När börjar cybersäkerhetslagen gälla, och vilka datum finns på riktigt?

NIS2-direktivet antogs den 14 december 2022 och trädde i kraft i januari 2023, med den 17 oktober 2024 som sista dag för medlemsstaterna att ha genomfört det i nationell rätt. Sverige höll inte den tidpunkten, vilket är bakgrunden till att svenskt material från 2024 och 2025 är fullt av datum som sedan flyttades.

Det svenska genomförandet blev cybersäkerhetslag (2025:1506), som enligt övergångsbestämmelserna trädde i kraft den 15 januari 2026. Samma bestämmelser upphäver lagen om informationssäkerhet för samhällsviktiga och digitala tjänster (2018:1174), som dock fortfarande gäller för överträdelser som har skett före ikraftträdandet.

Anmälningsplikten regleras i 2 kap. 2 §, som säger att verksamhetsutövare ska anmäla sig så snart det kan ske. NCSC har angett att verksamheter kan anmäla sig från den 2 februari. Det är ett startdatum för kanalen, inte en frist som löper ut.

Denna lag träder i kraft den 15 januari 2026.

Under 2024 och 2025 fanns ett verkligt behov av att ge organisationer något att planera mot, och i frånvaro av en beslutad lag fyllde konsultmaterial luckan med uppskattningar. En del av de uppskattningarna publicerades som datum utan förbehåll och har sedan citerats vidare.

Det finns också en genuin källa till förvirring i att direktivet, den svenska lagen, och föreskrifter från myndighet är tre lager som träder i kraft vid olika tidpunkter. Ett datum som är korrekt för ett av lagren beskrivs ibland som om det gällde alla tre.

Vår hållning är att inte återge ett datum vi inte kan peka på i författningstext eller på en myndighets egen sida. Om ni möter ett bestämt datum för när allt ska vara klart, be om lagrummet. Finns det inget lagrum är datumet någons planeringsantagande.

Formuleringen är strängare än den låter. En bestämd sista dag ger en organisation utrymme att planera fram till det datumet. Ett krav på att anmäla så snart det kan ske innebär att fristen börjar löpa när ni konstaterat att ni omfattas, och att dröjsmålet ska kunna förklaras.

Det praktiska rådet följer av det: dokumentera när ni gjorde bedömningen att ni omfattas, och när ni anmälde er. Är det ett glapp mellan de två datumen, anteckna varför. Det är den anteckningen som gör dröjsmålet förklarligt i stället för oförklarat.

Samma logik gäller kraven i 2 kap. 3 §. De gäller sedan ikraftträdandet. Att arbetet med åtgärderna pågår är rimligt och väntat, men det bör finnas en plan med datum bakom påståendet, inte bara en avsikt.

Talet 14 dagar dyker upp två gånger i det här sammanhanget, med olika innebörd och olika källa, och de blandas rutinmässigt ihop.

Den första kommer från NCSC och gäller den som ännu inte anmält sig. Myndigheten skriver att tillsynsmyndigheterna kan komma att vidta åtgärder om anmälan inte inkommer inom 14 dagar. Det är inte en frist i lagtexten och NCSC anger inte uttryckligen vilken händelse de fjorton dagarna räknas från, men det är den närmaste motsvarigheten till en deadline som faktiskt finns.

Den andra kommer från lagen och gäller den som redan anmält sig. Förändringar i lämnade uppgifter ska anmälas senast 14 dagar efter det att förändringen ägde rum. Här är startpunkten tydlig.

Skillnaden är praktisk. Den första rör om ni finns i registret, den andra om uppgifterna där stämmer. En organisation som läst ihop dem tror ofta att den har fjorton dagar på sig från det att den upptäckt att den omfattas, vilket ingen av de två reglerna säger.

Lagen är inte det enda som styr. Myndighet får meddela föreskrifter om gemensamma delar av kraven, och de föreskrifterna träder i kraft vid sina egna tidpunkter, oberoende av lagens ikraftträdande.

Det betyder att svaret på frågan när något börjar gälla kan vara olika beroende på vilken skyldighet ni frågar om. Lagens krav gäller sedan den 15 januari 2026. En detaljregel i en föreskrift kan börja gälla senare och kan också ändras utan att lagen rörs.

Praktiskt hanteras det genom att er efterlevnadsdokumentation skiljer på lagrum och föreskrift, och anger vilken version av föreskriften bedömningen gjordes mot. Utan den uppgiften går det inte att avgöra i efterhand om bedömningen var aktuell när den gjordes.

Frågan om när lagen börjar gälla har ett annat svar för den som inte omfattades från början. En verksamhet som växer förbi storleksgränsen, byter inriktning eller förvärvar en verksamhet i en av bilagorna omfattas från den tidpunkt förutsättningarna faktiskt är uppfyllda, inte från nästa årsskifte.

Anmälningsplikten löper då på samma sätt som för alla andra: så snart det kan ske. Har ni redan anmält er och uppgifterna ändras, gäller i stället fristen på 14 dagar från att förändringen ägde rum.

Det som gör den här situationen svår att upptäcka är att ingen meddelar er. Bedömningen är er egen, och den behöver därför göras om vid förvärv, omorganisation och när personalstyrkan passerar gränsvärdena, inte bara en gång.

Eftersom lagen saknar en bestämd sista dag för att uppfylla kraven blir era egna datum det som visar att arbetet är styrt i stället för avvaktande. Fyra datum räcker långt.

Det första är dagen ni bedömde att ni omfattas, med bilagan och storleken angivna. Det andra är dagen ni anmälde er. Det tredje är dagen den nuvarande riskbedömningen gjordes. Det fjärde är den planerade tidpunkten för nästa översyn.

Vart och ett av datumen är trivialt att skriva ned i förväg och svårt att rekonstruera i efterhand. Det är hela poängen med att göra det nu, medan frågan är administrativ och inte akut.

Att ha missat anmälan är inte ett läge som förbättras av att vänta ytterligare. Anmälningsplikten kvarstår oförändrad, och tidpunkten då ni anmäler er noteras oavsett när ni gör det.

Ordningen som är rimlig att följa är att först avgöra om ni faktiskt omfattas, med bilagan och storleken dokumenterade, därefter anmäla, och därefter arbeta med åtgärderna enligt en plan med datum. Att vänta med anmälan tills åtgärderna är på plats är en vanlig men svårförsvarad ordning, eftersom anmälan och kraven är två separata skyldigheter.