NIS2-direktivet och cybersäkerhetslagen: vilken text gäller er?

Ett direktiv anger ett resultat som varje medlemsstat ska uppnå och överlåter åt staten att välja form och tillvägagångssätt. Det innebär att direktivet i normalfallet inte ger er skyldigheter direkt. Skyldigheten uppstår när staten genomfört direktivet, och den har då den utformning den nationella texten gett den.

Praktiskt betyder det att en bedömning som enbart hänvisar till artikelnummer i direktivet hänvisar till fel instrument. Tillsynen sker mot cybersäkerhetslagen och cybersäkerhetsförordningen. Direktivet kommer in som tolkningsunderlag, inte som den norm ni prövas mot.

Det finns en nyans värd att känna till. När en nationell text är otydlig ska den tolkas i ljuset av direktivet, eftersom syftet med genomförandet är att uppnå direktivets resultat. Det är därför direktivet är användbart även när det inte är bindande för er: det förklarar vad den svenska texten är avsedd att åstadkomma.

Denna lag träder i kraft den 15 januari 2026.

Den svenska lagen är kortare än direktivet på de punkter där direktivet är mest detaljerat. Riskhanteringsåtgärderna är det tydligaste exemplet: 2 kap. 3 § räknar upp tio områden, medan artikel 21 utvecklar flera av dem med exempel. Kontinuitetshantering nämns i den svenska texten tillsammans med krishantering; direktivet lägger till säkerhetskopiering och katastrofhantering som exempel på vad som avses.

Tidsfristerna är ett annat exempel. Stegen om 24 timmar, 72 timmar och en slutrapport står utvecklade i artikel 23. Den som bara läser den svenska texten får skyldigheten men inte alltid strukturen.

Åt andra hållet finns delar som bara finns på svensk sida. Undantaget för säkerhetskänslig verksamhet i 1 kap. 12 § är en nationell konstruktion. Utpekandet av tillsynsmyndighet per sektor i 7 § cybersäkerhetsförordningen är det också, liksom rollfördelningen mellan Försvarets radioanstalt och Post- och telestyrelsen.

Taken för sanktionsavgifter är satta i artikel 34 och skiljer på de två klasserna. För väsentliga verksamhetsutövare är taket 2 procent av den globala omsättningen, för viktiga 1,4 procent. Klassningen i sin tur följer av vilken bilaga verksamhetstypen står i kombinerat med storleken, där kommissionens rekommendation väger anställda, omsättning och balansomslutning tillsammans, och av att 1 kap. 9 § gör vissa verksamheter väsentliga oavsett storlek.

Att nivåerna har sitt ursprung i direktivet betyder inte att ni prövas mot direktivet. Det betyder att den svenska texten ska läsas som en genomförande av dem, och att artikel 34 är rätt källa att citera för själva talen.

Genomförandefristen löpte ut den 17 oktober 2024 och den svenska lagen trädde i kraft den 15 januari 2026. Under mellanperioden publicerades mycket svenskt material som beskrev direktivet som om det redan gällde, ofta med datum som senare flyttades.

Det materialet ligger kvar och rankar fortfarande. Ett dokument från 2024 kan vara helt korrekt om direktivet och samtidigt ge fel bild av vad som gäller er i dag, eftersom det skrevs innan den svenska texten fanns.

Testet är enkelt. Om en källa anger en skyldighet utan att kunna peka på ett svenskt lagrum eller på en paragraf i förordningen, beskriver den direktivet och inte er situation. Det gör den inte fel, men det gör den otillräcklig som underlag för en bedömning.

Vår rekommendation är att varje påstående i en efterlevnadsbedömning bär sin egen källa, och att källan är den text påståendet faktiskt följer av.

Skyldigheter citeras ur cybersäkerhetslagen med kapitel och paragraf. Frågor om vem, vart och av vem citeras ur cybersäkerhetsförordningen med paragraf. Detaljer om vad en åtgärd innebär och vilka tidsfrister som gäller citeras ur direktivet med artikelnummer, med en notering om att den svenska texten är det som binder.

Den disciplinen kostar ingenting när bedömningen skrivs och sparar en omtagning när någon frågar var ett påstående kommer ifrån. Den gör också uppdateringar billiga, eftersom en ändring i ett av de tre lagren bara träffar de rader som citerar just det lagret.