NIS2 och cybersäkerhetslagen
Vad EU-direktivet NIS2 faktiskt betyder i Sverige - och vad den svenska cybersäkerhetslagen kräver av er.
NIS2-direktivet vs. cybersäkerhetslagen
NIS2 (EU 2022/2555) är EU:s reviderade cybersäkerhetsdirektiv. Ett EU-direktiv blir inte automatiskt svensk lag - varje medlemsland måste implementera det i egen lagstiftning. I Sverige heter den lagen cybersäkerhetslagen, och den trädde i kraft den 15 januari 2026.
Vem är tillsynsmyndighet?
Ansvaret har flyttats: cybersäkerhetslagen förvaltades ursprungligen av Myndigheten för samhällsskydd och beredskap (MSB), som omorganiserades till Myndigheten för civilt försvar (MCF). Sedan den 1 juli 2026 ligger det nationella cybersäkerhetsansvaret hos Nationellt cybersäkerhetscenter (NCSC), en del av Försvarets radioanstalt (FRA). Vissa sektorer har egna tillsynsmyndigheter, t.ex. Post- och telestyrelsen (PTS) för telekom och Transportstyrelsen för transport.
Vilka sektorer omfattas?
Lagen delar in verksamheter i väsentliga och viktiga sektorer - bland annat energi, transport, bank och finans, hälso- och sjukvård, dricksvatten, digital infrastruktur, offentlig förvaltning, rymd, post och kurirtjänster, avfallshantering, kemikalier, livsmedel och viss tillverkning. I regel omfattas medelstora och stora organisationer (50+ anställda eller 10+ miljoner euro i omsättning), men mindre leverantörer kan omfattas indirekt genom krav från sina kunder i leveranskedjan.
Vad kräver lagen?
Riskhanteringsåtgärder för nätverks- och informationssäkerhet, incidentrapportering inom tre tidsfrister (tidig varning inom 24 timmar, formell anmälan inom 72 timmar, slutrapport inom en månad), säkerhet i leveranskedjan, kontinuitetsplanering och regelbunden utbildning av personal och ledning.
Vem bär ansvaret?
Det yttersta ansvaret ligger hos ledningen och styrelsen. De ska godkänna riskhanteringsåtgärderna och gå utbildning, och kan vid grov underlåtenhet hållas personligen ansvariga. Det praktiska arbetet bör delegeras och dokumenteras internt.
Den här sidan är en översiktlig sammanfattning, inte juridisk rådgivning. Kontakta oss eller en jurist för en bedömning av er specifika situation.