Sammanfattning: Cybersäkerhetslagen är redan på plats. För organisationer som omfattas handlar frågan därför allt mindre om när NIS2 kommer och allt mer om hur kraven ska bli ett fungerande säkerhetsarbete. Här är fem vanliga misstag som riskerar att skapa mycket dokumentation – men för lite faktisk riskreduktion.
Den svenska Cybersäkerhetslagen, som genomför NIS2, gäller sedan den 15 januari 2026. Kraven innebär bland annat att berörda verksamhetsutövare behöver arbeta systematiskt och riskbaserat med cybersäkerhet och vidta lämpliga säkerhetsåtgärder. Ledningen har dessutom ett tydligt ansvar för att styra och följa upp arbetet.
På papperet är det ganska enkelt att beskriva.
I praktiken uppstår däremot ett antal återkommande problem.
Här är fem vi ofta tycker är särskilt viktiga att undvika.
1. Man bygger ett separat ”NIS2-projekt”
Det är förståeligt.
Ett nytt regelverk kommer, en projektgrupp skapas och någon får uppdraget att ”implementera NIS2”.
Problemet uppstår om resultatet blir ytterligare ett säkerhetsspår vid sidan av verksamhetens ordinarie styrning.
Cybersäkerhetsarbetet ska enligt de nya föreskrifterna integreras med organisationens befintliga sätt att leda och styra verksamheten. Det ska omfatta en löpande cykel där krav och risker identifieras, säkerhetsåtgärder införs, resultat följs upp och arbetet förbättras.
För organisationer som redan arbetar med exempelvis ISO 27001, informationssäkerhet, riskhantering, GDPR, kontinuitet eller intern styrning är utgångspunkten därför inte att börja om.
Bättre frågor är:
- Vad har vi redan som fungerar?
- Vilka krav täcks redan?
- Var finns de verkliga gapen?
- Vad behöver kompletteras?
Ett separat projekt kan vara nödvändigt för att få fart på införandet. Ett separat permanent styrsystem är sällan målet.
2. Man börjar med en checklista i stället för med riskerna
Det finns gott om checklistor för NIS2.
De kan vara användbara för att skapa struktur, men blir problematiska om organisationen börjar där och behandlar alla åtgärder som lika viktiga.
Cybersäkerhetslagen och föreskrifterna bygger på ett riskbaserat arbetssätt.
Riskanalysen ska bland annat ta hänsyn till informationsklassning, omvärldsbevakning, incidenter och tillbud. Riskerna ska värderas utifrån konsekvens och sannolikhet och organisationen behöver ha kriterier för riskacceptans.
Det betyder att två organisationer kan behöva prioritera helt olika saker:
- För den ena kan den största risken vara identitets- och behörighetsstyrning.
- För en annan kan det vara en gammal OT-miljö.
- För en tredje är det beroendet av en kritisk moln- eller driftleverantör.
- För en fjärde är det bristande återställningsförmåga.
Checklistan hjälper till att ställa frågorna. Riskanalysen avgör vad ni behöver göra först.
3. Man gör cybersäkerhet till IT-avdelningens ansvar
IT har självklart en central roll i cybersäkerhetsarbetet. Men IT kan inte ensam äga verksamhetens risker.
Ledningen ansvarar för att styra organisationens cybersäkerhetsarbete så att det bedrivs systematiskt och riskbaserat. De nya reglerna ställer också krav på ledningens kunskap och förmåga att sätta mål, bedöma säkerhetsåtgärder och följa upp genomförandet.
I praktiken behöver arbetet därför involvera fler än IT:
- verksamhetsansvariga
- informations- och systemägare
- informationssäkerhet
- risk och compliance
- dataskydd
- inköp och leverantörsansvariga
- kontinuitets- och krisfunktioner
- ledning och styrelse
En teknisk sårbarhet kan innebära en verksamhetsrisk. Ett leverantörsavtal kan skapa en cyberrisk. En kontinuitetsbrist kan få större konsekvenser än den tekniska incident som utlöser den.
Därför behöver riskerna ägas där konsekvenserna faktiskt finns.
4. Gap-analysen blir slutleveransen
En nuläges- eller gap-analys är ofta ett mycket bra första steg.
Den hjälper organisationen att förstå vad som redan finns, vilka krav som inte är omhändertagna och vilka områden som behöver utvecklas.
Men en gap-analys löser ingenting i sig. Det verkliga värdet kommer när varje viktig brist kopplas till:
- en risk
- en prioritering
- en konkret åtgärd
- en ansvarig
- en realistisk tidsplan
- en metod för uppföljning
De nya föreskrifterna går också i den riktningen. Identifierade risker ska leda till säkerhetsåtgärder, och åtgärdsplaneringen ska tydliggöra bland annat ansvar och när säkerhetsåtgärder ska vara genomförda. Uppföljning och förbättring är sedan en del av det löpande arbetet.
En rapport med 70 identifierade gap men utan prioritering riskerar därför bara att ge organisationen 70 nya problem.
En bra analys ska göra nästa beslut enklare. Den ska kunna säga:
- Det här behöver ni lösa nu.
- Det här behöver planeras.
- Det här kan vänta.
5. Man tror att arbetet är klart när kontrollerna är införda
Det här är kanske det mest långsiktiga problemet.
Organisationen har gjort analysen. Policyerna är beslutade. MFA är aktiverat. Backup finns. Leverantörsavtalen har uppdaterats. Incidentplanen ligger på SharePoint. Och sedan går organisationen vidare.
Men säkerhetsarbetet förändras hela tiden. Nya system införs. Leverantörer byter underleverantörer. Personal byter roller. Behörigheter växer. Nya sårbarheter upptäcks. Hotbilden förändras.
Därför stannar inte Cybersäkerhetslagen vid att åtgärder ska införas. Organisationen behöver också följa upp och utvärdera om säkerhetsåtgärderna fortfarande är lämpliga och proportionella. För sektorskritiska system ska sådan uppföljning ske vid behov och minst årligen. Föreskrifterna nämner bland annat granskning, mätning, tester, egenkontroll samt intern och extern revision som möjliga metoder.
Samma sak gäller kontinuitet och leverantörer. Alternativa arbetssätt och återställning behöver övas. Kritiska leverantörer behöver följas upp under hela avtalstiden. Riskanalyser behöver uppdateras när hot och sårbarheter förändras.
Efterlevnad är därför inte ett slutläge. Det är en förvaltningsfråga.
Från NIS2-projekt till fungerande säkerhetsarbete
De fem misstagen har egentligen samma grundproblem. Organisationen fokuserar på att bli klar. Men ett fungerande cybersäkerhetsarbete blir aldrig riktigt färdigt.
Målet bör i stället vara en organisation där:
- ledningen förstår riskerna och fattar relevanta beslut
- verksamheten äger sina risker
- säkerhetsåtgärder prioriteras efter verkliga behov
- incidenter och störningar kan hanteras
- kritiska leverantörer är kända och följs upp
- kontroller verifieras
- identifierade brister leder till förbättring
Det är också därför NCSC beskriver arbetet som systematiskt, riskbaserat och kontinuerligt snarare än som en lista med åtgärder som ska bockas av en gång.
Så arbetar Kristensson i Skåne
På Kristensson i Skåne arbetar vi med Cybersäkerhetslagen/NIS2 som en del av organisationens samlade informationssäkerhets- och riskarbete.
Det kan börja med en omfattningsbedömning eller gap-analys, men vårt fokus ligger lika mycket på vad som händer efter analysen.
Vi kan bland annat stödja med:
- nuläges- och gap-analyser
- riskbedömning och prioritering
- införande och utveckling av LIS/ISMS
- styrdokument, roller och ansvar
- tekniska och organisatoriska säkerhetsåtgärder
- incident- och kontinuitetshantering
- leverantörsgranskning och tredjepartsrisk
- ledningsstöd och rapportering
- utbildning
- test, uppföljning och intern kontroll
- löpande GRC- och CISO-stöd
Vår utgångspunkt är att säkerhetsarbetet behöver vara proportionerligt.
Ett mindre företag ska inte bygga samma organisation som en internationell koncern. Men säkerhetsåtgärderna behöver motsvara verksamhetens risker, beroenden och krav.
Cybersäkerhetslagen ska därför inte resultera i ännu ett dokumentpaket som tas fram inför revision eller tillsyn. Den bör bidra till att organisationen blir bättre på att förstå sina risker, förebygga incidenter, hantera störningar och fatta rätt beslut när något faktiskt händer.
Det är där efterlevnad börjar skapa verksamhetsnytta.
Vill ni ta ert NIS2-arbete från projekt till fungerande säkerhetsarbete? Läs mer om vårt arbete med informationssäkerhet och styrning eller kontakta oss så tar vi ett första samtal om nuläge och nästa steg.
Källor och vidare läsning: Nationellt cybersäkerhetscenter (NCSC) och Regeringen om Cybersäkerhetslagen samt MCFFS 2026:11. Detta är en översikt och inte juridisk rådgivning.