En NIS2 gap-analys visar vilka krav i NIS2 och den svenska cybersäkerhetslagen som saknas hos er, och ger ledningen en prioriterad åtgärdslista att besluta om. Underlaget kopplar till NCSC vid FRA och MSB:s vägledning. Ert första steg är att avgränsa scope och boka en workshop med ansvariga för säkerhet, juridik och drift.
Kort sagt:
- Analysen ska omfatta alla tio minimiåtgärderna i artikel 21(2); proportionalitetsprincipen påverkar omfattningen, men inget område får utelämnas, inte heller för mindre viktiga entiteter.
- Tillsynen kräver bevis på genomförda och testade åtgärder, exempelvis loggar, utbildningsregister och övningsresultat; första underrättelsen om en incident ska lämnas senast 24 timmar efter kännedom.
- En snabb översiktlig analys tar cirka 30 dagar, medan en fullständig granskning med handlingsplan tar cirka 90 dagar; många leverantörer förlänger arbetet.
- ISO 27001 ger en grund, men täcker inte automatiskt rapportering till NCSC, ledningens ansvar eller sektorsregistrering; för därför in NIS2:s krav i ert befintliga ledningssystem.
Innehållsförteckning
- Vilka områden måste en NIS2 gap-analys täcka?
- Så går en NIS2 gap-analys till, steg för steg
- Vilka bevis efterfrågar tillsynen?
- Så prioriterar ni åtgärderna riskbaserat
- Varför ISO 27001 sällan räcker för NIS2
- Leverabler och tidslinje från analys till ledningsbeslut
- Fallgropar som ledningen kan undvika
- Så stödjer vi er NIS2 gap-analys
- Vanliga frågor
- Källor
Vilka områden måste en NIS2 gap-analys täcka?
Utgångspunkten är de tio minimiåtgärderna i artikel 21(2), som i Sverige har genomförts i 2 kap. 3 § cybersäkerhetslagen. Analysen ska bedöma varje område, eftersom det är där tillsynen ställer sina frågor:
- Riskanalys och informationssäkerhetspolicy: grunden som visar att åtgärderna står i proportion till era faktiska risker.
- Incidenthantering: rutiner för att upptäcka, bedöma och rapportera händelser.
- Kontinuitet och krishantering: reservrutiner och återställning som är testade, inte bara beskrivna.
- Leverantörskedjan: krav, uppföljning och bedömning av tredjepartsrisk.
- Säker utveckling och underhåll: hur sårbarheter hanteras i system ni köper eller bygger.
- Utvärdering av åtgärders effekt: mätning och uppföljning av att kontrollerna fungerar.
- Cyberhygien och utbildning: dokumenterad kompetens hos medarbetare och ledning.
- Kryptografi och nyckelhantering: regler för när och hur kryptering används.
- Åtkomstkontroll och tillgångshantering: behörigheter, roller och inventering.
- Flerfaktorautentisering och säker kommunikation: MFA och skyddade kanaler, även i kris.
Kraven är proportionerliga. En stor väsentlig entitet förväntas visa mer än en mindre viktig entitet, men inget av områdena kan hoppas över.
Så går en NIS2 gap-analys till, steg för steg
Arbetet delas lämpligen i fyra faser. Oavsett om ni gör det internt eller beställer det externt bör ledningen kräva samma ordning.
- Förbered: avgränsa vilka verksamheter och system som omfattas, ta fram en intressentlista och inventera system och leverantörer.
- Genomför workshop: intervjua ansvariga, gå igenom befintliga dokument och kartlägg roller. ENISA:s mappning mellan NIS2 och ECSF-rollprofiler ger en bra grund för att koppla uppgifter till kompetenser.
- Granska tekniskt: kontrollera konfigurationer, identitetshantering och MFA, loggning samt resultat från penetrationstester. Här skiljer sig dokumenterad policy från verklig praxis.
- Analysera och leverera: matcha befintliga kontroller mot artikel 21(2) och svenska föreskrifter, och skapa en gap-lista där varje avvikelse har ägare, beskrivning och tidsestimat.
Proffstips: Låt varje gap få en namngiven ägare redan i workshopen. Luckor utan ägare blir sällan åtgärdade.
Vilka bevis efterfrågar tillsynen?
Vid inspektion räcker det inte att åtgärder är beslutade. Myndigheterna vill se att de är implementerade, testade och uppföljda. Samla därför bevis löpande, inte i panik inför ett tillsynsbesök:
- processdokument med beslutsdatum och ansvarig
- testloggar från återställnings- och incidentövningar
- utbildningsregister som visar vilka som genomgått vad och när
- loggar från identitetshanteringen som visar att MFA faktiskt är påslaget
- incidentrapporter, inklusive tidiga notifieringar
Tidsaspekten är central: första notifieringen ska göras senast 24 timmar efter kännedom.
Cybersäkerhetslagen trädde i kraft 15 januari 2026, och föreskrifterna om incidentrapportering träder i kraft 1 juli 2026. Från samma datum tar NCSC vid FRA över den centrala rollen, och FRA är gemensam kontaktpunkt och CSIRT-enhet. Läs mer i vår guide om NIS2 incidentrapportering.
Så prioriterar ni åtgärderna riskbaserat
En gap-lista utan prioritering lamslår organisationen. Rangordna med tre kriterier: påverkan på verksamheten, sannolikhet och juridiskt ansvar. Använd gärna vår genomgång av riskbaserat tänkande för compliance.
- Snabbvinster: konfigurationsändringar, utökad MFA, städning av behörigheter och en första version av saknade policyer.
- Större investeringar: övervakning och SOC-funktion, leverantörsrevisioner och omarbetade kontinuitetsplaner.
- Uppföljning: varje åtgärd får ägare, mätbart mål och datum, och ledningen får en statusrapport varje kvartal.
| Horisont | Fokus | Typiskt resultat |
|---|---|---|
| Inledningsvis | Snabbvinster och ägarskap | MFA, behörigheter, utsedda ansvariga |
| 90 dagar | Processer och dokumentation | Incidentrutin, utbildning, leverantörskrav |
| På längre sikt | Strukturella investeringar | Övervakning, leverantörsrevisioner, testad kontinuitet |
För leverantörsdelen hjälper vår guide om tredjepartsrisk.
Varför ISO 27001 sällan räcker för NIS2
ISO 27001 är en bra grund, men täcker inte alltid NIS2:s specifika svenska krav: rapportering mot NCSC, personligt ledningsansvar och registrering hos sektorsmyndighet. Vanliga luckor i svenska organisationer:
- incidentrutiner som saknar de korta notifieringsfristerna
- leverantörskontroller som är generella i stället för riskbaserade
- ledningens ansvar och utbildning som inte är dokumenterade
- bevisföring som visar att kontroller fungerar, inte bara att de finns
Lägg in NIS2-kraven som en tilläggsmatris i det befintliga ledningssystemet i stället för att bygga en parallell struktur. Då återanvänder ni revisionsrutiner och dokumentägare.
Leverabler och tidslinje från analys till ledningsbeslut
Ledningen bör kräva fem tydliga leverabler:
- ett scope-dokument som anger vad som ingår och varför
- en prioriterad gap-lista med ansvar och estimat
- en teknisk bilaga med granskningsresultat
- en handlingsplan med 30-, 90- och 180-dagarsmål
- en rapport till styrelsen med konsekvenser, kostnadsestimat och ansvarsfördelning
En realistisk tidplan är cirka 30 dagar för en snabb övergripande analys och cirka 90 dagar för en full gap-analys med handlingsplan. Organisationer med många leverantörer eller flera verksamhetsgrenar behöver räkna med den längre tiden.
Fallgropar som ledningen kan undvika
Tre hinder återkommer: svag dokumentation, otydligt ledningsansvar och underdimensionerade resurser. Min bedömning är att den största risken inte är teknisk. Det är att gap-analysen blir en rapport som ingen äger. Förankra därför resultatet hos ledningen innan arbetet börjar, fördela ansvar skriftligt och kräv konkreta leverabler med datum. Ett system för spårbarhet, som det vi på Trustview arbetar med, gör att beslut och bevis hänger ihop.
— Jesper
Så stödjer vi er NIS2 gap-analys
Vi har byggt Trustview som en svenskutvecklad plattform av jurister med expertis inom svensk och europeisk lagstiftning. I en gap-analys stödjer vi workshopen med färdiga mallar, samlar bevis på ett ställe och följer upp varje åtgärd med ansvarig, status och frister. Behöver ni tolkningshjälp av cybersäkerhetslagen eller inför tillsyn erbjuder vi juridisk rådgivning. 
Plattformen kostar från 2 500 kr per månad. Läs mer om hur vi arbetar med NIS2-efterlevnad, eller boka en demo och ta med er gap-listan, så visar vi hur den blir en åtgärdsplan med spårbarhet.
Vanliga frågor
Hur lång tid tar en NIS2 gap-analys?
Det beror på organisationens storlek och antal leverantörer. En övergripande analys kräver mindre arbete än en full analys med handlingsplan. Tidsåtgången beror bland annat på organisationens storlek och antal leverantörer.
Vad ska ingå i scope för analysen?
Alla verksamheter, system och leverantörer som stödjer tjänster som omfattas av cybersäkerhetslagen. Börja med att kartlägga vilka tjänster som är kritiska och arbeta utåt därifrån.
Vilka bevis begär tillsynen?
Tillsynen vill se att åtgärderna är beslutade, implementerade och testade. Det innebär processdokument, loggar, utbildningsregister och testresultat som kan visas upp vid inspektion.
Räcker ISO 27001-certifiering för NIS2?
Nej, certifieringen är en bra grund men täcker inte automatiskt rapportering mot NCSC, ledningens personliga ansvar eller registrering. Gör därför en särskild kartläggning mot cybersäkerhetslagen.
Källor
- Ett starkt skydd för nätverks- och informationssystem – en ny cybersäkerhetslag
- Incidentrapportering och informationsskyldighet
