NIS2 och cybersäkerhetslagen: vad kraven betyder för ditt företag

Cybersäkerhetslagen är Sveriges genomförande av EU:s NIS2-direktiv och gäller sedan 15 januari 2026. Den omfattar verksamheter i 18 sektorer. De ska anmäla sig, arbeta systematiskt med säkerhet, rapportera betydande incidenter inom 24 timmar och se till att ledningen är utbildad. Även leverantörer berörs, eftersom kunder som omfattas ska ställa samma krav på dem.

Vilka som omfattas

Lagen gäller verksamheter i 18 sektorer. NCSC delar upp dem i två bilagor. Den första gäller högkritiska sektorer, den andra övriga kritiska sektorer. Storleken avgörs av antal anställda eller omsättning, enligt EU:s definition av små och medelstora företag som NCSC hänvisar till. Vissa verksamheter omfattas oavsett storlek, bland dem regioner och kommuner.

Inom tillverkning gäller lagen bland annat medicintekniska produkter, datorer och elektronik, elutrustning, maskiner och fordon. Varje verksamhet ska själv bedöma om den omfattas.

Vad lagen kräver

• Anmälan av verksamheten. Från 1 juli 2026 tar NCSC emot anmälningarna.
• Organisatoriska åtgärder: systematiskt och riskbaserat säkerhetsarbete, personalsäkerhet och ledningens ansvar.
• Tekniska åtgärder: säkerhetskrav vid upphandling och utveckling, återställning av information och system, och tester som hittar svagheter.
• Fysiska åtgärder: skydd av lokaler och utrustning, och skydd mot brand och vatten.
• Kontinuitetshantering och säkerhet i leverantörskedjan.

Incidentrapportering inom 24 timmar

Betydande incidenter ska rapporteras till NCSC så snart som möjligt och senast 24 timmar efter att verksamheten bedömt att incidenten är rapporteringspliktig. En incident är betydande om den har orsakat eller kan orsaka allvarliga driftstörningar eller ekonomisk förlust, eller om den kan skada andra personer eller företag. Rapporten görs i Cyberportalen.

Ledningen kan ställas till svars

Säkerhetsarbetet ska vara en del av hur verksamheten leds och styrs. Ledningen ska genomgå utbildning om säkerhetsåtgärder och kan ställas till svars för brister i dem. Det är en tydlig skillnad mot hur IT-säkerhet ofta har hanterats, som en fråga för IT-avdelningen.

Varför leverantörer också berörs

Ett bolag som inte omfattas av lagen får ändå ofta kraven. Kunder som omfattas får ställa krav i linje med lagen, och för utlagd verksamhet ska kraven föras vidare till leverantören i avtalet. Levererar ni IT, drift eller annan verksamhet till ett bolag i någon av sektorerna, räkna med att kraven kommer i nästa avtal.

Var ni börjar

• Gå igenom NCSC:s sektorlista och bedöm om ni omfattas.
• Lista era leverantörer av IT, drift och molntjänster, och vilka avtal som gäller.
• Se över behörigheter, säkerhetskopiering och att återställning faktiskt fungerar.
• Bestäm vem som rapporterar en incident och hur, innan något händer.

Vanliga frågor