NIS2: vad det betyder för svenska företag

NIS2 flyttar cybersäkerhet från IT-frågan till ledningsfrågan. Kraven i sig är inte märkvärdiga för den som redan arbetar strukturerat. Det nya är att kraven blir obligatoriska, att åtgärderna ska kunna visas upp och att ledningen bär ansvaret.

Den största praktiska effekten för svenska företag är bredden: många fler sektorer omfattas än tidigare, och kraven följer med ut i leverantörskedjan. Även företag som formellt ligger utanför får kraven på sig via sina kunder.

• Väsentliga verksamheter. Större aktörer i de mest kritiska sektorerna: energi, transport, bank, finansiell infrastruktur, hälsa, vatten, digital infrastruktur och offentlig förvaltning. Här sker tillsyn löpande, även utan misstanke om brister.
• Viktiga verksamheter. Post och budtjänster, avfallshantering, kemikalier, livsmedel, tillverkning av bland annat medicinteknik, elektronik och fordon, digitala leverantörer och forskning. Tillsyn sker i efterhand vid indikation på brister.
• Leverantörer. Mindre företag kan påverkas indirekt som leverantör till någon som omfattas. Kundernas krav på leverantörskedjan kan gälla avtal, säkerhetskrav och rapporteringsskyldighet mot kunden.
• Utanför. Mindre verksamheter utanför de utpekade sektorerna. Kraven kan ändå fungera som en rimlig miniminivå.

• Riskanalys och en dokumenterad säkerhetspolicy för verksamhetens IT.
• Incidenthantering med rutin för upptäckt, åtgärd och rapportering, inklusive en tidig varning inom 24 timmar vid en betydande incident.
• Kontinuitet och återställning: säkerhetskopior, krisplan och tester.
• Säkerhet i leverantörskedjan, inklusive krav i avtal med IT-leverantörer.
• Säker utveckling, sårbarhetshantering och patchning.
• Kryptering, åtkomstkontroll och multifaktorautentisering.
• Utbildning i cybersäkerhet för både personal och ledning.
• Rutiner för att följa upp att åtgärderna fungerar.

Tidslinjen visar EU-direktivets genomförande och när de svenska reglerna började gälla.

• 16 januari 2023: NIS2-direktivet trädde i kraft på EU-nivå (artikel 45).
• 17 oktober 2024: medlemsstaternas genomförandefrist enligt artikel 41. De nationella bestämmelserna skulle tillämpas från 18 oktober 2024; Sverige genomförde direktivet senare.
• 15 januari 2026: Den svenska cybersäkerhetslagen (2025:1506) trädde i kraft och ersatte den tidigare NIS-lagen.
• 2 februari 2026: Föreskriften om anmälan av verksamhet, MCFFS 2026:1, börjar gälla. Verksamheter som omfattas ska anmäla sig till Myndigheten för civilt försvar så snart som möjligt. Det finns ingen gemensam sista anmälningsdag.

Riksdagen antog lagen 10 december 2025 och den utfärdades 11 december 2025. Lagen trädde i kraft 15 januari 2026.

Se alla viktiga datum

1. Avgör om verksamheten omfattas: sektor, storlek och roll i leverantörskedjan.
2. Om verksamheten omfattas: anmäl verksamheten till Myndigheten för civilt försvar så snart som möjligt. Det finns ingen gemensam sista anmälningsdag.
3. Gör en riskanalys och skriv ned vilka system som är kritiska.
4. Inför en incidentrutin som gör att ni kan lämna en tidig varning inom 24 timmar.
5. Gå igenom avtalen med IT-leverantörer och lägg in säkerhets- och rapporteringskrav.
6. Inför multifaktorautentisering och styr vem som har administratörsrättigheter.
7. Testa återställning från säkerhetskopia, inte bara att säkerhetskopian skapas.
8. Låt ledningen formellt godkänna åtgärderna och boka in utbildning.

Vad är NIS2?

NIS2 är EU:s direktiv om cybersäkerhet. Det ersätter det gamla NIS-direktivet och ställer bredare krav på riskhantering, incidentrapportering och ledningens ansvar. Direktivet trädde i kraft 16 januari 2023 med genomförandefrist 17 oktober 2024. Sveriges cybersäkerhetslag (2025:1506) trädde i kraft 15 januari 2026. Föreskriften om anmälan av verksamhet gäller från 2 februari 2026.

Omfattas mitt företag av NIS2?

Reglerna gäller organisationer i utpekade sektorer som har minst 50 anställda eller mer än 10 miljoner euro i omsättning. Sektorerna omfattar bland annat energi, transport, hälsa, vatten och avlopp, digital infrastruktur, IT-tjänster, offentlig förvaltning, post, avfall, livsmedel, tillverkning av vissa produkter samt rymdverksamhet. Mindre företag kan påverkas indirekt som leverantör till någon som omfattas.

Hur snabbt måste en incident rapporteras?

En tidig varning ska lämnas inom 24 timmar från att en betydande incident upptäckts, en mer utförlig incidentanmälan inom 72 timmar och en slutrapport inom en månad.

Vilket ansvar har ledningen?

Styrelse och ledning ska godkänna riskhanteringsåtgärderna, följa upp dem och genomgå utbildning i cybersäkerhet. Ansvaret kan inte delegeras bort till IT-avdelningen.

Vad kan sanktionerna bli?

För väsentliga verksamheter upp till 10 miljoner euro eller 2 procent av den globala årsomsättningen, beroende på vilket belopp som är högst. För viktiga verksamheter upp till 7 miljoner euro eller 1,4 procent av den globala årsomsättningen, beroende på vilket belopp som är högst. Tillsynsmyndigheten kan även ställa krav på åtgärder och granskningar.

Kraven preciseras löpande genom svenska föreskrifter och EU-riktlinjer. EU Radar bevakar besluten inom områdena Digitalisering och Säkerhet.

Detta är en förenklad översikt, inte juridisk rådgivning. Kontrollera alltid den slutliga lagtexten.

NIS2, artiklarna 41 och 45Cybersäkerhetslag (2025:1506)MCFFS 2026:1: anmälan av verksamhetMyndighetens anmälningsinformationAI Act-guidenKällor & metodGör EU-kravkollen