Publicerad
Sammanfattning: ISO 27001 och cybersäkerhetslagen (NIS2) bygger på samma idé: ett systematiskt, riskbaserat säkerhetsarbete som ledningen äger. Vår erfarenhet är att ett fungerande ledningssystem enligt ISO 27001 ger cirka 80 procent av den styrnings- och säkerhetsstruktur som lagen kräver. Men lagen innehåller också egna skyldigheter som behöver hanteras särskilt: anmälan, incidentrapportering till myndighet inom fasta tider, ledningens utbildning och ansvar, och angivna säkerhetsområden som arbetet åtminstone ska omfatta.
Två olika sorters krav
ISO 27001 är en frivillig standard. Ni väljer omfattningen av ledningssystemet och bestämmer genom riskbehandlingen vilka säkerhetskontroller som är nödvändiga. Resultatet jämförs med bilaga A:s 93 referenskontroller, och ni dokumenterar kontrollvalen och relevanta exkluderingar i ett Statement of Applicability. Vid ackrediterad certifiering granskar ett certifieringsorgan att ledningssystemet fungerar, normalt i en treårig certifieringscykel med återkommande uppföljningsrevisioner och omcertifiering.
Cybersäkerhetslagen (2025:1506) är lag och gäller sedan den 15 januari 2026 för väsentliga och viktiga verksamhetsutövare i de sektorer lagen räknar upp. Den kräver ingen certifiering. Den kräver att vissa saker finns på plats och att ni kan visa det för en tillsynsmyndighet. Sedan den 1 oktober 2026 gäller även MCFFS 2026:11, som preciserar kraven på säkerhetsåtgärder och ledningens utbildning.
Skillnaden avgör hur överlappet ska läsas. ISO 27001 frågar om ert arbete är systematiskt. Lagen frågar om ni gör det den räknar upp.
Var de överlappar
Kraven överlappar till stor del. I ett fungerande ledningssystem enligt ISO 27001 finns normalt redan:
- riskanalys och riskbehandling som styr vilka åtgärder som behövs,
- informationssäkerhetspolicy och styrdokument som ledningen har fastställt,
- incidenthantering med roller, rutiner och lärande efteråt,
- kontinuitet och säkerhetskopiering,
- leverantörs- och molnsäkerhet,
- åtkomststyrning, tillgångshantering och personalsäkerhet,
- internrevision och ledningens genomgång som visar att arbetet följs upp.
Det är också det lagen bygger på. Säkerhetsåtgärderna ska vara riskbaserade och ”lämpliga och proportionella”, och ett ledningssystem är det naturliga stället för dem.
Vad lagen lägger till
Det lagen lägger till är inte mindre viktigt än det som överlappar. Det är där lagen är konkret, och därför där en tillsynsmyndighet börjar titta.
| Område | ISO 27001 | Cybersäkerhetslagen (NIS2) |
|---|---|---|
| Omfattning | Ni väljer omfattningen av ledningssystemet. | Gäller verksamheten och de nätverks- och informationssystem den använder för sina tjänster. |
| Säkerhetsåtgärder | Nödvändiga kontroller ur riskbehandlingen, jämförda med bilaga A och dokumenterade i Statement of Applicability. | Säkerhetsarbetet ska åtminstone omfatta vissa angivna områden, bland annat riskhantering, incidenter, kontinuitet, leveranskedja, kryptografi och åtkomstkontroll. Konkreta åtgärder ska vara riskbaserade, lämpliga och proportionella. |
| Ledningen | Ledningen ska visa engagemang och ta ansvar för ledningssystemet. | Ledningen ska godkänna och följa upp åtgärderna, genomgå utbildning (2 kap. 4 §) och informeras minst en gång per år (MCFFS 2026:11). |
| Incidenter | Incidenthantering inom organisationen. | Betydande incidenter rapporteras till NCSC: upplysning inom 24 timmar, incidentanmälan normalt inom 72 timmar, slutrapport inom en månad. |
| Anmälan | Finns inte. | Verksamhetsutövare ska anmäla sig. |
| Uppföljning | Internrevision och ledningens genomgång krävs i ledningssystemet. Extern certifiering är frivillig. | Tillsynsmyndighet, förelägganden och sanktionsavgifter. |
I praktiken är det fyra saker som brukar saknas i ett ledningssystem som annars fungerar väl.
Kontroller som valts bort
Ett kontrollval som är rimligt inom ISO 27001 behöver prövas mot cybersäkerhetslagens och föreskrifternas specifika krav. Det kan finnas säkerhetsområden eller konkreta åtgärder som behöver läggas till även om de tidigare inte bedömts nödvändiga inom ledningssystemet.
En för smal omfattning
Ett ledningssystem omfattar ofta en tjänst, ett kontor eller en produkt. Lagen frågar efter verksamheten. Jämför omfattningen med det lagen gäller innan ni utgår från att certifikatet räcker.
Rapportering som en process
Incidenthantering enligt ISO 27001 handlar om att hantera incidenten. Lagen kräver dessutom att ni bedömer om den är betydande och upplyser myndigheten inom 24 timmar. Det kräver i förväg beslutade roller, klockslag och mallar.
Ledningens utbildning som går att visa
ISO 27001 kräver kompetens för de roller som påverkar säkerheten. Lagen kräver att just ledningen utbildas om säkerhetsåtgärder, och MCFFS 2026:11 preciserar vad utbildningen ska ge. Dokumentera vem som utbildats, när och i vad. Vi har skrivit mer om vad lagen och DORA kräver av ledningens utbildning.
Om ni inte har ISO 27001
Då är lagen ett bra skäl att bygga ett ledningssystem, men det behöver inte certifieras. Lagen kräver att arbetet är systematiskt och går att visa, inte ett certifikat. Många bygger ändå enligt ISO 27001, eftersom strukturen känns igen av revisorer, kunder och tillsyn och klarar fler regelverk än ett. Börja med att avgöra om lagen gäller er: Omfattas vi av cybersäkerhetslagen? En enkel självskattning.
Så täcker ni gapet utan att bygga två system
Bygg ut det ledningssystem ni har i stället för att starta ett separat NIS2-spår:
- Avgör om ni omfattas och som vad, väsentlig eller viktig verksamhetsutövare.
- Jämför ert Statement of Applicability och er omfattning med lagens och föreskrifternas krav.
- Lägg till det som saknas: anmälan, rapporteringsprocess, ledningens utbildning och rapporteringen till ledningen.
- Låt internrevisionen pröva lagens krav också, så att uppföljningen blir en och inte två.
En gap-analys mot ISO 27001 och cybersäkerhetslagen visar vad som redan finns och vad som återstår. Hur en sådan analys blir användbar beskriver vi i Gap-analys mot NIS2, CRA, GDPR och ISO 27001.
Vanliga frågor
Räcker ett ISO 27001-certifikat för att uppfylla cybersäkerhetslagen?
Nej, inte automatiskt. Ett fungerande ledningssystem täcker en stor del, men lagen lägger till egna skyldigheter som anmälan, incidentrapportering inom fasta tider och ledningens utbildning. Ett certifikat visar inte att de är uppfyllda.
Kräver cybersäkerhetslagen att vi certifierar oss?
Nej. Lagen kräver att säkerhetsåtgärderna finns och fungerar, inte att de är certifierade. Ett certifikat kan däremot göra det lättare att visa att arbetet är systematiskt.
Hur stor del av lagen täcker ett ISO 27001-ledningssystem?
I våra uppdrag ser vi ofta att en mogen ISO 27001-miljö redan har cirka 80 procent av grundstrukturen på plats: styrning, riskarbete och de flesta kontroller. Det är vår erfarenhet och inget mått i lagen, och andelen varierar med ledningssystemets omfattning och faktiska implementation. Det som brukar saknas är lagens egna skyldigheter och kontroller som har valts bort.
Vart rapporterar vi en betydande incident?
Via Cyberportalen till Nationellt cybersäkerhetscenter (NCSC) genom CERT-SE, som vidarebefordrar rapporten till berörd tillsynsmyndighet.
Vill ni veta hur långt ert ledningssystem räcker? Läs mer om vårt arbete med regulatoriska krav och regelefterlevnad eller kontakta oss.
Källor: Cybersäkerhetslag (2025:1506) · MCFFS 2026:11 · direktiv (EU) 2022/2555 (NIS2) · ISO/IEC 27001. Verifierat 2026-10-02.
Den här texten är allmän information och inte juridisk rådgivning. Om och hur lagen gäller er beror på er verksamhet.