På den här sidan
- 01
Ta reda på om ni omfattas
Kolla er sektor mot de 18 sektorerna i cybersäkerhetslagen och er storlek (medelstor/stor). Osäkra? Gör vårt 1-minuters självtest för en snabb indikation.
Klart när: ni har ett dokumenterat beslut om ni omfattas, och i så fall som väsentlig eller viktig. Koncernbolag och partnerföretag ska räknas med i storleken.
- 02
Anmäl verksamheten
Väsentliga och viktiga verksamhetsutövare ska anmäla sig till Nationellt cybersäkerhetscenter (NCSC), senast 14 dagar efter att skyldigheten uppstår. Anmälan skickas krypterat till nis2anmalan@ncsc.se, och NCSC bekräftar mottagandet inom två arbetsdagar.
Klart när: anmälan är skickad och NCSC:s bekräftelse sparad.
- 03
Förankra ansvaret hos ledningen
Styrelsen ska godkänna riskhanteringsåtgärderna och gå utbildning i cybersäkerhet - och kan hållas personligen ansvarig vid grov underlåtenhet. Börja där, inte i IT-avdelningen.
Klart när: styrelsens beslut om riskhanteringsåtgärderna finns i protokoll och ledningen har gått utbildning.
- 04
Gör en gapanalys
Mappa ert nuläge mot artikel 21:s tio krav (nästa steg) för att se var de största luckorna finns, innan ni lägger tid på fel saker.
Klart när: ni har en lista över luckorna per krav, prioriterad efter risk.
- 05
Inför de tio grundläggande säkerhetsåtgärderna
Riskanalys och policyer, incidenthantering, kontinuitetsplanering, säkerhet i leveranskedjan, säkerhet i systemutveckling och -underhåll, effektutvärdering, cyberhygien och utbildning, kryptering, personalsäkerhet och åtkomstkontroll, samt flerfaktorsautentisering.
Klart när: varje åtgärd har en ägare, en dokumenterad nivå och ett datum för uppföljning.
- 06
Sätt upp rutiner för incidentrapportering
Tre tidsfrister att kunna hålla: tidig varning inom 24 timmar, formell anmälan inom 72 timmar, slutrapport inom en månad. Bygg rutinen innan ni behöver den, inte under en pågående incident.
Klart när: det finns en skriftlig rutin med kontaktvägar och mallar, och den har övats minst en gång.
- 07
Granska leveranskedjan
Era leverantörer och underleverantörer ska hålla en rimlig säkerhetsnivå - ni är ansvariga för att ha koll på det, inte bara på er egen miljö.
Klart när: ni har en lista över kritiska leverantörer och vilka säkerhetskrav avtalen ställer.
- 08
Utbilda personalen löpande
Cybersäkerhetsutbildning är ett återkommande krav, inte en engångsinsats - både för ledningen och för medarbetare i allmänhet.
Klart när: det finns en utbildningsplan och sparade bevis på genomförd utbildning.
- 09
Dokumentera allt
Ni ska kunna visa upp riskanalys, policyer, utbildningsbevis och incidentloggar vid tillsyn - inte bara ha gjort jobbet, utan kunna bevisa det.
Klart när: dokumenten finns samlade på ett ställe och går att ta fram vid en tillsyn.
- 10
Håll det levande
Cybersäkerhetslagen är ny och myndighetsstrukturen har redan ändrats en gång sedan ikraftträdandet. Boka in en återkommande avstämning, inte en engångsgenomgång.
Klart när: det finns en årsplan med datum för nästa genomgång.
Checklista för riskanalys
Riskanalysen är grunden för de flesta andra krav. Den behöver inte vara krånglig, men den ska vara dokumenterad och återkommande.
- Kartlägg vilka system, tjänster och vilken information verksamheten är beroende av.
- Identifiera hot mot dem, till exempel intrång, avbrott, misstag och leverantörsproblem.
- Bedöm sannolikhet och konsekvens för varje hot.
- Notera vilka skydd som redan finns och hur väl de fungerar.
- Besluta om åtgärder, med en ansvarig och ett datum för varje.
- Gör om analysen regelbundet och när verksamheten eller hotbilden förändras.
Vanliga frågor
Gäller checklistan oss om vi inte omfattas av lagen själva?
Inte direkt. Men om era kunder omfattas kan de ställa motsvarande krav på er som leverantör, så stegen om riskanalys, incidentrutiner och dokumentation blir ofta relevanta ändå. Läs mer i guiden om NIS2-krav på leverantörer.
Hur vet vi vilken sektor vi tillhör?
Jämför er verksamhet med de 18 sektorerna i cybersäkerhetslagen. Tänk på att storleken avgör tillsammans med sektorn, och att regioner, kommuner och kommunalförbund omfattas oavsett storlek. Se guiden om vilka sektorer som omfattas.
Vad är skillnaden mellan NIS2 och cybersäkerhetslagen?
NIS2 är EU-direktivet. Cybersäkerhetslagen är den svenska lag som genomför det och som gäller sedan 15 januari 2026. Det är lagen ni ska följa.
Gör det digitalt istället?
Den här checklistan går att göra i Excel och mejl - eller i en plattform som håller koll på tidsfrister, dokumentation och status åt er automatiskt.