NIS2 i Sverige 2026: praktisk guide för beslutsfattare

Cybersäkerhetslagen genomför NIS2-direktivet i svensk rätt och trädde i kraft den 15 januari 2026. Om din organisation verkar inom någon av de 18 reglerade sektorerna och uppfyller storlekskriterierna gäller skyldigheterna redan nu, oavsett om ni hunnit registrera er eller inte. Det är inte en IT-fråga enbart för teknikavdelningen. Det är ett ledningsansvar som kräver formella beslut, dokumenterade processer och aktiv styrelseinvolvering.

Tre omedelbara prioriteringar för din organisation:

• Självbedömning: Avgör om ni är en verksamhetsutövare enligt sektors- och storlekskriterier och dokumentera beslutet.
• Registrering: Anmäl er via MSB:s nationella portal, som öppnade den 2 februari 2026.
• Incidentberedskap: Säkerställ att ni kan rapportera en allvarlig incident inom 24 timmar, eftersom rapporteringsskyldigheten gäller från lagens ikraftträdande.

Verdict för styrelse och VD: Besluta idag om er organisation omfattas, utse ansvariga, och initiera registrering om ni inte redan gjort det.

Viktiga insikter

Cybersäkerhetslagen gäller för alla verksamhetsutövare inom 18 sektorer från den 15 januari 2026, med omedelbara krav på incidentrapportering, ledningsansvar, och dokumenterad riskhantering.

Innehållsförteckning

• Vad är cybersäkerhetslagen och hur förhåller den sig till NIS2-direktivet?
• Vem omfattas av cybersäkerhetslagen, och hur klassificeras din organisation?
• Vad kräver lagen konkret av styrelse och ledning?
• Vilka tekniska och organisatoriska krav måste ni uppfylla?
• Hur registrerar ni er och hur fungerar incidentrapporteringen i praktiken?
• Vilka myndigheter utövar tillsyn och vilka sanktioner riskerar ni?
• Hur bedömer du om din organisation omfattas? En praktisk checklista
• Hur kan en compliance-plattform stödja NIS2-efterlevnad i praktiken?
• Varför ledningen inte kan vänta med NIS2-prioriteringen
• Trustview hjälper er att nå och bevisa NIS2-efterlevnad
• Källor

Vad är cybersäkerhetslagen och hur förhåller den sig till NIS2-direktivet?

EU:s NIS2-direktiv antogs 2022 med syfte att höja cybersäkerhetsnivån i hela unionen. Sverige valde att genomföra direktivet genom en ny nationell lag, cybersäkerhetslagen, som riksdagen antog och som trädde i kraft den 15 januari 2026. Lagen ersätter den tidigare NIS-lagen och utvidgar sektorsomfattningen väsentligt, skärper kraven på riskanalyser och inför ett tydligt ledningsansvar som inte fanns i föregångaren.

Tre övergripande krav som lagen etablerar:

• Riskhantering: Organisationer måste bedriva ett systematiskt och dokumenterat säkerhetsarbete baserat på riskanalys.
• Incidentrapportering: Allvarliga incidenter ska rapporteras till behörig tillsynsmyndighet inom fastställda tidsfrister.
• Ledningsansvar: Styrelse och högsta ledning bär ett uttryckligt ansvar för att cybersäkerhetsarbetet är ändamålsenligt och att de själva har tillräcklig kunskap för att utöva det ansvaret.

Sverige har valt en whole-entity-tolkning: när en juridisk person väl bedöms vara en verksamhetsutövare gäller kraven för hela organisationen, inte bara för specifika system eller affärsenheter. Det innebär att lokala IT-åtgärder på en enskild avdelning inte räcker. Styrning, roller och central dokumentation måste täcka hela den juridiska personen.

Regeringens promemoria beskriver regleringsstrukturen i detalj, inklusive vilka myndigheter som fått föreskriftsmandat och vilka kompletterande författningar som planeras. Vissa föreskrifter om exempelvis säkerhetsrevisioner och detaljerade rapporteringskrav träder i kraft stegvis efter lagens ikraftträdande.

Vem omfattas av cybersäkerhetslagen, och hur klassificeras din organisation?

Organisationer som omfattas kallas verksamhetsutövare och återfinns inom 18 sektorer. Bedömningen bygger på två parallella kriterier: sektortillhörighet och organisationsstorlek.

De 18 sektorerna inkluderar:

• Energi (el, gas, fjärrvärme, olja, vätgas)
• Transport (flyg, järnväg, sjöfart, väg)
• Bankverksamhet och finansmarknadsinfrastruktur
• Hälso- och sjukvård
• Dricksvatten och avloppsvatten
• Digital infrastruktur (DNS, molntjänster, datacenter, CDN, elektroniska kommunikationsnät)
• Förvaltning av IKT-tjänster (B2B)
• Offentlig förvaltning
• Rymden
• Post- och budtjänster
• Avfallshantering
• Kemikalier
• Livsmedel
• Tillverkning (medicintekniska produkter, datorer, fordon m.fl.)
• Digitala leverantörer (marknadsplatser, sökmotorer, sociala plattformar)
• Forskning

Storlekskriterier: Som huvudregel gäller att organisationen måste uppfylla vissa storlekskriterier beträffande anställda eller årsomsättning och balansomslutning enligt lagen. Vissa sektorer, exempelvis DNS-leverantörer och leverantörer av kritisk digital infrastruktur, omfattas oavsett storlek.

Väsentlig kontra viktig aktör är den klassificering som avgör tillsynsintensitet och sanktionsnivå. Väsentliga aktörer är typiskt sett de större och mer kritiska, exempelvis energibolag och sjukhus, och de kan bli föremål för proaktiv tillsyn. Viktiga aktörer granskas i regel reaktivt, det vill säga efter att en incident eller ett klagomål inträffat. Sanktionstaket är också högre för väsentliga aktörer.

Självidentifieringsprincipen innebär att varje juridisk person bär ansvaret för att bedöma om den omfattas. Utebliven registrering eller bristfällig dokumentation av bedömningen skapar i sig en regulatorisk risk.

Proffstips: Dokumentera självbedömningen skriftligt, inklusive vilka sektorsbilagor ni prövat mot och varför ni landat i er slutsats. Det är det första beviset i en eventuell tillsynsgranskning.

Vad kräver lagen konkret av styrelse och ledning?

Cybersäkerhetslagen är tydlig på en punkt som många organisationer underskattar: det räcker inte att delegera cybersäkerhetsarbetet till IT-chefen. NCSC framhåller att styrelse och högsta ledning måste förstå, delta i och formellt godkänna cybersäkerhetsarbetet.

Konkret innebär det att ledningen ska:

• Ha tillräcklig kunskap om cybersäkerhetsrisker och de krav som lagen ställer, vilket i praktiken kräver utbildning anpassad till styrelsenivå.
• Godkänna säkerhetspolicyn och de övergripande riskacceptanskriterierna, inte bara ta del av dem.
• Följa upp efterlevnaden genom regelbundna rapporter till styrelsen om säkerhetsläget, incidenter och åtgärdsstatus.
• Bära personligt ansvar vid allvarliga brister, vilket i förlängningen kan innebära att ledningspersoner hålls ansvariga för sanktioner.

Styrningspunkter som måste vara formellt fastställda inkluderar en dokumenterad informationssäkerhetspolicy, en process för riskacceptans med tydliga tröskelvärden, och en rutin för hur incidenter eskaleras till styrelsenivå. Dessa dokument ska inte bara existera utan vara daterade, versionshanterade och kopplade till namngivna beslutsfattare.

Proffstips: Lägg in en fast punkt om cybersäkerhetsläget på styrelsens ordinarie dagordning, kvartalsvis som minimum. Det skapar ett spår av aktivt engagemang som är svårt att ifrågasätta vid en tillsynsgranskning.

Vilka tekniska och organisatoriska krav måste ni uppfylla?

Lagen kräver ett riskbaserat säkerhetsarbete som täcker tio minimiområden. Dessa är inte frivilliga utgångspunkter utan lagstadgade krav som tillsynsmyndigheterna kan granska.

De tio minimiområdena:

1. Riskanalys och informationssäkerhetspolicyer
2. Incidenthantering
3. Driftkontinuitet och krishantering (backup, återställning, katastrofhantering)
4. Leverantörskedjans säkerhet och tredjepartsrisker
5. Säkerhet vid förvärv, utveckling och underhåll av system
6. Hantering av sårbarheter och offentliggörande av dessa
7. Bedömning av effektiviteten i säkerhetsåtgärderna
8. Utbildning i cybersäkerhet
9. Kryptografi och kryptering
10. Åtkomstkontroll och hantering av tillgångar

Konkreta tekniska kontroller som typiskt krävs är multifaktorautentisering (MFA) på alla privilegierade konton och externa åtkomstpunkter, nätverkssegmentering för att begränsa skadeverkningar vid intrång, kryptering av känsliga data i vila och under transport, samt ett strukturerat program för sårbarhetshantering med definierade åtgärdstider.

Incidentrapportering följer ett tredelat flöde med fasta tidsfrister:

Deloitte bekräftar att incidentrapporteringsskyldigheten gällde från lagens ikraftträdande den 15 januari 2026, det vill säga innan registreringsportalen ens öppnade. Organisationer som ännu inte etablerat en incidenthanteringsprocess är redan i regulatorisk risk.

Dokumentationskraven är genomgående: riskbedömningar, säkerhetstester, leverantörsbedömningar och åtgärdsplaner ska vara spårbara och tillgängliga för tillsynsmyndigheten vid granskning. En strukturerad åtgärdsplan är inte bara god praxis utan ett konkret krav.

Proffstips: Mappa era befintliga ISO 27001- eller ISO 27002-kontroller mot de tio minimiområdena. Det ger er ett gap-analysdokument som både visar vad som saknas och fungerar som bevis på systematiskt arbete.

Hur registrerar ni er och hur fungerar incidentrapporteringen i praktiken?

Registrering sker via MSB:s nationella portal. Portalen öppnade den 2 februari 2026, och alla verksamhetsutövare förväntas registrera sig utan dröjsmål.

Steg-för-steg för registrering:

1. Identifiera den juridiska person som ska registreras och samla organisationsnummer, kontaktuppgifter och sektorstillhörighet.
2. Logga in på MSB:s portal med e-legitimation (BankID eller motsvarande).
3. Fyll i anmälan med uppgifter om sektor, klassificering (väsentlig eller viktig), kontaktperson för säkerhetsfrågor och kontaktperson för incidentrapportering.
4. Bekräfta anmälan och spara kvittensen som dokumentation.
5. Uppdatera registrerade uppgifter omgående om organisationsförändringar sker, exempelvis vid förvärv, omstruktureringar eller byte av kontaktperson.

Registreringen är inte en engångshändelse. Uppgifterna ska hållas aktuella, och ändringar ska anmälas utan onödigt dröjsmål.

Praktisk process för incidentrapportering:

• Tidig varning (24 timmar): Skickas till behörig tillsynsmyndighet så snart ni bedömer att en allvarlig incident inträffat. Fokus är bekräftelse och preliminär klassificering, inte fullständig analys.
• Incidentrapport (72 timmar): Innehåller en mer detaljerad beskrivning av incidentens art, påverkade system och tjänster, samt de omedelbara åtgärder som vidtagits.
• Slutrapport (1 månad): Fullständig genomgång med rotorsaksanalys, lärdomar och plan för att förhindra upprepning.

Rapportering sker till den tillsynsmyndighet som ansvarar för er sektor, inte till en central instans. Det innebär att ni måste veta i förväg vem som är er tillsynsmyndighet och ha etablerade kontaktvägar.

Vilka myndigheter utövar tillsyn och vilka sanktioner riskerar ni?

Tillsynsansvaret är sektorsuppdelat i Sverige. Ingen enskild myndighet ansvarar för alla verksamhetsutövare.

Tillsynsmyndigheter per sektor (urval):

• MSB (Myndigheten för samhällsskydd och beredskap): Övergripande samordning, registeransvar och tillsyn för flera sektorer.
• PTS (Post- och telestyrelsen): Elektroniska kommunikationsnät och digitala infrastrukturtjänster.
• Energimyndigheten: Energisektorn, inklusive el, gas och fjärrvärme.
• Inspektionen för vård och omsorg (IVO) och Socialstyrelsen: Hälso- och sjukvård.
• Transportstyrelsen: Transportsektorn.
• Finansinspektionen: Bank och finansmarknadsinfrastruktur.

Nationellt cybersäkerhetscentrum (NCSC) fungerar som nationell samordningspunkt för cybersäkerhetsfrågor och producerar vägledning, men är inte i sig en tillsynsmyndighet med sanktionsbefogenhet.

Tillsynsåtgärder kan inkludera revisioner, säkerhetsskanningar, begäran om dokumentation och förelägganden om åtgärder. För väsentliga aktörer kan tillsyn ske proaktivt utan att en incident föregått granskningen.

Sanktionsnivåer:

• Väsentliga aktörer: Administrativa sanktionsavgifter upp till 10 miljoner euro eller 2 % av den globala årsomsättningen, det högre beloppet gäller.
• Viktiga aktörer: Upp till 7 miljoner euro eller 1,4 % av den globala årsomsättningen.

Lex Mundi bekräftar att Sverige valt administrativa sanktioner framför kriminalisering, men sanktionsnivåerna är ändå avsevärt högre än vad som gällde under NIS1. Det är värt att notera att sanktionerna beräknas på global omsättning, vilket gör dem kännbara även för medelstora koncerner.

Hur bedömer du om din organisation omfattas? En praktisk checklista

Självbedömningen är det första steget, och den måste dokumenteras oavsett vilket svar ni landar i.

Checklista för snabb bedömning:

1. Verkar organisationen inom någon av de 18 sektorerna? (Kontrollera mot NCSC:s sektorsbilagor.)
2. Uppfyller organisationen storlekskriterierna: minst 50 anställda, eller omsättning/balansomslutning över 10 miljoner euro?
3. Ingår organisationen i en koncern där moderbolaget eller ett dotterbolag uppfyller kriterierna? (Koncernstrukturer kan påverka bedömningen.)
4. Tillhandahåller organisationen tjänster som klassificeras som kritisk infrastruktur oavsett storlek?
5. Har organisationen redan fått besked från en tillsynsmyndighet om att den anses vara en verksamhetsutövare?

Om svaret är ja på punkt 1 och 2, eller ja på punkt 4, är ni sannolikt en verksamhetsutövare och ska registrera er.

Dokumentationssteg för att motivera beslutet:

• Spara den sektorsanalys ni gjort med hänvisning till aktuell lagtext och NCSC:s vägledning.
• Notera datum för bedömningen och vem som genomförde den.
• Om ni bedömer att ni inte omfattas, dokumentera skälen lika noggrant som om ni bedömt att ni omfattas.

90-dagars prioriteringar:

• Dagar 1–30: Slutför självbedömning, registrera er i MSB:s portal, utse ansvarig för incidentrapportering.
• Dagar 31–60: Genomför gap-analys mot de tio minimiområdena, identifiera de tre till fem mest kritiska bristerna, initiera leverantörsgenomgång för era viktigaste tredjepartsleverantörer.
• Dagar 61–90: Genomför utbildning för styrelse och ledning, fastställ säkerhetspolicy och riskacceptanskriterier formellt, testa incidentrapporteringsprocessen i en tabletop-övning.

Leverantörskedjans säkerhet är ett område som ofta underskattas. NIS2 kräver att ni bedömer era leverantörers säkerhetsnivå, inte bara er egen. En checklista för leverantörsbedömning ger en strukturerad utgångspunkt för det arbetet.

Hur kan en compliance-plattform stödja NIS2-efterlevnad i praktiken?

Cybersäkerhetslagen ställer krav på dokumentation, spårbarhet och styrning som är svåra att hantera i kalkylblad och e-posttrådar. En compliance-plattform centraliserar det arbetet och gör det möjligt att visa efterlevnad, inte bara hävda den.

Vad en plattform konkret löser:

• Centraliserad lagring av policyer, riskbedömningar och incidentloggar med versionskontroll och tidsstämplar.
• Strukturerade arbetsflöden för att tilldela ansvar, följa upp åtgärder och eskalera ärenden till rätt nivå.
• Automatiserade rapporter till styrelsen om säkerhetsläget, öppna åtgärder och incidentstatus.
• Stöd för leverantörsbedömningar med dokumenterade frågeformulär och riskklassificering.

Workflow-exempel: En organisation identifierar en lucka i sin åtkomstkontroll under gap-analysen. I en plattform skapas en åtgärd med ansvarig person, deadline och koppling till det specifika lagkravet. När åtgärden stängs genereras ett revisionsspår automatiskt. Vid en tillsynsgranskning kan organisationen visa exakt när problemet identifierades, vem som ansvarade och när det åtgärdades.

Mappning av plattformsfunktioner mot lagkrav:

Proffstips: Börja med att importera er befintliga dokumentation till plattformen innan ni startar gap-analysen. Det ger er en realistisk bild av vad som faktiskt finns och vad som saknas, snarare än vad ni tror finns.

Varför ledningen inte kan vänta med NIS2-prioriteringen

Det finns ett mönster i hur organisationer hanterar nya regulatoriska krav: man väntar på att sektorskollegor ska gå före, på att tillsynsmyndigheterna ska publicera mer detaljerade föreskrifter, eller på att en intern utredning ska bli klar. Med cybersäkerhetslagen är den strategin riskabel på ett sätt som skiljer sig från tidigare regelverk.

Incidentrapporteringsskyldigheten gällde från dag ett, den 15 januari 2026. En organisation som drabbas av ett allvarligt cyberangrepp och inte kan rapportera inom 24 timmar bryter mot lagen, oavsett om den hunnit registrera sig eller inte. Det är inte en hypotetisk risk. Det är en operativ sårbarhet som existerar idag.

Det som också ofta underskattas är att NIS2 inte är ett IT-projekt med ett slutdatum. Det är ett permanent styrningskrav. Styrelsen måste ha kunskap, inte bara delegera. Ledningen måste godkänna, inte bara informeras. Den organisation som behandlar NIS2 som ett engångsprojekt att “bocka av” kommer att ha svårt att hålla efterlevnaden levande när organisationen förändras, leverantörer byts ut och hotbilden utvecklas.

Passivitet är inte ett neutralt val. Det är ett aktivt beslut att acceptera regulatorisk, operativ och anseendemässig risk. Och det är ett beslut som styrelsen formellt äger.

Trustview hjälper er att nå och bevisa NIS2-efterlevnad

Att förstå cybersäkerhetslagen är ett steg. Att bevisa efterlevnad inför en tillsynsmyndighet är ett annat. Trustview är den compliance-plattform som tar er från självbedömning till dokumenterad, spårbar efterlevnad, utan att ni behöver bygga ett parallellt system i kalkylblad.

Med Trustview hanterar ni riskbedömningar, incidentloggar, leverantörsbedömningar och styrelserapportering i ett och samma verktyg. Plattformen stödjer NIS2, GDPR och ISO 27001 parallellt, vilket innebär att arbete ni lägger ner för ett regelverk direkt bidrar till efterlevnad av de andra. Ni kan delegera ansvar, följa upp åtgärder och generera revisionsklara rapporter utan manuell sammanställning.

Nästa steg: besök Trustviews NIS2-sida för att se hur plattformen mappar mot cybersäkerhetslagens krav, eller läs vår guide om hållbar complianceledning 2026 för att förstå hur ni bygger ett program som håller över tid. Boka en demo direkt på webbplatsen för att se plattformen i er kontext.

Källor

Dessa källor ger er den mest tillförlitliga och aktuella informationen om cybersäkerhetslagen och NIS2-implementeringen i Sverige.

• Det här är cybersäkerhetslagen
• NIS2 directive: implementation in Sweden (EU page)
• Regeringen
• NIS2 Now in Force: Sweden’s Registration Portal Opens and the Compliance Clock Starts
• NIS2 Implementation in the EU — Sweden (Lex Mundi)

Rekommendation

• NIS2 efterlevnad enkelt & säkert | TrustView
• Checklista: Leverantörsbedömning enligt NIS2 för compliance
• NIS2 leverantörskedja – därför räcker det inte att bara säkra din egen IT-miljö – TrustView
• Checklista för incidenthantering: guide för 2026 – TrustView