NIS2-anmälan i Sverige: så anmäler du till NCSC

Vad innebär NIS2-anmälan i Sverige?

NIS2-anmälan i Sverige innebär en rättsliga skyldighet för varje organisation som omfattas av cybersäkerhetslagen att anmäla sin verksamhet, sektor och klassificering till den nationella kontaktpunkten. Anmälan bygger på organisationens egen bedömning. Ingen myndighet talar först om för dig att din organisation omfattas av lagen.

Just den sista punkten är något som många missar. NCSC avgör inte om din organisation omfattas, vilken sektor den till hör eller om den ska klassificeras som väsentlig eller viktig. Det är du som gör bedömningen, dokumenterar den och anmäler organisationen utifrån den. Tillsynsmyndigheterna kan ibland ge stöd, men det är verksamhetsutövaren som ansvarar för bedömningen.

Regelverket infördes i etapper. Sverige genomförde NIS2-direktivet genom cybersäkerhetslagen (2025:1506) och cybersäkerhetsförordningen (2025:1507), båda trädde i kraft den 15 januari 2026 och ersatte NIS-lagen från 2018. Själva anmälningsförfarandet öppnades först den 2 februari 2026, när föreskriften MCFFS 2026:1 trädde i kraft.

Förteckningen har enligt MCF två huvudsakliga syften. Sverige ska sammanställa och upprätthålla en förteckning över samtliga verksamhetsutövare som fattas av lagen. Varje tillsynsmyndighet ska kunna se vilka verksamhetsutövare den ansvarar för. Förteckningen är inte offentlig. En del av sammanställningen lämnas även till EU-kommissionen och Enisa.

Det här ändrades den 1 juli 2026

Den 20 november 2025 beslutade regeringen att samla Sveriges cybersäkerhetsfunktioner hos Nationellt cybersäkerhetscenter (NCSC), som ingår i FRA sedan 2024. Beslutet byggde på utredningen Samlade förmågor för ökad cybersäkerhet (SOU 2025:79). Förändringen trädde i kraft den 1 juli 2026.

Det som flyttades var omfattande. CERT-SE, Sveriges nationella CSIRT, rollen som cyberkrishanteringsmyndighet, den nationella kontaktpunkten enligt NIS2 samt uppgifterna enligt cybersäkerhetslagen, inklusive hanteringen av anmälningar. Även NCC-SE, det nationella samordningscentret för cybersäkerhetsforskning flyttades över.

Förändringen skedde genom författningsändringar, inte bara genom ett myndighetsmeddelande. Genom en ändring i cybersäkerhetsförordningen, SFS 2026:623, ersattes MCF med FRA som gemensam konaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet. Eftersom förordningen styr anmälan till den gemensamma kontaktpunkten innebär förändringen också att NIS2-anmälan från och med den 1 juli 2026 ska skickas till FRA/NCSC.

En praktisk märklighet är att föreskrifterna fortfarande har MCF i sina beteckningar, bland annat MCFFS 2026:1 och MCFFS 2026:8. Det beror på att föreskrifterna ännu inte har fått nya beteckningar. Det gäller fortfarande och FRA ansvarar för dem nu. En föreskrift med beteckningen MCFFS är alltså fortfarande en gällande föreskrift.

Före 1 juli 2026

Anmälan gjordes till MCF genom en anmälningstjänst på webben som nåddes via mcf.se. En förenklad version av tjänsten lanserades den 2 februari 2026. Organisationer som anmälde sig genom den behöver inte anmäla sig igen.

Det viktiga är att MCF uttryckligen angav att anmälningar som skickades via e-post inte skulle behandlas. Adressen nis2anmalan@mcf.se var till för frågor om anmälningstjänsten, inte för att skicka in själva anmälan

Från 1 juli 2026

E-post är nu rätt kanal. Du hämtar anmälningsformuläret från NCSC som ett kalkylblad, fyller i det och skickar det till nis2anmalan@ncsc.se. Formuläret har reviderats efter övergången, så använd en akuell version istället för att återanvända ett formulär som du sparat tidigare.

Regeln bytte alltså inte bara adress – den vändes. Om det fortfarande står i dina rutiner att anmälningar som skickas via e-post inte behandlas, beskriver rutinen nu motsatsen till det som gäller. Det är den mest sannolika förklaringen till att en anmälan som skickats efter den 1 juli 2026 inte har kommit fram.

Vem ska anmäla sig?

Varje verksamhetsutövare som omfattas av cybersäkerhetslagen ska anmäla sig, oavsett sektor. Lagen delar in verksamhetsutövarna i 18 sektorer. Omfattningen knyts till den juridiska personen vilket i praktiken innebär organisationsnumret.

Huvudregeln bygger på tre delar. Du bedriver en verksamhet som räknas upp i bilaga 1 eller bilaga 2 till NIS2-direktivet, du är etablerad i Sverige och du motsvarar storleksmässigt minst ett medelstort företag enligt kommissionens rekommendation 2003/361/EG. Transportstyrelsen anger storlekskravet som minst 50 anställda eller en årsomsättning och en balansomslutning som var för sig uppgår till minst 10 miljoner euro.

Storlekskravet är en huvudregel, inte ett skydd mot att omfattas. Lagen fångar även mindre verksamheter på tre ytterligare grunder.

Den första är att vara enda leverantören i Sverige av en tjänst som är väsentlig för kritisk samhällelig eller ekonomisk verksamhet.

Den andra är att en störning av din tjänst kan ha betydande konsekvenser för människors liv och hälsa, allmän säkerhet eller folkhälsa. Störningar som kan medföra betydande systemrisker räknas också.

Den tredje är särskild betydelse på nationell eller regional nivå för en sektor, en typ av tjänst eller andra sektorer som är beroende av dig. Tillhandahållare av betrodda tjänster omfattas oavsett storlek.

Två särskilda vägar in är särskilt viktiga för teknikbolag. Den som i Sverige tillhandahåller allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster omfattas enligt en särskild bestämmelse.

En annan särskild bestämmelse omfattar bland annat molntjänster, datacentraltjänster, nätverk för leverans av innehåll, utlokaliserade driftstjänster, utlokaliserade säkerhetstjänster, marknadsplatser online, sökmotorer, plattformar för sociala nätverkstjänster, registreringsenheter för toppdomäner, DNS-tjänster och domännamnsregistreringstjänster. Dessa omfattas när huvudsakligt etableringsställe finns i Sverige eller när en företrädare är etablerad här.

Har du anmält dig enligt den gamla NIS-lagen måste du anmäla dig igen. NCSC är tydligt på den punkten. Tidigare anmälan följer inte med.

Att vara underleverantör räcker inte i sig. Att leverera tjänster till en organisation som omfattas av lagen gör dig inte automatiskt till verksamhetsutövare i egen rätt, Däremot kan dina kunder föra vidare motsvarande krav genom avtal.

Kommuner och regioner

Kommuner, regioner och kommunalförbund omfattas under sektorn offentlig förvaltning. De anmäler sig som alla andra. Hela kommunen anmäler sig som en verksamhetsutövare, inte förvaltning för förvaltning.

Det spelar roll eftersom en kommun ofta bedriver verksamhet i flera sektorer samtidigt, bland annat vatten, avfall, energi och transport. Dessa sektorer kan anges i samma anmälan. Notera att kommunfullmäktige och regionfullmäktige själva står utanför lagens tillämpningsområde.

Koncerner och dotterbolag

Skiljelinjen går vid organisationsnummer, inte vid koncernstrukturen. En anmälan omfattar en juridisk person, och samma anmälan kan innehålla fler sektorer.

Om en koncern bedriver verksamhet inom flera sektorer kan dessa sektorer anges i samma anmälan, så länge verksamheten bedrivs av samma juridiska person. Dotterbolag eller andra bolag i koncernen som har egena organisationsnummer ska däremot göra egna anmälningar.

Om du behöver anmäla flera verksamhetsutövare ska du skicka ett separat mail för varje anmälan, inte samla flera anmälningar i samma mail.

Utländska bolag och företrädare

Anmälningsformuläret frågar om du är en organisation i Sverige eller en företrädare i Sverige. Där avgörs jurisdiktionen i praktiken.

En verksamhetsutövare som saknar etablering någonstans inom EES, men som i övrigt uppfyller bestämmelsen om digitala tjänster och erbjuder tjänster i Sverige, ska utse en företrädare. Företrädaren ska vara etablerad i Sverige eller i ett annat EES-land där tjänsterna erbjuds.

FRA har rätt att meddela föreskrifter om vad som utgör ett huvudsakligt etableringsställe. En koncern med verksamhet i flera medlemsstater bör därför kontrollera vad som gäller innan den utgår från att Sverige är, eller inte är, rätt land att anmäla i.

Vilka som står utanför lagen

Lagen gäller inte för regeringen, Regeringskansliet, utlandsmyndigheter, kommittéväsendet, myndigheter under riksdagen, domstolar eller nämnder som utövar rättskipning.

Statliga myndigheter som till övervägande del bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen står också utanför. Detsamma gäller den som till övervägande del bedriver brottsbekämpande verksamhet. Om bara en del av organisationen bedriver sådan verksamhet är det endast den delen som undantas från de materiella skyldigheterna. Tillhandahållare av betrodda tjänster omfattas däremot inte av dessa undantag.

DORA kräver en särskild kommentar. Verksamhetsutövare som har undantagits enligt artikel 2.4 i DORA faller helt utanför lagen. För dem verksamhetsutövare som DORA omfattar gäller däremot att skyldigheterna om säkerhetsåtgärder och incidentrapportering enligt cybersäkerhetslagen inte ska tillämpas.

Anmälningsskyldigheten regleras i en separat bestämmelse som inte omfattas av detta undantag. Ett DORA-reglerat företag bör därför inte utgå från att det automatiskt är undantaget från anmälningsskyldigheten. Kontrollera vad som gäller med Finansinspektionen innan du drar slutsats åt något håll.

Finns det ett sista datum för anmälan?

Inte något fast datum. Här har en del förvirring uppstått. Lagen kräver att du anmäler dig så snart det kan ske, men anger inget kalenderdatum för en första anmälan.

Det finns lagstadgade 14-dagarsfrist, men den gäller något annat. Om de förhållanden som redovisats i en anmälan ändras ska du anmäla ändringen så snart det kan ske och senast 14 dagar efter att ändringen ägde rum. Det är en regel om att hålla en befintlig anmälan aktuell.

Parallellt anger NCSC på sin anmälningssida att verksamhetsutövare ska anmäla sig så snart det kan ske från den 2 februari 2026. Myndigheten tillägger att tillsynsmyndigheterna kan komma att vidta åtgärder om anmälan inte inkommer inom 14 dagar. Att läsa de två uttalandena tillsammans har lett till att ett hårt sista datum, 16 februari 2026, cirkulerar i vägledningar. Något sådant datum finns inte i lagen.

NCSC:s eget svar är mer återhållsamt. Att missa 14 dagar innebär inte automatiskt tillsyn eller sanktion. Tillsynsmyndigheten beslutar när och för vilka verksamhetsutövare tillsyn ska inledas. Därefter bedömer myndigheten separat om det finns grund för ett ingripande.

Den praktiska slutsatsen för en efterlevnadsansvarig är enkel. Sent är sämre än tidigt, men 14 dagar är inte ett stup. Har du landat i att du omfattas, anmäl nu i stället för att vänta på ett datum som inte finns. Är du fortfarande osäker, dokumentera bedömningen medan du gör den. Den dokumentationen är vad du visar en tillsynsmyndighet för att förklara tidpunkten.

Så anmäler du, steg för steg

Arbeta i den här ordningen.

Först, bedöm och dokumentera. Ta ställning till om du omfattas med hjälp av lagen, bilaga 1 och 2 till direktivet, föreskriften MCFFS 2026:1 och NCSC:s vägledning om anmälan och identifiering. Skriv ner skälen.

NCSC:s råd för ett gränsfall är rakt. Lutar det åt att du omfattas, dokumentera varför och anmäl dig, eftersom en anmälan kan återtas senare om bedömningen ändras. Lutar det åt motsatsen, dokumentera varför ändå, så att du kan visa en tillsynsmyndighet ditt underlag.

För det andra, utse en ansvarig. NCSC rekommenderar att organisationen pekar ut en person som ansvarar för en komplett anmälan för samtliga delar av verksamheten som omfattas. Splittrad hantering är hur sektorer missas.

För det tredje, ladda ner det aktuella formuläret. Hämta det från NCSC:s anmälningssida i stället för från en sparad kopia, eftersom formuläret har uppdaterats efter övergången.

För det fjärde, fyll i det. Formuläret frågar efter organisationsnamn och organisationsnummer, etablering, adress, e-post och telefonnummer. Därefter efterfrågas sektor och eventuell delsektor, där flera kan väljas, samt sektorsverksamhet inom EU och EES.

De sista fälten underskattas ofta. Du anger hur du identifierat dig som verksamhetsutövare, om du är väsentlig eller viktig, dina identifierare mot internet inklusive IP-adresser och domännamn, samt kontaktuppgifter till dig som anmäler.

För det femte, skicka formuläret till nis2anmalan@ncsc.se. En anmälan per e-post. NCSC tar endast emot e-post som är krypterad med TLS under överföringen. De flesta e-posttjänster gör detta automatiskt. Gör inte din det kommer anmälan inte fram, och din egen leverantör skickar tillbaka ett felmeddelande.

Kan du inte skicka över TLS, kontakta NCSC på ncsc@ncsc.se eller per telefon för instruktioner om en annan säker väg. Skicka inte själva anmälan till den adressen. Den är inte anmälningskanal.

För det sjätte, vänta på kvittensen. NCSC bekräftar en behandlad anmälan inom två arbetsdagar. Kommer inget inom den tiden, utgå från att anmälan inte kommit fram och följ upp den i stället för att vänta. Behöver något förtydligas hör NCSC av sig.

En tredje part får anmäla för din räkning, till exempel en rådgivare eller en koncernfunktion. Fullmakt krävs inte vid anmälan, men en anmälan av tredje part behöver styrkas om ärendet når tillsyn.

Högskola och forskning

Föreskrift och vägledning klargjorde inte detta från början, så NCSC har förtydligat det separat och lägger in det i uppdaterad vägledning under hösten 2026.

Forskningsorganisationer anmäler sig i sektorn Forskning. Statliga högskolor och universitet som uppfyller kriterierna för statliga myndigheter anmäler sig i sektorn Offentlig förvaltning. Enskilda utbildningsanordnare med tillstånd att utfärda examina anmäler sig i sektorn Forskning, som enskild utbildningsanordnare, om de är etablerade i Sverige och uppfyller storlekskriteriet.

Vilken myndighet utövar tillsyn över dig?

NCSC tar emot din anmälan. NCSC utövar inte tillsyn över dig. Tillsynen är fördelad på åtta myndighetsgrupper efter sektor enligt cybersäkerhetsförordningen. NCSC lämnar dina uppgifter vidare till dem som gäller för dig.

Statens energimyndighet svarar för energi. Transportstyrelsen svarar för transporter samt tillverkning av motorfordon, släpfordon och påhängsvagnar och av andra transportmedel. Finansinspektionen svarar för bankverksamhet och finansmarknadsinfrastruktur. Inspektionen för vård och omsorg svarar för vårdgivare. Läkemedelsverket svarar för resten av hälso- och sjukvårdssektorn samt tillverkning av medicintekniska produkter och produkter för in vitro-diagnostik.

Livsmedelsverket svarar för dricksvatten, avloppsvatten samt produktion, bearbetning och distribution av livsmedel. Post- och telestyrelsen svarar för digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster mellan företag, post- och budtjänster samt rymden. PTS utövar dessutom tillsyn över länsstyrelserna själva och över den som erbjuder domännamnsregistreringstjänster.

Sex länsstyrelser, de i Norrbottens, Skåne, Stockholms, Västra Götalands, Örebro och Östergötlands län, delar återstoden. Det omfattar avfallshantering, forskning och offentlig förvaltning med undantag för länsstyrelserna själva. Det omfattar även tillverkning, produktion och distribution av kemikalier, samt tillverkning av datorer, elektronikvaror och optik, av elapparatur och av övriga maskiner.

För kommuner, regioner och verksamhetsutövare med säte i ett län delar länsstyrelserna landet geografiskt. Norrbotten tar Jämtland, Norrbotten, Västerbotten och Västernorrland. Skåne tar Blekinge, Kronoberg och Skåne. Stockholm tar Gotland och Stockholm. Västra Götaland tar Halland och Västra Götaland. Örebro tar Dalarna, Gävleborg, Södermanland, Uppsala, Värmland, Västmanland och Örebro. Östergötland tar Jönköping, Kalmar och Östergötland.

Du kan hamna hos fler än en tillsynsmyndighet. Har två eller flera tillsynsansvar för samma verksamhetsutövare kräver förordningen att de kommer överens om hur tillsynen ska genomföras. FRA leder ett samarbetsforum som ska hålla tillsynen likvärdig mellan sektorer. En kommun som driver vatten och energi vid sidan av sina förvaltningsuppgifter är det tydliga fallet.

En överlappning till är värd att känna till. Är en incident även en personuppgiftsincident ska din tillsynsmyndighet samarbeta med Integritetsskyddsmyndigheten. Incidenten ska då rapporteras till både NCSC och IMY.

Anmälan är inte incidentrapportering

Det här är två skilda skyldigheter på två skilda kanaler. Att blanda samman dem är ett vanligt och kostsamt misstag. Att fullgöra den ena befriar inte från den andra.

Anmälan är det e-postade formuläret som beskrivs ovan. Den görs en gång och hålls därefter aktuell.

Incidentrapportering sker i cyberportalen på cyberportal.ncsc.se. Den kräver svensk e-legitimation, med ett reservförfarande för den som saknar eller inte vill använda sådan. Rapporten får skrivas på engelska. Det tidigare systemet IRON stängde den 30 juni 2026, så rapportering som påbörjats där fick slutföras i den nya portalen.

Sedan den 1 juli 2026 går alla incidenter till NCSC, som vidarebefordrar varje rapport till berörda tillsynsmyndigheter. Drabbar en incident flera av dina sektorer lämnar du ändå en rapport, inte flera.

Tidsramarna är snäva. Du upplyser NCSC om en betydande incident så snart det kan ske och senast 24 timmar efter att du fått kännedom om den. En fylligare incidentanmälan följer så snart det kan ske, inom 24 timmar för tillhandahållare av betrodda tjänster och 72 timmar för övriga.

Delrapporter lämnas på begäran. En slutrapport ska lämnas inom en månad. Pågår incidenten fortfarande då lämnar du i stället en lägesrapport, och slutrapporten en månad efter att incidenten hanterats.

En sak är värd att notera för den som fortfarande väger om anmälan ska göras. Skyldigheterna väntar inte på din anmälan. Kraven på säkerhetsåtgärder och incidentrapportering gäller sedan lagen trädde i kraft. Att anmäla sig sent skjuter inte upp dem.

Vad händer om anmälan blir fel

Risken är inte en automatisk sanktionavgift. Risken är snarare att du hamnar i tillsynssystemet med en felaktig eller bristfälligt dokumenterad bedömning som utgångspunkt. Lagen ger tillsynsmyndigheterna fler verktyg, och det är värt att förstå dem innan du behöver hantera dem.

Planlagd tillsyn gäller väsentliga verksamhetsutövare. En tillsynsmyndighet kan inleda tillsyn enligt sin plan utan att något särskilt har inträffat. För viktiga verksamhetsutövare är tillsynen därmed händelsestyrd. Lagen tillåter åtgärder bara när myndigheten har anledning att anta att reglerna inte följs.

En begäran om uppgifter kan komma tidigt i tillsynen. Den som står under tillsyn ska på begäran lämna de uppgifter och handlingar som behövs. Här kan en saknad eller odokumenterad bedömning av om verksamheten omfattas blir särskilt problematisk, eftersom du då har svårt att visa hur du kom fram till din bedömning.

Tillsynsmyndigheten har också rätt att få tillträde till lokaler och andra utrymmen som används i den verksamhet som omfattas av tillsyn, men inte till bostäder. Säkerhetsrevisioner kan göras regelbundet hos väsentliga verksamhetsutövare, av myndigheten själv eller av ett oberoende organ myndigheten utser. Riktade revisioner kan göras hos var och en som står under tillsyn om det finns särskilda skäl. Säkerhetsskanningar får genomföras, i samarbete med verksamhetsutövaren.

Förelägganden är det främsta verktyget. En myndighet kan förelägga dig att fullgöra dina skyldigheter, kan förelägga dig att offentliggöra information om överträdelser och kan förena föreläggandet med vite. Ett vitesföreläggande får riktas mot staten likaväl som mot en enskild verksamhetsutövare. Hindrar du tillsynen kan myndigheten begära handräckning av Kronofogdemyndigheten.

En överträdelse räknas som allvarlig enligt lagen när den är upprepad, när du inte rapporterat eller informerat som krävs, när du inte avhjälpt en betydande incident, när du inte följt ett föreläggande, när du hindrat en tillsynsåtgärd eller när du lämnat falska eller grovt oriktiga uppgifter.

Förbud att inneha en ledningsfunktion ligger längst ut. En domstol kan förbjuda en person att inneha en ledningsfunktion i ett till tre år, men bara hos en väsentlig enskild verksamhetsutövare, bara efter att ett föreläggande redan har negligerats, bara när den bakomliggande överträdelsen har varit allvarlig och bara när personen har orsakat den uppsåtligen eller av grov oaktsamhet. Förbudet kan inte riktas mot offentliga verksamhetsutövare.

Beslut kan överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten.

Sanktionsavgifter vid bristande efterlevnad

Sanktionsavgiften börjar på 5 000 kronor i samtliga fall. Taket beror på vilken typ av verksamhetsutövare du är.

För en väsentlig enskild verksamhetsutövare är taket det högsta av 2 % av den totala globala årsomsättningen närmast föregående räkenskapsår eller ett belopp i kronor motsvarande 10 miljoner euro. För en viktig enskild verksamhetsutövare är det det högsta av 1,4 % av samma omsättning eller motsvarande 7 miljoner euro. För en offentlig verksamhetsutövare är taket 10 miljoner kronor.

Valet av ingripande är inte mekaniskt. En myndighet väger hur allvarlig överträdelsen är, hur länge den pågått och vilken skada eller risk för skada den medfört. Särskild vikt läggs vid tidigare överträdelser, vid vad du gjort för att förhindra eller minska skadan, vid om överträdelsen varit uppsåtlig eller berott på oaktsamhet och vid den ekonomiska fördel du fått.

Förfarandet sätter reella gränser. En avgift får beslutas bara om den som avgiften ska tas ut av fått tillfälle att yttra sig inom två år från överträdelsen. Betalning ska ske inom 30 dagar från att beslutet fått laga kraft. En avgift faller bort om beslutet inte verkställts inom fem år. Avgifterna tillfaller staten.

För de flesta verksamhetsutövare är anmälan avgiftsfri. Undantaget är den som tillhandahåller allmänna elektroniska kommunikationsnät och kommunikationstjänster, där en tillsynsmyndighet får ta ut en avgift för handläggningen av anmälningsärendet och dessutom ska ta ut en årlig avgift som täcker myndighetens kostnader för den gruppen.

Så håller du din anmälan aktuell

Behandla anmälan som en levande uppgift, inte som en avklarad punkt. Här gäller de lagstadgade 14 dagarna.

Anmäl varje ändring av förhållandena i din anmälan så snart det kan ske och senast 14 dagar efter att ändringen ägde rum. Ändringar, kompletteringar och avanmälningar skickas till nis2anmalan@ncsc.se, under samma TLS-krav som den ursprungliga anmälan.

Sätt en rutin som fångar upp sådana förändringar. Till förhållandena hör organisationsnummer, registrerad adress, vilka sektorer eller delsektorer du verkar i, klassificeringen väsentlig eller viktig, dina identifierare mot internet såsom IP-serier och domännamn samt den person som anges som kontakt.

Ett dotterbolag som förvärvas eller avyttras, en ny tjänst, en flytt av datacenter och ett byte av efterlevnadsansvarig är alla vanliga affärshändelser som tyst startar en klocka på 14 dagar.

Gör en avanmälan om din bedömning verkligen ändras. Det finns möjlighet att avanmälan en verksamhet finns. NCSC ser hellre en uppdaterad företeckning än en förteckning som innehåller felaktiga uppgifter.

Håll koll på föreskrifterna, för regelverket fylls fortfarande i. Föreskrifterna om säkerhetsåtgärder och ledningens utbildning trädde i kraft den 1 oktober 2026, tillsammans med dem om säkerhetsrevisioner och säkerhetsskanningar.

Anslutning till ANTS blev ett krav från samma datum, om det inte är uppenbart obehövligt. I så fall förväntas något minst likvärdigt i stället. Vägledningen om anmälan för högskolesektorn ska uppdateras under hösten 2026.

Kom ihåg att anmälan är början. Ledningen ska genomgå utbildning om säkerhetsåtgärder. Lagen anger tio minsta områden för åtgärderna, från riskanalys och incidenthantering via kontinuitetshantering, säkerhet i leveranskedjan och cyberhygien till kryptografi, åtkomstkontroll och vid behov stark autentisering.

Enligt förarbetena avses med ledningen styrelse och vd i ett aktiebolag. För en kommun eller region är det kommun- eller regionstyrelsen.

Tre saker att göra nu

Innehållet i NIS2-anmälan i Sverige ändrades inte den 1 juli 2026. Skyldigheten, den egna bedömningen och de uppgifter som krävs är samma som i februari. Det som ändrades är vart anmälan går och hur du skickar den. Ändringen gick i den riktning minst antal räknade med, från en portal som avvisade e-post till en e-postkanal utan portal.

Gör därför tre saker. Hämta en färsk kopia av anmälningsformuläret från NCSC, skicka det till nis2anmalan@ncsc.se över en TLS-krypterad förbindelse och kontrollera att kvittensen kommer inom två arbetsdagar. Gör den inte det, behandla anmälan som aldrig inlämnad.

Vanliga frågor

Vem ska anmäla sig enligt NIS2 i Sverige?

Varje verksamhetsutövare som omfattas av cybersäkerhetslagen, i någon av de 18 sektorerna, kommuner och regioner inkluderade. Huvudtestet är verksamhet enligt bilaga 1 eller 2, etablering i Sverige och en storlek som motsvarar minst ett medelstort företag. Mindre verksamheter fångas när de är enda leverantören av en väsentlig tjänst.

Hur anmäler jag min verksamhet enligt NIS2?

Sedan den 1 juli 2026 hämtar du anmälningsformuläret från NCSC, fyller i det och skickar det med e-post till nis2anmalan@ncsc.se. E-posten måste vara krypterad med TLS under överföringen, annars kommer den inte fram. Skicka en anmälan per mejl. NCSC bekräftar en behandlad anmälan inom två arbetsdagar.

Finns det ett sista datum för NIS2-anmälan i Sverige?

Det finns inget fast kalenderdatum för en första anmälan. Lagen kräver att du anmäler dig så snart det kan ske. NCSC uppmanar verksamhetsutövare att anmäla sig så snart det kan ske från den 2 februari 2026 och anger att tillsynsmyndigheterna kan vidta åtgärder om anmälan inte inkommit inom 14 dagar.

Vad händer om vi inte anmäler oss inom 14 dagar?

Enligt NCSC innebär det inte automatiskt att du blir föremål för tillsyn eller sanktioner. Tillsynsmyndigheten beslutar när och för vilka verksamhetsutövare tillsyn ska inledas. Den bedömer separat om det finns grund för ingripande genom anmärkning, föreläggande eller sanktionsavgift enligt lagen.

Vem utövar tillsyn över oss enligt NIS2 i Sverige?

Inte NCSC. NCSC tar emot anmälningar och lämnar dem vidare. Tillsynen ligger hos sektorsmyndigheten, det vill säga Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Läkemedelsverket, Livsmedelsverket, PTS eller en av sex länsstyrelser. Den som verkar i flera sektorer kan ha flera tillsynsmyndigheter.

Gör en koncern en anmälan eller flera?

En anmälan per juridisk person, och samma anmälan kan ange flera sektorer. Omfattas en koncern av flera sektorer anmäler den sig för samtliga, förutsatt att dotterbolag och anknutna partnerföretag saknar egna organisationsnummer. De som har egna nummer anmäler sig separat.

Ska vi anmäla oss igen om vi redan anmält enligt NIS1?

Ja. NCSC anger att varje verksamhetsutövare som omfattas av den nya cybersäkerhetslagen ska anmäla sig igen, även om den redan omfattades av den tidigare NIS-lagen. Anmälan enligt regelverket från 2018 följer inte med, eftersom sektorer, kriterier och klassificeringar har ändrats.

Kan någon annan göra NIS2-anmälan för oss?

Ja. En anmälan får göras av ombud för din räkning, till exempel en rådgivare eller en koncernfunktion. Fullmakt krävs inte vid anmälan, men en anmälan av tredje part behöver styrkas om ärendet senare når tillsyn hos din sektorsmyndighet.

This post is also available in: