Vad är cybersäkerhetslagen?

Cybersäkerhetslagen är den svenska lag som genomför EU:s NIS2-direktiv. Den trädde i kraft den 15 januari 2026, ersätter den tidigare NIS-lagen från 2018 och ställer betydligt skarpare krav på hur samhällsviktiga verksamheter arbetar med cybersäkerhet.

Lagen pekar ut omkring 8 000 organisationer i arton sektorer, lägger ansvaret tydligt på ledningen och kopplar sanktionsavgifter till den som inte sköter sig. För en berörd verksamhet handlar det om att kartlägga sina risker, rapportera incidenter i tid och kunna visa att säkerhetsarbetet är systematiskt.

Från NIS1 till cybersäkerhetslagen

Sverige hade redan en NIS-lag, lagen från 2018 om informationssäkerhet för samhällsviktiga och digitala tjänster. Den byggde på det första NIS-direktivet och träffade ett begränsat antal aktörer.

Cybersäkerhetslagen, med beteckningen SFS 2025:1506, ersätter den lagen och vidgar tillämpningen kraftigt. Fler sektorer omfattas, kraven är mer enhetliga och tillsynen har fått skarpare verktyg. En tydlig nyhet är att ansvaret även omfattar säkerheten hos leverantörer, eftersom ett angrepp ofta tar vägen in via en underleverantör. Steget är det största i svensk cybersäkerhetsreglering på över ett decennium.

Vilka verksamheter omfattas

Lagen träffar verksamheter utifrån sektor och storlek. Som huvudregel gäller den för medelstora och större organisationer, från omkring 50 anställda eller en viss omsättning, inom en av de utpekade sektorerna.

De omfattade delas in i väsentliga och viktiga aktörer. De känsligaste, som energi, hälsa, transport, vatten, bank och digital infrastruktur, räknas som väsentliga och står under hårdare tillsyn. Till de viktiga hör sektorer som livsmedel, avfall, posttjänster och tillverkning. Vissa aktörer omfattas oavsett storlek, till exempel om de är ensamma om att leverera en kritisk tjänst i ett område.

Anmäl dig själv

En sak som många missar är att det är verksamheten själv som ska avgöra om lagen gäller och anmäla sig. Tillsynsmyndigheten skickar inte ut något besked.

Att vänta och se är därför ingen bra strategi. Den som omfattas men låter bli att registrera sig kan ändå hållas ansvarig, och anmälan är första steget för att veta exakt vilka krav som gäller.

Kraven i korthet

Lagen kräver ett systematiskt säkerhetsarbete, inte enstaka produkter. I praktiken handlar det om några återkommande delar:

• Riskanalys och åtgärder för säkerheten i nätverk och system.
• Säkerhet i leveranskedjan, alltså även hos leverantörer och underleverantörer.
• Åtkomststyrning, flerfaktorsautentisering och kryptering.
• Kontinuitet och säkerhetskopiering så att driften klarar en attack.
• Rutiner för att upptäcka, hantera och rapportera incidenter.

Arbetet ligger nära det bredare området informationssäkerhet, som handlar om att skydda information oavsett om den är digital eller inte.

Incidenter ska rapporteras snabbt

När en betydande incident inträffar finns snäva tidsgränser. En tidig varning ska lämnas inom 24 timmar, en mer utförlig anmälan inom 72 timmar och en slutrapport senast en månad efter incidenten.

Rapporteringen går till tillsynsmyndigheten och till CERT-SE, som är Sveriges nationella CSIRT och kan ge stöd under hanteringen. Tiderna är korta med flit, eftersom tidiga varningar gör det möjligt att stoppa angrepp som annars sprider sig mellan flera verksamheter.

Vem har ansvaret

Två saker skiljer cybersäkerhetslagen från den gamla regleringen. Ansvaret ligger på ledningen, och det finns kännbara sanktionsavgifter.

Styrelse och ledning förväntas förstå riskerna, besluta om åtgärderna och hålla sig utbildade i frågan. Att skjuta den på it-avdelningen räcker inte. Myndigheten för civilt försvar har en central roll, medan sektorsmyndigheter som Transportstyrelsen och Post- och telestyrelsen följer upp sina respektive områden.

Avgifterna är inte symboliska. För en väsentlig aktör kan de enligt direktivet uppgå till 10 miljoner euro eller 2 procent av den globala årsomsättningen, och för en viktig aktör 7 miljoner euro eller 1,4 procent. Hur väl ledningen har skött sitt ansvar kan dessutom vägas in när avgiften bestäms.

Inte samma sak som säkerhetsskyddslagen

Cybersäkerhetslagen blandas lätt ihop med säkerhetsskyddslagen, men de skyddar olika saker. Säkerhetsskyddslagen handlar om verksamhet som är viktig för Sveriges säkerhet, alltså skyddet mot spioneri, sabotage och annat som hotar rikets säkerhet.

Cybersäkerhetslagen handlar i stället om driftsäkerheten i samhällsviktiga tjänster. En verksamhet kan omfattas av båda samtidigt, och då gäller respektive lags krav parallellt.

De första stegen

Avgör först om lagen gäller, utifrån sektor och storlek, och anmäl er om den gör det. Gör sedan en nulägesanalys mot kraven och täpp till de största luckorna först.

Förankra arbetet i ledningen och sätt rutiner för incidentrapportering innan något händer. Den som börjar tidigt hinner få ordning på både teknik och dokumentation innan tillsynen hör av sig.