Så vet ni om er organisation berörs av den nya cybersäkerhetslagen – och vad ni behöver ha på plats.
NIS2 är EU:s uppdaterade cybersäkerhetsdirektiv. I Sverige har direktivet genomförts genom Cybersäkerhetslagen, som trädde i kraft den 15 januari 2026.
Lagen innebär att betydligt fler organisationer än tidigare behöver arbeta mer strukturerat med cybersäkerhet, riskhantering, incidentrapportering och leverantörsstyrning. För många är den första frågan inte exakt hur kraven ska uppfyllas, utan om organisationen omfattas över huvud taget.
Det är ofta där arbetet bör börja.
Omfattas er organisation av Cybersäkerhetslagen?
Cybersäkerhetslagen gäller verksamhetsutövare inom ett antal utpekade sektorer, bland annat energi, transport, hälso- och sjukvård, bank, digital infrastruktur, offentlig förvaltning och vissa digitala tjänster.
I praktiken behöver organisationer bedöma tre saker:
- vilken sektor verksamheten tillhör
- om verksamheten når relevanta storlekskriterier
- om det finns särskilda undantag eller regler som gör att organisationen ändå omfattas
För många bolag är det här inte helt självklart. En verksamhet kan till exempel vara en viktig del av en leveranskedja, hantera kritiska tjänster eller omfattas genom sin roll i en reglerad sektor, även om den tidigare inte sett sig själv som “kritisk infrastruktur”.
Därför är en första omfattningsbedömning ofta ett klokt första steg.
Vilka krav ställer lagen?
Om organisationen omfattas behöver den kunna visa att cybersäkerhetsarbetet är systematiskt, riskbaserat och förankrat i ledningen.
Några centrala områden är:
Riskbaserad säkerhet
Organisationen behöver löpande bedöma hot, sårbarheter och konsekvenser, och införa proportionerliga tekniska och organisatoriska säkerhetsåtgärder.
Ledningens ansvar
Cybersäkerhet blir tydligare en fråga för ledning och styrelse. Ledningen behöver förstå riskerna, följa upp arbetet och säkerställa att ansvar, resurser och kompetens finns på plats.
Incidentrapportering
Betydande incidenter behöver kunna identifieras, eskaleras, dokumenteras och rapporteras inom korta tidsramar. Det kräver både processer, roller och övade arbetssätt.
Säkerhet i leverantörskedjan
Organisationen behöver ha kontroll på sina viktiga leverantörer och underleverantörer. Det kan innebära tydligare krav i avtal, bättre uppföljning och riskbaserade leverantörsbedömningar.
Policyer, rutiner och utbildning
Teknik räcker inte. Medarbetare, chefer och nyckelroller behöver förstå sitt ansvar och veta hur de ska agera i vardagen och vid incidenter.
Varför är det svårt för många organisationer?
Vi ser ofta fyra utmaningar.
Den första är att förstå om lagen gäller den egna verksamheten. Det kräver både kunskap om sektorerna och förståelse för hur verksamheten faktiskt bedrivs.
Den andra är att översätta kraven till praktiska åtgärder. Formuleringar som “lämpliga och proportionerliga säkerhetsåtgärder” behöver bli konkreta beslut, kontroller och rutiner.
Den tredje är att samordna arbetet med det som redan finns. Många organisationer har redan ISO 27001, GDPR-rutiner, incidentprocesser eller leverantörskrav. Då är det sällan klokt att bygga ett helt nytt parallellt spår för NIS2.
Den fjärde är att hålla i arbetet över tid. Efterlevnad är inte en engångsinsats. Hotbild, verksamhet, system och leverantörer förändras, och då behöver även säkerhetsarbetet följas upp och justeras.
Så kommer ni igång
Ett bra första steg är en nulägesanalys.
Den bör svara på tre frågor:
- Omfattas vi av Cybersäkerhetslagen?
- Vad har vi redan på plats?
- Vilka gap behöver prioriteras först?
Utifrån det går det att ta fram en realistisk handlingsplan, i stället för att försöka lösa allt samtidigt.
Vi hjälper organisationer med omfattningsbedömning, nulägesanalys, gap-analys och praktiskt genomförande kopplat till Cybersäkerhetslagen/NIS2. Arbetet kan också kopplas till befintliga ramverk och processer, exempelvis ISO 27001, GDPR, incidenthantering, kontinuitet och leverantörsstyrning.
Läs mer om hur vi arbetar med NIS2 och Cybersäkerhetslagen eller kontakta oss för ett första samtal.
Hur det kan se ut i praktiken? Bland våra referenscase finns bland annat en implementering av ISO 27001 (LIS) och projektledning av en DORA-implementering.
Vanliga frågor om NIS2 och Cybersäkerhetslagen
Lagen gäller för ‘väsentliga’ och ‘viktiga’ verksamhetsutövare inom cirka 18 sektorer – bland annat energi, transport, bank och finansmarknadsinfrastruktur, hälso- och sjukvård, dricks- och avloppsvatten, digital infrastruktur, förvaltning av IKT-tjänster, offentlig förvaltning, post, avfall, kemikalier, livsmedel, tillverkning, digitala leverantörer och forskning. Som regel omfattas medelstora och större organisationer (från 50 anställda, eller mer än 10 miljoner euro i årsomsättning eller balansomslutning), men vissa verksamheter omfattas oavsett storlek. Eftersom roll i leveranskedjan och sektorsspecifika regler kan dra in er även om ni aldrig sett er som ‘samhällskritiska’ är en kort avgränsningsanalys oftast rätt första steg.
Cybersäkerhet blir ett uttryckligt ledningsansvar. Ledningen förväntas godkänna riskhanteringsåtgärderna, följa upp arbetet och genomgå utbildning så att den kan förstå och utmana cyberrisk – och ledningen kan hållas ansvarig. I praktiken innebär det tydligt ägarskap som rapporterar till styrelsen, dokumenterade beslut och att cyberrisk hanteras som en strategisk verksamhetsrisk, inte bara en IT-fråga.
Arbetet ska vara systematiskt och riskbaserat. NIS2 sätter en grundnivå som verksamheter i tillämpningsområdet måste ha på plats, bland annat: riskanalys och informationssäkerhetspolicy; incidenthantering; kontinuitet, säkerhetskopiering och krishantering; säkerhet i leveranskedjan; säkerhet vid anskaffning, utveckling och underhåll (inklusive sårbarhetshantering och -rapportering); rutiner för att utvärdera om åtgärderna fungerar; grundläggande cyberhygien och utbildning; kryptografi och kryptering; personalsäkerhet, åtkomststyrning och tillgångshantering; samt flerfaktorsautentisering och säker kommunikation. Åtgärderna ska vara ‘lämpliga och proportionella’ i förhållande till er risk.
Betydande incidenter följer en tidslinje i tre steg: en tidig förvarning inom 24 timmar från kännedom, en fylligare anmälan inom 72 timmar och en slutrapport inom en månad. I Sverige går rapporterna till berörd tillsynsmyndighet/CSIRT, och verksamheter i tillämpningsområdet ska även registrera sig hos sin myndighet. För att klara tidsgränserna krävs en beprövad process för att identifiera, eskalera, dokumentera och rapportera incidenter – beslutad i förväg, inte improviserad mitt i en kris.
Ett välfungerande ledningssystem enligt ISO 27001 är en stark grund – det ger styrning, riskhantering och kontroller som täcker mycket av det lagen förväntar sig. Men det räcker inte automatiskt: lagen lägger till specifika rättsliga skyldigheter som incidentrapportering till myndighet inom fastställda tider, registrering, obligatorisk ledningsutbildning och ansvar, samt sektorsspecifika krav. Den effektiva vägen är att bygga ut ert befintliga ledningssystem så att det täcker gapen, snarare än att skapa ett separat NIS2-spår.
Lagen backas upp av tillsyn och sanktionsavgifter, och ansvaret når ledningen. För en väsentlig verksamhetsutövare kan avgiften uppgå till det högsta av 2 procent av den totala globala årsomsättningen eller ett belopp i kronor motsvarande 10 miljoner euro; för en viktig verksamhetsutövare det högsta av 1,4 procent eller motsvarande 7 miljoner euro. För offentliga verksamhetsutövare gäller ett särskilt tak på 10 miljoner kronor, och lägsta avgift är 5 000 kronor. Utöver avgifter kan tillsynsmyndigheten besluta om bindande förelägganden – och de verksamhetsmässiga och anseendemässiga kostnaderna av en allvarlig incident överstiger ofta själva avgiften.