NIS2 och cybersäkerhetslagen: vem omfattas och vad ska ni göra nu?

Sedan den 15 januari 2026 gäller cybersäkerhetslagen (2025:1506) i Sverige. Lagen genomför EU:s NIS2-direktiv och ersätter den tidigare NIS-lagen från 2018. Den omfattar betydligt fler verksamheter än tidigare – antalet sektorer har ökat från 7 till 18 – och ställer skarpare krav på riskhantering, incidentrapportering och ledningens ansvar.

Samtidigt har mycket hänt under året. Ansvaret för stöd och anmälningar har flyttat från Myndigheten för civilt försvar (MCF) till Nationellt cybersäkerhetscenter (NCSC) vid FRA, och den 1 oktober 2026 trädde föreskrifterna om säkerhetsåtgärder i kraft. Här är en genomgång av vad som gäller i dag och vad ni bör göra – oavsett om ni omfattas direkt eller påverkas som leverantör.

Vem omfattas av cybersäkerhetslagen?

Det finns ingen lista över vilka företag som omfattas. Varje verksamhet måste själv bedöma om den träffas av lagen. NCSC gör inte den bedömningen åt er, men har publicerat vägledning och en checklista som stöd.

För privata företag är huvudregeln att ni omfattas om ni uppfyller alla tre kriterierna:

1. Ni bedriver verksamhet i en sektor som räknas upp i bilaga 1 eller 2 till NIS2-direktivet.
2. Ni är etablerade i Sverige.
3. Ni är minst ett medelstort företag enligt EU:s definition – i praktiken minst 50 anställda, eller både en årsomsättning och en balansomslutning som överstiger 10 miljoner euro.

De 18 sektorerna

Notera särskilt förvaltning av IKT-tjänster. Den som driver eller förvaltar IT åt andra företag – till exempel en managed service provider eller leverantör av säkerhetstjänster – kan omfattas, även om kunderna själva inte gör det.

Vissa verksamheter omfattas oavsett storlek, bland annat leverantörer av betrodda tjänster, toppdomänregister och DNS-tjänster, liksom en verksamhet som är ensam leverantör i Sverige av en tjänst som är avgörande för samhället. Även statliga myndigheter, regioner och kommuner omfattas.

För banker och finansmarknadsinfrastruktur går EU:s DORA-förordning före när det gäller riskhantering och incidentrapportering, enligt Finansinspektionen. De ska ändå anmäla sig enligt cybersäkerhetslagen.

Väsentliga och viktiga verksamhetsutövare

Lagen delar in verksamheterna i två grupper. Väsentliga verksamhetsutövare är bland annat stora företag i sektorerna i bilaga 1, statliga myndigheter, regioner och kommuner. Alla andra som omfattas är viktiga verksamhetsutövare. Kraven är i stort sett desamma, men skillnaden märks i tillsynen och sanktionerna: väsentliga verksamheter kan granskas löpande, medan tillsynsmyndigheten ingriper mot viktiga verksamheter först när det finns skäl att anta att de inte följer lagen.

Om ni inte omfattas – påverkas ni ändå

Det här är den del som berör flest svenska småföretag. Säkerhet i leverantörskedjan är ett av de uttryckliga kraven i lagen. Det betyder att kunder som omfattas måste ställa krav på sina leverantörer. NCSC skriver i sina frågor och svar att leverantörer inte omfattas av lagen i egen rätt, men att kunderna kan ställa krav i linje med den.

Levererar ni IT-tjänster, mjukvara, komponenter eller drift till en kommun, ett energibolag eller en livsmedelsproducent kan ni alltså räkna med frågor om er säkerhet i nästa upphandling eller avtalsförlängning.

Vad kräver lagen?

1. Anmälan till tillsynsmyndighet

Den som omfattas ska anmäla sig ”så snart det kan ske”. Möjligheten att anmäla öppnade den 2 februari 2026. Sedan den 1 juli 2026 tar NCSC emot anmälningarna via en blankett som skickas till [email protected] – läs NCSC:s instruktioner noga, bland annat måste e-posten skickas krypterad med TLS. Ändringar i de anmälda uppgifterna ska meddelas inom 14 dagar.

Har ni inte anmält er ännu är rådet enkelt: gör det nu. Enligt NCSC leder en sen anmälan inte automatiskt till tillsyn eller sanktioner, men ju längre ni väntar desto svårare blir det att förklara. Är ni osäkra rekommenderar NCSC att ni dokumenterar er bedömning och anmäler er om ni lutar åt att ni omfattas.

2. Säkerhetsåtgärder

Lagen kräver ”lämpliga och proportionerliga” åtgärder för att hantera risker, med ett så kallat allriskperspektiv – det vill säga att även fysiska händelser som brand och strömavbrott räknas. Åtgärderna ska minst omfatta:

• riskanalys och säkerhetsstrategier för informationssystem,
• incidenthantering,
• kontinuitet och krishantering, till exempel säkerhetskopiering,
• säkerhet i leverantörskedjan,
• säkerhet vid förvärv, utveckling och underhåll av system, inklusive hantering av sårbarheter,
• bedömning av om åtgärderna är effektiva,
• grundläggande cyberhygien och utbildning,
• kryptografi och kryptering,
• personalsäkerhet, åtkomstkontroll och hantering av tillgångar,
• vid behov flerfaktorsautentisering och säkrade kommunikationer.

Sedan den 1 oktober 2026 finns detaljerade krav i föreskrifterna MCFFS 2026:11. De kräver ett systematiskt och riskbaserat arbetssätt: ni ska värdera er information, bedöma riskerna och införa organisatoriska, tekniska och fysiska åtgärder som når upp till en lägstanivå. En mer omfattande vägledning från NCSC väntas runt årsskiftet 2026/2027.

3. Ledningens ansvar och utbildning

Ledningen kan inte delegera bort frågan. Personer i ledningen ska genomgå utbildning om säkerhetsåtgärder, och enligt föreskrifterna ska ledningen sätta mål, bedöma vilka åtgärder som behövs och följa upp att de genomförs. Det finns inget fast antal timmar – NCSC betonar att utbildningen ska anpassas efter verksamheten och vara återkommande.

4. Incidentrapportering

En betydande incident – en som orsakar eller kan orsaka allvarliga driftstörningar, ekonomisk förlust eller betydande skada för andra – ska rapporteras till NCSC i tre steg:

Rapporten lämnas via incidentrapporteringen i NCSC:s cyberportal. Ni ska också informera era egna kunder om betydande incidenter som kan påverka dem. Behöver ni akut hjälp under en pågående incident kan ni nå CERT-SE dygnet runt.

24 timmar är kort tid om ingen vet vem som ska göra vad. Den som inte har en incidentrutin på plats i förväg kommer att ha svårt att hinna.

Sanktioner

Tillsynsmyndigheten kan meddela anmärkning, förelägganden och sanktionsavgifter. Avgiften kan som högst bli:

• Väsentliga verksamhetsutövare: det högsta av 2 procent av den globala årsomsättningen eller motsvarande 10 miljoner euro.
• Viktiga verksamhetsutövare: det högsta av 1,4 procent av årsomsättningen eller motsvarande 7 miljoner euro.

Vid allvarliga överträdelser i en väsentlig verksamhet kan en person i ledningen dessutom, efter beslut av domstol, förbjudas att ha en ledande befattning i ett till tre år. NCSC understryker att valet av åtgärd görs från fall till fall och att en incident i sig inte automatiskt leder till en avgift – det som bedöms är om ni har gjort det lagen kräver.

Tidslinje

Vad ska ni göra nu? Åtta steg

1. Gör och dokumentera bedömningen. Gå igenom sektorer, storlek och koncernstruktur. Spara underlaget – det är det första en tillsynsmyndighet frågar efter.
2. Anmäl er om ni omfattas, en anmälan per organisationsnummer.
3. Utse en ansvarig och boka in ledningens utbildning. Lägg cybersäkerhet som en stående punkt på ledningsgruppens möten.
4. Gör en riskanalys och en gap-analys mot lagens krav och föreskrifterna. Många använder ISO/IEC 27001 som ramverk eftersom kraven överlappar i hög grad.
5. Skriv en incidentrutin som klarar 24 och 72 timmar: vem bedömer, vem rapporterar, vem informerar kunder – och vem ersätter dem under semestern.
6. Kartlägg leverantörerna. Vilka har åtkomst till era system och data? Vilka krav har ni ställt i avtalen?
7. Säkra grunderna. Uppdaterade system, flerfaktorsinloggning, testade säkerhetskopior och skydd av e-postdomänen med SPF, DKIM och DMARC. Mycket av det som ger störst effekt kostar lite.
8. Testa att det fungerar. Lagen kräver att ni bedömer om åtgärderna är effektiva. Externa skanningar, säkerhetsgranskningar och penetrationstester ger konkreta bevis att visa upp.

Så kan vi hjälpa till

Secvra hjälper små och medelstora företag att bedöma om de omfattas, ta fram en gap-analys mot NIS2 och ISO 27001 och genomföra en realistisk handlingsplan. Med löpande övervakning får ni dessutom kontinuerliga belägg för att era externa system är skyddade. Se våra fasta priser, börja med en gratis säkerhetsskanning eller boka ett samtal så går vi igenom er situation.

Den här artikeln är en översikt och ersätter inte juridisk rådgivning. Kontrollera alltid aktuella föreskrifter och vägledningar hos NCSC och er tillsynsmyndighet.

Källor

• Riksdagen: Cybersäkerhetslag (2025:1506)
• NCSC: Att anmäla en verksamhet, Frågor och svar om cybersäkerhetslagen, Föreskrifter om säkerhetsåtgärder träder i kraft och Rapportera en betydande incident
• Länsstyrelsen: Skärpta krav på verksamhetsutövare när ny cybersäkerhetslag börjar gälla
• Finansinspektionen: Det här gäller för nya cybersäkerhetslagen
• EUR-Lex: NIS2-direktivet (EU) 2022/2555