Vad är NIS2?

NIS2 är EU:s skärpta direktiv för cybersäkerhet och ersätter det första NIS-direktivet från 2016. Det tvingar betydligt fler sektorer att arbeta systematiskt med risker och incidenter, lägger ansvaret på ledningen och inför sanktionsavgifter kopplade till omsättningen.

I Sverige har direktivet blivit lag genom cybersäkerhetslagen, som gäller sedan januari 2026. För en berörd verksamhet handlar det inte längre om enskilda produkter, utan om att kunna visa att säkerhetsarbetet är systematiskt och förankrat.

Vad NIS2 ändrar jämfört med NIS1

Det första NIS-direktivet träffade ett begränsat antal sektorer och lämnade mycket till varje medlemsland. Resultatet blev ojämnt mellan länderna.

NIS2 rättar till det på tre sätt. Det utökar antalet sektorer kraftigt, det ställer mer enhetliga krav i hela unionen, och det inför kännbara sanktioner med ett uttalat ansvar för ledningen. Tröskeln för vad som räknas som en allvarlig incident sänks också, vilket gör att fler händelser måste rapporteras.

Cybersäkerhetslagen, NIS2 i svensk form

Ett direktiv gäller inte rakt av. Varje land skriver in det i sin egen lagstiftning, och i Sverige skedde det genom cybersäkerhetslagen som trädde i kraft den 15 januari 2026.

Från den 2 februari samma år gäller föreskrifterna om hur verksamheter ska anmäla och identifiera sig. Myndigheten för civilt försvar är central tillsynsmyndighet, och under den följer sektorsvisa myndigheter som Transportstyrelsen och Post- och telestyrelsen upp sina respektive områden.

Vilka verksamheter omfattas

Storlek och bransch avgör. Som huvudregel träffas företag med fler än 49 anställda, eller med en omsättning eller balansomslutning över 10 miljoner euro per år, om de verkar i en utpekad sektor.

Sektorerna är många: energi, hälsa, transport, vatten, bank, digital infrastruktur, offentlig förvaltning, livsmedel, avfall, posttjänster och tillverkning är några. De flesta statliga myndigheter, regioner och kommuner omfattas oavsett storlek. Storleksgränsen är inte heller absolut, en mindre aktör kan dras in om den är ensam om att leverera en viktig tjänst i ett område.

Väsentliga och viktiga aktörer

Lagen delar in dem som omfattas i två grupper, och skillnaden är inte bara på pappret. Väsentliga aktörer, till exempel inom energi och hälsa, står under proaktiv tillsyn och kan granskas utan att något har hänt.

Viktiga aktörer granskas i första hand efter en incident. Taket för sanktionerna skiljer sig också: enligt direktivet kan en väsentlig aktör få betala upp till 10 miljoner euro eller 2 procent av den globala omsättningen, medan motsvarande tak för en viktig aktör är 7 miljoner euro eller 1,4 procent.

Kraven på riskhantering

Kärnan i NIS2 är ett systematiskt arbetssätt. En verksamhet ska kartlägga sina risker och hantera dem med konkreta åtgärder, och kraven pekar ut flera områden:

• Riskanalys och rutiner för säkerheten i nätverk och system.
• Säkerhet i leveranskedjan, alltså även hos leverantörer och underleverantörer.
• Åtkomststyrning, multifaktorsautentisering och kryptering.
• Kontinuitetshantering och säkerhetskopiering så att driften klarar en attack.

Leveranskedjan är en viktig nyhet. En verksamhet ansvarar inte bara för sina egna system, utan måste också väga in riskerna hos de leverantörer den är beroende av. Arbetet ligger nära det bredare området cybersäkerhet och hur en organisation styr sin informationssäkerhet.

Incidentrapportering i flera steg

NIS2 sätter tydliga tidsgränser när en betydande incident inträffar. Först ska en tidig varning lämnas inom 24 timmar, så att tillsynsmyndigheten vet vad som är på gång.

Inom 72 timmar ska en mer utförlig incidentanmälan följa, och senast en månad efter incidenten ska en slutrapport lämnas med orsak, omfattning och åtgärder. Rapporteringen går till tillsynsmyndigheten och den nationella CSIRT-funktionen, som kan ge stöd under själva hanteringen. Tiderna är snäva med flit, eftersom tidiga varningar gör det möjligt att stoppa angrepp som sprider sig mellan flera verksamheter.

Ledningens ansvar

En förändring som fått mycket uppmärksamhet är att ansvaret läggs på ledningen. Styrelse och vd förväntas förstå riskerna, godkänna åtgärderna och hålla sig utbildade i frågan.

Att skjuta hela frågan på it-avdelningen är alltså inte längre ett alternativ, och en ledning som struntar i kraven kan hållas ansvarig. I praktiken blir cybersäkerhet en styrelsefråga, vid sidan av ekonomi och arbetsmiljö. Den som redan arbetar mot skadlig kod och andra hot har en bit på väg.

Så förbereder sig en verksamhet

Första steget är att avgöra om lagen gäller, utifrån sektor och storlek. Gör den det ska verksamheten anmäla sig enligt föreskrifterna.

Därefter görs en gap-analys mot kraven, följt av rutiner för riskhantering och incidentrapportering som förankras i ledningen. Den som börjar tidigt hinner få ordning på dokumentationen innan tillsynen hör av sig.