NIS2 – Nya cybersäkerhetskrav för svenska företag
Sedan den 15 januari 2026 är NIS2 svensk lag genom cybersäkerhetslagen (2025:1506). Svenska företag som omfattas har alltså redan kraven på sig. De ska anmäla sig till en myndighet, skydda sina system och rapportera allvarliga incidenter inom ett dygn.
Vad är NIS2?
NIS2 är EU:s uppdaterade direktiv om cybersäkerhet. Det ersätter det första NIS-direktivet och ska höja säkerheten i kritisk infrastruktur och viktiga samhällstjänster.
Kraven går att dela in i tre delar: säkerhetsåtgärder, ledningens ansvar och rapportering av incidenter. Alla tre står i lagen. Säkerhetsåtgärderna och ledningens utbildning beskrivs dessutom sedan den 1 oktober 2026 mer detaljerat i föreskrifter från Myndigheten för civilt försvar (tidigare MSB).
Kraven i korthet
Säkerhetsåtgärder inom tio områden, bland annat:
- riskanalys och incidenthantering
- kontinuitet och krishantering, till exempel säkerhetskopior
- säkerhet i leveranskedjan
- kryptering och behörigheter
- grundläggande säkerhetsrutiner och utbildning
- flerfaktorsinloggning, alltså inloggning som kräver mer än bara lösenordet, där det behövs
Föreskrifterna preciserar kraven, till exempel flerfaktorsinloggning när någon loggar in utifrån och säkerhetsuppdateringar utan dröjsmål. Den som bara arbetar med IT-drift och IT-säkerhet åt andra företag, digital infrastruktur, digitala leverantörer, post och bud eller rymden berörs bara av föreskrifternas del om ledningens utbildning.
Ledningen ska själv gå en utbildning om säkerhetsåtgärder. Där föreskrifterna gäller i sin helhet ska ledningen också godkänna säkerhetsarbetet och få en lägesrapport minst en gång om året.
Incidenter som ger eller kan ge allvarliga driftstörningar, ekonomisk skada för er eller stor skada för andra rapporteras till Nationellt cybersäkerhetscenter (NCSC) vid Försvarets radioanstalt:
- en första upplysning inom 24 timmar från att ni fick veta om incidenten
- en incidentanmälan inom 72 timmar från samma tidpunkt
- en slutrapport senast en månad efter incidentanmälan
Erbjuder ni e-underskrifter och liknande tjänster åt andra gäller 24 timmar även för incidentanmälan.
Påverkas ditt företag?
Om ett företag omfattas avgörs av hur stort det är och vad det gör. Det är ert eget ansvar att ta reda på om lagen gäller er.
Omfattas ni?
Svarar ni ja på båda frågorna gäller lagen i regel för er.
Är ni minst ett medelstort företag? Det är ni om ni har minst 50 anställda, räknat i heltider, eller både omsättning och balansomslutning (summan av tillgångarna i balansräkningen) över 10 miljoner euro (omkring 110 miljoner kronor). Ingår ni i en koncern, eller äger ni minst en fjärdedel av ett annat företag eller tvärtom, räknas de andra företagen med.
Finns er verksamhet bland de 18 branscherna i direktivets bilagor?
- Bilaga 1: energi, transporter (flyg, järnväg, sjöfart, hamnar och trafikledning), banker, finansmarknadens infrastruktur, hälso- och sjukvård (även läkemedel), dricksvatten, avloppsvatten, digital infrastruktur (till exempel molntjänster och datacenter), IT-drift och IT-säkerhet åt andra företag, offentlig förvaltning och rymden.
- Bilaga 2: post och bud, avfallshantering, kemikalier, livsmedel (grossister och industriell produktion), tillverkning (medicintekniska produkter, elektronik, elapparatur, maskiner, fordon och andra transportmedel), digitala leverantörer (marknadsplatser, sökmotorer och sociala nätverk på nätet) och forskning.
Teleoperatörer och bredbandsleverantörer omfattas oavsett storlek, liksom den som erbjuder DNS (internets adressbok), registrering av domännamn eller e-underskrifter åt andra.
Några exempel:
- Ett IT-företag med 60 anställda som sköter andra företags IT-drift omfattas.
- Ett mejeri med 80 anställda omfattas.
- Ett rederi med 55 anställda som fraktar gods omfattas, men inte ett vanligt åkeri av samma storlek.
- En bredbandsleverantör med tio anställda omfattas.
Om ni omfattas
Då ska ni anmäla er till Nationellt cybersäkerhetscenter (NCSC), som tog över anmälningarna från Myndigheten för civilt försvar den 1 juli 2026. Lagen sätter inget sista datum, men anmälan ska göras så snart det kan ske, och det har gått att anmäla sig sedan februari 2026. Har ni inte gjort det än är det hög tid.
Vilken myndighet som har tillsyn beror på branschen. Transportstyrelsen börjar till exempel i november 2026 granska säkerhetsåtgärderna hos de transportföretag som har anmält sig.
Lagen delar in dem som omfattas i väsentliga och viktiga. Väsentliga är framför allt stora företag i branscherna i bilaga 1, men också kommuner, regioner och myndigheter. De väsentliga kan granskas regelbundet. Alla andra är viktiga, bland dem de flesta medelstora företag, och granskas först när det finns anledning att tro att lagen inte följs.
Bryter ett väsentligt företag mot lagen kan det få betala en sanktionsavgift på upp till 10 miljoner euro (omkring 110 miljoner kronor) eller 2 procent av den globala årsomsättningen, om det beloppet är högre. För ett viktigt företag är gränsen 7 miljoner euro (omkring 80 miljoner kronor) eller 1,4 procent.
En domstol kan dessutom förbjuda en chef i ett väsentligt företag att sitta i ledningen i ett till tre år. Det kräver att chefen med uppsåt eller av grov oaktsamhet har orsakat en allvarlig överträdelse och att företaget inte har följt tillsynsmyndighetens krav på rättelse.
Zero Trust gör det lättare att klara NIS2-kraven
Många av kraven blir lättare att uppfylla om IT-miljön byggs enligt Zero Trust. Principen är "lita aldrig, verifiera alltid". Varje användare och enhet kontrolleras hela tiden, vilket svarar mot lagens krav på behörigheter och flerfaktorsinloggning.
Nätverket delas upp i mindre zoner, så att skadan blir mindre om någon tar sig in. Leverantörer får bara tillgång till det de behöver. Eftersom all aktivitet övervakas blir det också lättare att upptäcka en incident och rapportera den i tid.
Hur långt myndigheter, kommuner och regioner har kommit med säkerhetsarbetet går vi igenom i artikeln om Cybersäkerhetskollen 2025.
Publicerad: 5 september 2025 / Uppdaterad: 19 oktober 2026
