i de sektorer som finns i bilaga 1 och 2 till NIS2-direktivet, som är etablerade i Sverige och som storleksmässigt motsvarar eller är större än ett medelstort företag (1 kap. 4 §),
• regioner, kommuner, kommunalförbund och vissa statliga myndigheter (1 kap. 3 §),
• vissa verksamhetsutövare oavsett storlek, till exempel den som är enda leverantör av en tjänst som är väsentlig för kritisk samhällelig eller ekonomisk verksamhet, eller som tillhandahåller betrodda tjänster (1 kap. 5 §),
• leverantörer av allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster i Sverige (1 kap. 6 §).

Det finns fler regler och undantag, bland annat för partnerföretag och anknutna företag samt för företag utan etablering i EES som erbjuder tjänster i Sverige (de ska utse en företrädare, 2 kap. 1 §). Vilka sektorer som omfattas beskriver vi i guiden Vilka sektorer omfattas av NIS2?. Att bedöma om ni omfattas är första steget, innan ni anmäler er.

Till vem ska anmälan göras?

Enligt cybersäkerhetsförordningen (2025:1507) 5 § ska anmälan göras till den gemensamma kontaktpunkten. Försvarets radioanstalt (FRA) är gemensam kontaktpunkt enligt 23 §. NCSC är en del av FRA.

Cyberverksamheten vid Myndigheten för civilt försvar (MCF) flyttade den 1 juli 2026 till Nationellt cybersäkerhetscenter (NCSC) vid FRA. På NCSC:s webbplats står att anmälningar tas emot av NCSC från och med den 1 juli. Anmälningsformuläret skickas via e-post till den adress som anges på sidan Att anmäla en verksamhet enligt cybersäkerhetslagen. Kontrollera adressen där innan ni skickar, eftersom rutinerna kan ändras.

Anmälan ska inte skickas till tillsynsmyndigheten. Tillsynsmyndigheten är den myndighet som kontrollerar att ni följer lagen och den bestäms av vilken sektor ni verkar i. Exempelvis är Transportstyrelsen tillsynsmyndighet för transportsektorn och Post- och telestyrelsen för digital infrastruktur och digitala leverantörer (7 § i förordningen).

Vad ska anmälan innehålla?

Innehållet regleras i MCF:s föreskrift MCFFS 2026:1, som gäller från den 2 februari 2026 (2 kap. 1–2 §§). Anmälan ska innehålla:

Formuläret ber dessutom om kontaktuppgifter till den som anmäler. Uppgifterna ska lämnas på det sätt och via de kontaktvägar som myndigheten anvisar (2 kap. 3 §).

Så gör ni steg för steg

1. Bedöm om ni omfattas. Utgå från sektor, storlek och de särskilda kriterierna. Använd myndighetens vägledning om anmälan och identifiering, och vårt självtest som första orientering.
2. Avgör om ni är väsentliga eller viktiga. Bedömningen finns med i anmälan och påverkar bland annat sanktionsnivån. Se avsnittet om sanktioner nedan.
3. Samla uppgifterna. Organisationsnummer, kontaktuppgifter, sektorer, typ av verksamhet samt ip-adresser och domännamn. IT-avdelningen eller er driftleverantör har oftast listan över de senare.
4. Utse en ansvarig kontaktperson. Någon som kan svara på frågor från myndigheten och som ser till att ändringar anmäls.
5. Fyll i anmälningsformuläret och skicka in det. Ett e-postmeddelande per verksamhetsutövare, enligt NCSC:s instruktioner. Tänk på att e-posten tas emot bara om den är krypterad under överföringen (TLS).
6. Spara kvittensen. NCSC skriver att en bekräftelse skickas inom två arbetsdagar efter att anmälan behandlats. Har ni inte fått någon bör ni utgå från att anmälan inte har kommit fram och kontakta NCSC.
7. Anmäl ändringar. Har det som redovisats i anmälan ändrats ska ni anmäla förändringen så snart det kan ske, dock senast 14 dagar efter att förändringen ägde rum (2 kap. 2 § andra stycket). Ändringar, kompletteringar och avanmälan görs via den e-postadress som NCSC anger.

Vad händer om ni inte anmäler er?

En tillsynsmyndighet ska ingripa om en verksamhetsutövare har åsidosatt sina skyldigheter enligt 2 kap. 1–10 §§ (4 kap. 1 §). Anmälningsskyldigheten finns i 2 kap. 2 §. Ett ingripande kan ske genom föreläggande, ansökan om förbud att inneha ledningsfunktion, sanktionsavgift eller anmärkning.

Sanktionsavgiften är lägst 5 000 kronor. Högsta nivå beror på vem ni är (4 kap. 10 §):

Det är takbelopp, inte vad en uteblivd anmälan i sig kostar. Hur tillsynsmyndigheterna kommer att bedöma bristande anmälan i praktiken kan vi inte säga, eftersom det beror på myndigheternas tillsyn.

Vissa verksamhetsutövare, bland annat leverantörer av allmänna elektroniska kommunikationsnät och -tjänster, kan dessutom få betala en avgift för handläggningen av anmälan (3 kap. 11 §).

Vanliga frågor

Måste alla företag göra en NIS2 anmälan?

Nej, bara de verksamhetsutövare som omfattas av cybersäkerhetslagen. Men de som omfattas ska anmäla sig oavsett sektor. Omfattas ni inte behöver ni inte anmäla er, men det kan ändå vara värt att dokumentera hur ni kom fram till bedömningen.

Vem ska göra anmälan till NCSC?

Själva verksamhetsutövaren ansvarar för att anmälan görs. I praktiken utser många en person inom IT, säkerhet eller ledning som sköter den. Har ni flera juridiska personer i en koncern anmäler varje verksamhetsutövare sig, med ett e-postmeddelande per anmälan.

Finns det en sista dag för att anmäla sig enligt NIS2?

Lagen säger "så snart det kan ske" och anger inget datum. Myndigheten skriver att tillsynsmyndigheterna kan komma att vidta åtgärder om anmälan inte kommit in inom 14 dagar. Ändringar i anmälan ska göras senast 14 dagar efter att de ägde rum.

Kostar det något att anmäla sig?

Lagen nämner en avgift för handläggningen av anmälan endast för leverantörer av allmänna elektroniska kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster (3 kap. 11 §). För andra verksamhetsutövare nämner lagen ingen sådan avgift.

Hjälp på vägen

Om ni vill få ordning på bedömningen av om ni omfattas och på vilka uppgifter som behövs kan Nisenta hjälpa till att samla underlaget. Börja annars med vår checklista för NIS2.

Källor

• Cybersäkerhetslag (2025:1506), Sveriges riksdag
• Cybersäkerhetsförordning (2025:1507), Sveriges riksdag
• MCFFS 2026:1 Föreskrifter om anmälan och identifiering av väsentliga och viktiga verksamhetsutövare, MCF
• Att anmäla en verksamhet enligt cybersäkerhetslagen, NCSC
• Direktiv (EU) 2022/2555 (NIS2), EUR-Lex