NIS2-direktivet: Nya cybersäkerhetslagen för Svenska företag 2026

Vad är NIS2?

NIS2 står för Network and Information Security Directive 2. Det är ett EU-direktiv som ska ge Europa bättre skydd mot cyberattacker och IT-incidenter. Alla EU-länder måste följa dessa regler.

Syftet är enkelt: att göra samhället säkrare genom att företag och myndigheter tar cybersäkerhet på allvar. När viktiga tjänster som el, sjukvård eller bank drabbas av cyberattacker påverkar det många människor. NIS2 ska förhindra sådana situationer.

NIS2-direktivet

EU antog NIS2-direktivet den 14 december 2022. Det ersätter det gamla NIS-direktivet från 2016 som hade för få krav och täckte för få verksamheter.

Det nya direktivet har tre viktiga förändringar:

• Fler sektorer omfattas – Nu gäller reglerna för fler branscher, till exempel livsmedel, avfall och tillverkning
• Strängare krav – Organisationer måste göra mer för att skydda sina system
• Hårdare straff – Företag som inte följer reglerna kan få böter på miljontals kronor

NIS2 Sverige

Sverige har gjort NIS2-direktivet till svensk lag genom Cybersäkerhetslagen (2025:1506). Lagen godkändes i december 2025 och börjar gälla den 15 januari 2026.

Den svenska lagen följer EU:s direktiv men är anpassad till svensk lagstiftning. Regeringen bestämmer vilka myndigheter som ska övervaka att företag och organisationer följer reglerna.

Den gamla lagen om informationssäkerhet för samhällsviktiga och digitala tjänster från 2018 ersätts helt av den nya cybersäkerhetslagen.

När börjar NIS2 gälla?

NIS2 börjar gälla i Sverige den 15 januari 2026. Det betyder att alla organisationer som omfattas av lagen måste följa kraven från och med det datumet.

Detta ger organisationer kort tid att förbereda sig. Om din verksamhet omfattas av lagen bör du börja arbeta med detta omgående. Straffen för att inte följa reglerna är höga och börjar gälla direkt.

Vilka omfattas av NIS2?

NIS2 gäller för många fler organisationer än tidigare. Både offentliga myndigheter och privata företag kan omfattas. Här är en översikt:

Offentlig sektor

Dessa omfattas alltid:
• Statliga myndigheter som fattar beslut om gränsöverskridande rörlighet (till exempel Migrationsverket)
• Regioner
• Kommuner
• Kommunalförbund

Undantag: Regeringen, riksdagen, domstolar och myndigheter som främst arbetar med brottsbekämpning eller säkerhetsskyddad verksamhet omfattas inte.

Privat sektor

För privata företag gäller lagen om du uppfyller båda dessa krav:
• Du driver verksamhet i Sverige
• Du är ett medelstort företag eller större (minst 50 anställda eller minst 10 miljoner euro i årsomsättning)
OCH du arbetar inom någon av dessa sektorer:
• Energi (el, olja, gas, fjärrvärme)
• Transport (flyg, järnväg, sjöfart, väg)
• Bank och finans
• Hälso- och sjukvård
• Dricksvatten och avlopp
• IT och digital infrastruktur (molntjänster, datacenter, webbhotell)
• Post och bud
• Avfallshantering
• Kemikalier
• Livsmede
• Tillverkning
• Digitala plattformar (näthandel, sökmotorer, sociala medier)
• Forskning och utbildning

Mindre företag kan också omfattas

Små företag kan omfattas om de är ensamma om att tillhandahålla en kritisk tjänst, eller om de arbetar med betrodda tjänster (till exempel digitala certifikat och signaturer).

Väsentliga och viktiga verksamhetsutövare

Lagen delar in organisationer i två grupper:

Väsentliga verksamhetsutövare står under hårdare kontroll. Hit hör statliga myndigheter, stora kommuner och regioner, stora företag inom energi, transport och kommunikation samt alla som erbjuder elektroniska kommunikationstjänster. Dessa kan få regelbundna säkerhetsrevisioner.

Viktiga verksamhetsutövare är alla andra som omfattas. De kontrolleras främst när det finns misstanke om att de inte följer reglerna.

Vad innebär NIS2?

NIS2 innebär konkreta krav på hur du ska skydda dina IT-system och vad du måste göra när något går fel. Här är de viktigaste kraven:

1. Säkerhetsåtgärder

Du måste vidta lämpliga tekniska och organisatoriska åtgärder för att skydda dina IT-system.
Kraven är:

• Riskanalys – Analysera vilka hot som finns mot dina system
• Säkerhetspolicy – Ha tydliga regler för IT-säkerhet
• Incidenthantering – Ha processer för att upptäcka och hantera säkerhetsincidenter
• Backup och återställning – Säkerhetskopiera data och kunna återställa system snabbt
• Leverantörskontroll – Ställ krav på dina IT-leverantörer
• Kryptering – Skydda känslig information
• Behörighetskontroll – Kontrollera vem som får tillgång till vad
• Multifaktorautentisering – Använd stark inloggning
• Utbildning – Utbilda personal i cybersäkerhet

2. Utbildning för ledningen

VD, styrelse och andra i ledningen måste genomgå utbildning om cybersäkerhet. Detta är nytt i NIS2 och visar att ledningen har ansvar för säkerhetsarbetet.

3. Rapportera incidenter

Om något allvarligt händer måste du rapportera det snabbt. En incident är allvarlig om den:

• Orsakar stora störningar i din verksamhet
• Kostar mycket pengar
• Skadar dina kunder eller andra
  

Tidsgränser för rapportering:

• 24 timmar: Första varningen till myndigheten
• 72 timmar: Fullständig incidentrapport
• 1 månad: Slutrapport om hur ni löste problemet

Du måste också informera dina kunder om incidenten påverkar dem.

4. Anmäl din verksamhet

Du måste registrera din verksamhet hos tillsynsmyndigheten. Om något ändras måste du uppdatera informationen inom 14 dagar.

Tillsyn och kontroller

Regeringen utser en eller flera myndigheter som ska kontrollera att organisationer följer NIS2. Tillsynsmyndigheten har stora befogenheter:

• Begära information – Du måste lämna ut handlingar och svar på frågor
• Platsbesök – Myndigheten kan besöka dina lokaler (inte bostäder)
• Säkerhetsrevisioner – Väsentliga verksamhetsutövare kan få regelbundna kontroller
• Säkerhetsskanningar – Testa era system för sårbarheter

Straff och sanktioner

NIS2 har mycket högre straff än tidigare. Böterna kan bli extremt höga:

Sanktionsavgifter

• Väsentliga verksamhetsutövare – Upp till 2% av global årsomsättning ELLER 10 miljoner euro (det högsta beloppet gäller)
• Viktiga verksamhetsutövare – Upp till 1,4% av global årsomsättning ELLER 7 miljoner euro
• Säkerhetsrevisioner – Väsentliga verksamhetsutövare kan få regelbundna kontroller
• Offentliga verksamhetsutövare – Upp till 10 miljoner kronor (Minimibeloppet är 5 000 kronor)

Sanktionsavgifter

I allvarliga fall kan personer i ledningen förbjudas att arbeta i ledande position. Detta kan ske om:

• Företaget inte följt ett tidigare föreläggande
• Överträdelsen är allvarlig
• Personen i ledningen orsakade överträdelsen med uppsåt eller grov oaktsamhet

Förbudet gäller i 1-3 år och beslutas av förvaltningsdomstol.

Vad räknas som allvarligt?

En överträdelse är allvarlig om du:

• Brutit mot reglerna flera gånger
• Inte rapporterat incidenter
• Inte åtgärdat en allvarlig incident
• Hindrat tillsynsmyndighetens kontroller
• Lämnat falska uppgifter

Så förbereder du dig för NIS2

Om din organisation omfattas av NIS2 måste du agera nu. Här är en checklista:

1. Ta reda på om ni omfattas

Kontrollera om er verksamhet omfattas av lagen. Är ni osäkra? Kontakta en expert eller tillsynsmyndigheten.

2. Gör en nulägesanalys

Kartlägg er nuvarande IT-säkerhet. Vad gör ni redan? Vad saknas? Dokumentera allt.

3. Skapa en handlingsplan

Lista vad ni måste göra för att uppfylla kraven. Prioritera de viktigaste åtgärderna först.

4. Genomför åtgärder

Börja arbeta enligt planen. Fokusera på:

• Riskanalys
• Säkerhetspolicy
• Incidenthanteringsprocess
• Backup-rutiner
• Behörighetskontroller

5. Utbilda personal och ledning

Se till att alla vet vad som gäller. Ledningen måste genomgå obligatorisk utbildning om cybersäkerhet.

6. Dokumentera allt

Skriv ner vad ni gör. Vid en kontroll måste ni kunna visa att ni följer reglerna.

7. Anmäl er verksamhet

Registrera er hos tillsynsmyndigheten så snart det går.

8. Testa och öva

Öva på att hantera incidenter. Testa era backup-rutiner. Se till att allt fungerar innan något händer.

Sammanfattning

NIS2 är den viktigaste förändringen för cybersäkerhet i Sverige på många år. Från och med 15 januari 2026 måste många fler organisationer ta IT-säkerhet på allvar.

Kraven är tydliga: du måste skydda dina system, utbilda din personal och rapportera snabbt när något händer. Straffen för att inte följa reglerna är höga – upp till 2% av global omsättning eller 10 miljoner euro.

Tiden för att förbereda sig är kort. Om din organisation omfattas av lagen måste du börja arbeta med detta omgående. Det är bättre att agera nu än att få böter senare.

Behöver ni hjälp?

Vi på eBuilder hjälper företag och myndigheter att förbereda sig för NIS2. Vi gör nulägesanalyser, riskbedömningar och hjälper er att implementera rätt säkerhetsåtgärder.

Kontakta oss för en kostnadsfri konsultation om hur NIS2 påverkar just er verksamhet.

Är ditt företag förberett?

Referenser

Riksdagen (2025) Cybersäkerhetslag (2025:1506). Stockholm: Försvarsdepartementet. Tillgänglig: https://www.riksdagen.se/sv/dokument-och-lagar/dokument/svensk-forfattningssamling/cybersakerhetslag-20251506_sfs-2025-1506/ (Hämtad: 2026-01-07).

Europaparlamentet och Rådet (2022) Direktiv (EU) 2022/2555 av den 14 december 2022 om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen. Bryssel: Europeiska unionen.