Design & Communication
Tech & Development
Business Operations
Strategy, Talent & Management
Engineering
Microsoft Business Applications
NIS2 OCH CYBERSÄKERHETSLAGEN
Är er verksamhet redo?
Cybersäkerhetslagen (2025:1506) trädde i kraft den 15 januari 2026 och genomför NIS2‑direktivet i svensk rätt. Det innebär att verksamhetsutövare inom berörda sektorer nu omfattas av bindande krav på systematiskt cyber- och informationssäkerhetsarbete, incidentrapportering, styrning och leverantörskedjekontroller.
VAD INNEBÄR NIS2 OCH CYBERSÄKERHETSLAGEN?
NIS2 är EU:s uppdaterade regelverk för att höja den gemensamma cybersäkerhetsnivån i hela unionen. I Sverige genomförs direktivet genom cybersäkerhetslagen (2025:1506), som nu ställer bindande krav på hur verksamhetsutövare ska arbeta med informationssäkerhet, styrning, incidentrapportering och leverantörskedjan.
Direktivet innebär en kraftig skärpning av förväntningarna på organisationers säkerhetsarbete, med tydligt ansvar för ledning och styrelse samt större krav på transparens, systematik och uppföljning.
Fokusområden i NIS2 och cybersäkerhetslagen:
Vad händer om vi inte följer regelverket?
Cybersäkerhetslagen och NIS2 innebär skärpta påföljder, inklusive betydande administrativa sanktionsavgifter. För väsentliga verksamheter kan böter uppgå till upp till 10 miljoner euro eller 2 % av global omsättning, och för viktiga verksamheter 7 miljoner euro eller 1,4 %.
Utöver ekonomiska sanktioner finns även:
Oavsett om organisationen formellt omfattas eller inte, sätter regelverket en ny branschstandard. De som inte utvecklar sitt cybersäkerhetsarbete riskerar ökade sårbarheter, förlorad konkurrenskraft och minskat förtroende från kunder, användare och tillsynsmyndigheter.
vilka omfattas?
Cybersäkerhetslagen (som genomför NIS2 i Sverige) omfattar väsentliga och viktiga verksamhetsutövare inom ett antal utpekade sektorer. I praktiken innebär det att de flesta medelstora och stora organisationer inom dessa sektorer nu har bindande krav på cybersäkerhetsarbete. Små organisationer omfattas om de verkar inom särskilt kritiska funktioner.
Exempel på sektorer som omfattas är:
Energi, transport, finans, hälso- och sjukvård, digital infrastruktur, livsmedelsproduktion, avfall och vatten, tillverkningsindustri, post- och budtjänster, forskning och offentlig förvaltning.
Utöver direkt utpekade aktörer omfattas även organisationer vars incidenter kan störa samhällsviktiga funktioner, inklusive de som är en del av leverantörskedjan till en reglerad verksamhet. Det innebär att många fler företag än tidiga
hur vet jag om vi omfattas?
För att avgöra om er verksamhet omfattas av cybersäkerhetslagen – och därmed NIS2 – behöver ni bedöma både vilken sektor ni tillhör och vilken påverkan er verksamhet kan ha på samhällsviktiga funktioner. Lagen kräver att verksamhetsutövare själva identifierar och anmäler sig till behörig myndighet om de träffas av regelverket.
Ett bra första steg är att analysera era tjänster, produkter och beroenden i relation till vilka samhällsviktiga funktioner ni direkt eller indirekt påverkar.
Ställ er själva dessa frågor:
• Tillhör vi någon av de sektorer som omfattas?
• Kan en cyberincident hos oss påverka samhällsviktiga funktioner – direkt eller genom våra kunder?
• Är vi en del av en leverantörskedja där kunden omfattas av cybersäkerhetslagen?
• Uppfyller vi storlekskriterierna?
Vad händer om vi omfattas?
Om er verksamhet omfattas av cybersäkerhetslagen behöver ni säkerställa att ni uppfyller de krav som nu är bindande för både väsentliga och viktiga verksamhetsutövare. Det innebär att ni ska arbeta systematiskt med riskhantering, styrning, incidenthantering och skydd av er leverantörskedja.
Detta innebär i praktiken:
• Ni behöver etablera ett strukturerat cybersäkerhetsarbete
• Ni ska anmäla er verksamhet till rätt tillsynsmyndighet
• Ni omfattas av tillsyn och krav på löpande efterlevnad
hur kommer ni i mål?
Att arbeta strukturerat med cybersäkerhetslagen och NIS2 kan kännas omfattande, men rätt stöd gör stor skillnad. Våra experter hjälper er att förstå kraven, identifiera risker och etablera ett långsiktigt och hållbart säkerhetsarbete som uppfyller lagens krav.
Som första steg rekommenderar vi att ni tittar på vårt senaste NIS2‑webinar, där vi går igenom vad lagen innebär i praktiken och hur ni kommer igång på ett effektivt sätt.
Se inspelningen här
Vill ni fördjupa er ytterligare finns även vår steg‑för‑steg‑guide som stöd. Men webinaret är den mest aktuella och praktiska genomgången för att snabbt få en tydlig överblick.
VILL NI HA STÖD I NÄSTA STEG?
Oavsett om ni behöver hjälp med en första bedömning, en gap‑analys eller att etablera ett komplett arbetssätt enligt cybersäkerhetslagen, finns våra experter redo att hjälpa er.