Cybersäkerhetslagen (NIS2): vad den kräver av er

01

NIS2-direktivet vs. cybersäkerhetslagen

NIS2 (EU 2022/2555) är EU:s reviderade cybersäkerhetsdirektiv. Ett EU-direktiv blir inte automatiskt svensk lag - varje medlemsland måste genomföra det i egen lagstiftning. I Sverige heter den lagen cybersäkerhetslagen (SFS 2025:1506). Den kompletteras av cybersäkerhetsförordningen (SFS 2025:1507) och gäller sedan den 15 januari 2026.

02

Vilka omfattas?

Lagen gäller medelstora och stora verksamheter i 18 sektorer, uppdelade i väsentliga och viktiga verksamhetsutövare, och vissa verksamheter omfattas oavsett storlek. Det är verksamheten själv som ska bedöma om lagen gäller och anmäla sig till tillsynsmyndigheten.

03

Vad kräver lagen?

Kraven går att samla i fem områden:

• Systematiskt och riskbaserat informationssäkerhetsarbete, med riskhanteringsåtgärder som står i proportion till riskerna.
• Incidentrapportering i tre steg: tidig varning inom 24 timmar, incidentanmälan inom 72 timmar och slutrapport inom en månad.
• Säkerhet i leveranskedjan, det vill säga krav på och uppföljning av leverantörer.
• Kontinuitetsplanering, så att verksamheten kan fortsätta eller återställas efter en incident.
• Utbildning: ledningen ska utbildas och övrig personal ska erbjudas utbildning.

04

Kommuner och regioner

Offentlig förvaltning är en av sektorerna, och i Sverige omfattas inte bara statliga myndigheter utan även kommuner och regioner. Undantag finns bland annat för regeringen, domstolarna, Riksbanken samt kommun- och regionfullmäktige. Några saker skiljer sig från privata verksamheter:

• Lagen gäller kommunen eller regionen som helhet, inte förvaltning för förvaltning. Kommunala bolag, till exempel VA- eller energibolag, kan dessutom omfattas på egen hand inom sin sektor.
• Det som lagen kallar ledningen är i kommunen kommunstyrelsen (i regionen regionstyrelsen). Det är den som ska godkänna riskhanteringsåtgärderna och genomgå utbildning.
• Tillsynen över kommuner och regioner ligger hos sex länsstyrelser med var sitt geografiskt område.
• Sanktionsavgiften för offentliga verksamhetsutövare är högst 10 miljoner kronor.

05

Ledningens ansvar

Cybersäkerhetslagen lägger ansvaret uttryckligen på ledningen - i ett bolag oftast styrelse och vd. Ledningen ska godkänna riskhanteringsåtgärderna, se till att de genomförs och själv genomgå utbildning i riskhantering. Det praktiska arbetet kan delegeras, men inte ansvaret. Hos väsentliga verksamhetsutövare kan en person i ledningen vid allvarliga överträdelser tillfälligt förbjudas att utöva ledningsfunktion. Dokumentera därför ledningens beslut och genomförda utbildningar - det är det ni visar upp vid en tillsyn.

06

Tillsyn per sektor

Nationellt cybersäkerhetscenter (NCSC) vid Försvarets radioanstalt har sedan den 1 juli 2026 det nationella ansvaret (tidigare MSB, därefter Myndigheten för civilt försvar), och incidentrapporter tas emot av CERT-SE. Själva tillsynen är fördelad på sektorsmyndigheter enligt cybersäkerhetsförordningen:

• Energimyndigheten - energi.
• Transportstyrelsen - transporter samt tillverkning av motorfordon och andra transportmedel.
• Finansinspektionen - bankverksamhet och finansmarknadsinfrastruktur.
• Inspektionen för vård och omsorg (IVO) - vårdgivare.
• Läkemedelsverket - övrig hälso- och sjukvård samt medicintekniska produkter.
• Livsmedelsverket - dricksvatten, avloppsvatten och livsmedel.
• Post- och telestyrelsen (PTS) - digital infrastruktur, förvaltning av IKT-tjänster, digitala leverantörer, post- och budtjänster samt rymden.
• Länsstyrelserna i Norrbotten, Stockholm, Skåne, Västra Götaland, Örebro och Östergötland - bland annat kommuner och regioner.

07

Sanktionsavgifter

Tillsynsmyndigheten kan förelägga en verksamhet att rätta till brister och ta ut sanktionsavgift vid överträdelser. Avgiften är lägst 5 000 kronor och högst:

• Väsentliga privata verksamhetsutövare: det högsta av 2 procent av den globala årsomsättningen och 10 miljoner euro.
• Viktiga privata verksamhetsutövare: det högsta av 1,4 procent av den globala årsomsättningen och 7 miljoner euro.
• Offentliga verksamhetsutövare, till exempel kommuner och regioner: 10 miljoner kronor.

08

Cybersäkerhetslagen och GDPR

Många incidenter som ska rapporteras enligt cybersäkerhetslagen är samtidigt personuppgiftsincidenter enligt GDPR. Då gäller två rapporteringskedjor parallellt: till CERT-SE enligt cybersäkerhetslagen och till Integritetsskyddsmyndigheten (IMY) enligt GDPR. Riskarbetet går däremot ofta att göra en gång för båda.