Cybersäkerhetslagen: vad den kräver, och vad ni ska göra först

Cybersäkerhetslagen är den svenska genomförandet av NIS2-direktivet, Europaparlamentets och rådets direktiv (EU) 2022/2555. Lagen har beteckningen SFS 2025:1506 och kompletteras av cybersäkerhetsförordningen SFS 2025:1507. Båda trädde i kraft den 15 januari 2026.

Den ersätter lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster, i dagligt tal NIS-lagen. Skillnaden mot den gamla lagen är inte bara fler sektorer: kraven är mer specificerade, tillsynen är hårdare, och ansvaret är uttryckligen placerat hos ledningen snarare än hos IT-funktionen.

Lagen delar in berörda i två klasser, och klassningen avgör hur tillsynen går till. Vilken klass en verksamhet hamnar i beror på två saker: vilken bilaga i NIS2-direktivet sektorn återfinns i, och hur stor verksamheten är.

NCSC beskriver logiken så här: en verksamhet i bilaga 2 räknas som viktig oavsett om den är stor eller medelstor. En verksamhet i bilaga 1 räknas som viktig om den är medelstor, men som väsentlig om den är stor.

Storleksdefinitionerna kommer inte från cybersäkerhetslagen utan från EU:s definition av mikroföretag samt små och medelstora företag, kommissionens rekommendation 2003/361/EG. Det är där gränserna för medelstort och stort företag fastställs, och det är den definitionen NCSC hänvisar vidare till.

Återfinns typen av verksamhetsutövare i bilaga 2 och är ett stort eller medelstort företag ses verksamhetsutövaren som viktig. Återfinns typen av verksamhetsutövare i bilaga 1 och är ett medelstort företag ses verksamhetsutövaren som viktig, men är verksamheten ett stort företag så ses verksamhetsutövaren som väsentlig.

NIS2-direktivet sätter golv för sanktionsavgifterna som medlemsstaterna inte får underskrida. För väsentliga verksamhetsutövare anger artikel 34.4 ett tak på minst 10 000 000 euro eller 2 procent av den totala globala årsomsättningen föregående räkenskapsår, beroende på vilket belopp som är högst. För viktiga verksamhetsutövare är motsvarande siffror 7 000 000 euro eller 1,4 procent.

Två saker är värda att vara noggrann med här. Beloppen är minimitak: medlemsstater får sätta högre, och flera har gjort det. Och det är direktivets nivåer, inte nödvändigtvis de svenska. Vilka sanktionsavgifter som gäller enligt cybersäkerhetslagen framgår av lagtexten. Den siffran återger vi inte här, eftersom vi inte verifierat den mot lagtexten.

Det som skiljer NIS2 från föregångaren är inte i första hand beloppen utan att de är obligatoriska. Under NIS1 hade medlemsstaterna stor frihet, och efterlevnaden blev därefter.

Klassningen bygger på två steg. Först avgör sektorn vilken bilaga i NIS2-direktivet verksamheten hör till, sedan avgör storleken vilken klass den hamnar i inom den bilagan.

Alla som omfattas ska anmäla sin verksamhet, oavsett sektor. Det gäller alltså även den som hamnar i den lägre klassen viktig verksamhetsutövare.

Anmälan tas emot av NCSC. Det är den detalj som oftast är fel i andrahandskällor: cyberverksamheten låg tidigare hos Myndigheten för civilt försvar, MCF, och dessförinnan hos MSB. Sedan den 1 juli 2026 går anmälningar till NCSC vid Försvarets radioanstalt, och formuläret skickas per e-post till [email protected].

Tidsangivelsen i NCSC:s egen text är inte ett fast slutdatum utan en skyndsamhetsregel, och det är värt att läsa ordagrant innan man planerar efter ett datum man läst någon annanstans.

Verksamhetsutövare ska så snart det kan ske, från den 2 februari, anmäla sig. Om anmälan inte inkommer inom 14 dagar kan tillsynsmyndigheterna komma att vidta åtgärder.

1. 01Avgör om ni omfattasJämför verksamheten mot bilaga 1 och bilaga 2 i NIS2-direktivet, och mot EU:s storleksdefinition. Dokumentera bedömningen. Den är utgångspunkten för allt annat, och den kommer att efterfrågas.
2. 02Anmäl verksamhetenAnmälan går till NCSC på [email protected]. Kontakta samma adress vid ändringar och kompletteringar.
3. 03Identifiera er tillsynsmyndighetTillsynen är sektorsindelad. Det är inte NCSC som utövar tillsyn över er verksamhet, utan den myndighet som ansvarar för er sektor.
4. 04Placera ansvaret hos ledningenLagen förutsätter att ledningen förstår åtgärderna, inte bara att någon i IT gör dem. Ett beslut som aldrig fattats av ledningen är svårt att visa upp vid tillsyn.

NCSC har ett samordningsansvar, men tillsynen är sektorsindelad: för varje sektor ansvarar en eller flera tillsynsmyndigheter. I praktiken betyder det att den myndighet ni redan har en relation till inom er bransch sannolikt är den som kommer att granska er efterlevnad. Post- och telestyrelsen, Finansinspektionen, Energimyndigheten, Transportstyrelsen och IVO förekommer alla, beroende på sektor.

Den uppdelningen är inte administrativ finlir. Den avgör vem ni rapporterar till, vem som begär in underlag, och vems föreskrifter som gäller utöver lagen.

En återkommande invändning från svenska säkerhetschefer är att ansvaret placeras kosmetiskt. Att utse en CISO inne i IT-avdelningen är inte samma sak som att ledningen tagit ansvar, och lagen är skriven för det senare.

Praktiskt innebär det att riskhanteringsåtgärderna ska vara beslutade, att ledningen ska kunna redogöra för dem, och att uppföljningen ska gå att visa. Det är en dokumentationsbörda, men det är också den enda delen av lagen som inte går att delegera bort.

Cybersäkerhetslagen räknar inte upp penetrationstest som en egen punkt. Kraven handlar om riskhantering, och test är ett av de sätt man visar att åtgärderna faktiskt fungerar snarare än att de finns på papper.

Det är också den vanligaste kritiken mot den svenska implementeringen från praktikerhåll: att föreskrifterna riskerar att belöna formalia och dokumentation framför åtgärder som höjer säkerheten. Ett test som verifieras för hand ger underlag som en revisor kan läsa och som en angripare redan har.