NIS2 är svensk lag
Ett nytt ansvar för styrelsen

Cybersäkerhetslagen är den svenska lag som genomför EU:s NIS2-direktiv i nationell rätt och gäller sedan 15 januari 2026. NIS2 sätter ramen på EU-nivå; den svenska lagen anger hur tillsyn och sanktioner fungerar i Sverige, med MCF (tidigare MSB) som primär tillsynsmyndighet.

Möjligen. Trösklar gäller: väsentliga entiteter har 250+ anställda eller 50+ MEUR i omsättning, viktiga entiteter 50+ anställda eller 10+ MEUR. Tillsynsmyndigheten kan ändå peka ut mindre organisationer om de fyller en kritisk funktion. Utgå inte från att storleken friar er utan att först stämma av vilken funktion er organisation fyller. Gapanalysen avgör om ni omfattas.

Ja. Levererar ni ICT-tjänster till en entitet som omfattas kan ni pekas ut som viktig entitet enligt kraven på leverantörskedjan i artikel 21(2)(d). Er kommunkund måste bedöma och dokumentera varje leverantörsrelation, även er. Så hamnar de flesta IT-leverantörer inom NIS2 utan att först ha förstått det.

Väsentliga och viktiga entiteter ska själva registrera sig hos MCF (tidigare MSB) enligt Cybersäkerhetslagen. Registreringen kräver er klassning, er sektor och vilka tjänster ni levererar inom lagens ram. eBuilders CISO-rådgivning tar er genom processen, inklusive den årliga rapporteringen.

ISO 27001 täcker ungefär 70–80 % av kraven i NIS2 artikel 21, den starkaste grund ni kan ha. NIS2 lägger till krav som ISO 27001 inte uttryckligen ställer: incidentrapportering inom 24 timmar, specifik dokumentation av leverantörskedjan och obligatorisk styrelseutbildning enligt artikel 20. En riktad gapanalys visar exakt vad som återstår. För ISO 27001-certifierade organisationer tar gapanalysen oftast en vecka att gå igenom.

Sen eller utebliven incidentrapportering är i sig en brist som kan sanktioneras separat, oberoende av själva incidenten. Artikel 21(2)(b) kräver tidig varning inom 24 timmar, anmälan inom 72 timmar och slutrapport inom en månad. eBuilders SOC tar fram det underlag som krävs för alla tre tidsgränserna.

Tre saker: godkänna åtgärderna för hantering av cyberrisk, inte bara bli informerad om dem; följa upp genomförandet löpande; och personligen genomföra utbildning i cybersäkerhet. Utbildningsplikten är individuell och går inte att delegera. Ledamöter som inte kan visa upp intyg kan inte trovärdigt hävda att de uppfyllt sina skyldigheter enligt artikel 20.

Artikel 21(2)(d) kräver att varje relation med en extern ICT-leverantör riskbedöms, dokumenteras och hålls aktuell: cloud-leverantörer, mjukvaruleverantörer, driftpartner och alla med åtkomst till ert nät eller era data. Avtalen ska innehålla säkerhetskrav, skyldighet att anmäla incidenter och rätt till granskning. eBuilders CISO-rådgivning bygger och underhåller det leverantörsregistret.

Ja, men sanktionen skiljer sig åt mellan entitetstyperna. Enligt artikel 20 ansvarar ledningsorganen i både väsentliga och viktiga entiteter direkt för att godkänna och följa upp åtgärderna mot cyberrisk. För just väsentliga entiteter kan nationella myndigheter besluta om tillfälligt förbud för enskilda att inneha ledande befattningar (art. 32.5); viktiga entiteter möter i stället bindande förelägganden och offentliggörande av överträdelsen. Ledamöter som inte fått utbildning kan inte trovärdigt visa att de uppfyllt sina skyldigheter enligt artikel 20, oavsett entitetstyp.

Väsentliga entiteter står under förhandstillsyn: MCF kan granska innan någon incident inträffat. Sanktionstak upp till 10 MEUR eller 2 % av global årsomsättning. Viktiga entiteter står under efterhandstillsyn, som utlöses efter en anmäld incident. Sanktionstak upp till 7 MEUR eller 1,4 % av global årsomsättning. Båda typerna måste uppfylla alla tio kraven i artikel 21.

Ja. Tillsynsbefogenheterna aktiverades när Cybersäkerhetslagen trädde i kraft 15 januari 2026. MCF (tidigare MSB) kan granska väsentliga entiteter i förväg och viktiga entiteter i efterhand, utlöst av en incident eller ett klagomål. Granskningarna pågår nu, inte vid ett framtida datum.

Ja. Sanktioner enligt NIS2 gäller bristande efterlevnad av säkerhetskraven i sig, inte bara när ett intrång sker. Att inte införa åtgärderna, att inte registrera sig hos MCF eller att sakna den dokumentation som krävs är var för sig sanktionerbart. Kravet är att ha programmet på plats, inte bara att undvika incidenter.

Ett angrepp som rör personuppgifter utlöser både NIS2 (tidig varning till MCF inom 24 timmar) och GDPR (anmälan till IMY inom 72 timmar) samtidigt: två tidsgränser, två myndigheter, en incident. DORA gäller finansiella entiteter och har företräde framför NIS2 för ICT-risk i den sektorn. eBuilder hanterar alla tre i ett samlat program så att arbetet inte görs dubbelt.

Inte automatiskt. De tekniska säkerhetsåtgärderna i NIS2 artikel 21 och GDPR artikel 32 överlappar kraftigt: båda kräver kryptering, åtkomstkontroll, upptäckt av intrång och utbildning av personalen. GDPR lägger till krav som NIS2 inte täcker: samtyckeshantering, registrerades rättigheter, dataskyddsombud och konsekvensbedömningar. Det tekniska programmet från eBuilder uppfyller säkerhetskraven i båda regelverken.

DORA har företräde framför NIS2 för finansiella entiteter; det är sektorsspecifik lagstiftning. DORA lägger till krav som NIS2 saknar: ett informationsregister över alla ICT-avtal med tredje part, TLPT vart tredje år för betydande entiteter och incidentklassning i linje med EBA. Vår tjänst CISO-rådgivning hanterar båda i ett samlat program.

De flesta organisationer med en mogen IT-grund når påvisbar efterlevnad inom 3–6 månader. Vi börjar med en gapanalys (2–3 veckor) och därefter en prioriterad åtgärdsplan. Tjänster som SOC-övervakning dygnet runt kan aktiveras på några dagar och uppfyller direkt kraven i artikel 21(2)(b) och (f). Gapanalysen visar var ni står innan ni binder er till något.

Gapanalysen tar 2–3 veckor och ger en poängsatt rapport mot alla tio kontroller i artikel 21, en prioriterad åtgärdsplan och en sammanfattning formaterad för styrelsen. Den kartlägger ert nuläge ärligt, inklusive det ni redan har på plats, så att åtgärdsplanen blir rimlig och effektiv i stället för en ombyggnad från grunden.

Ja, det är den vanligaste modellen. eBuilders MDR/SOC förstärker ert befintliga teams förmåga i stället för att ersätta den. Vi integrerar med era verktyg, ger den bevakning dygnet runt som teamet inte klarar ensamt och lämnar tillbaka berikade larm med dokumenterad kontext. Ert team behåller styrningen; vi står för det alltid påslagna lager som artikel 21 kräver.