NIS2 för svenska företag – vad du måste göra nu

NIS2 har talats om som ett framtida krav i över två år. Det är det inte längre. Efter upprepade förseningar i den svenska implementeringen trädde cybersäkerhetslagen i kraft under första halvåret 2026, och Myndigheten för samhällsskydd och beredskap (MSB) har gått från vägledning och informationsmöten till faktisk tillsyn. För de bolag som avvaktat och hoppats att kravet skulle mjukas upp på vägen är svaret nu tydligt: lagen gäller, tillsynen är igång, och sanktionsavgifterna är verkliga belopp, inte hot på papper.

Jag har under det senaste året hjälpt flera svenska bolag – från medelstora SaaS-leverantörer till underleverantörer inom kritisk infrastruktur – att gå från osäkerhet till en dokumenterad efterlevnadsplan inom ramen för vårt cybersäkerhetsarbete. Den här artikeln är en praktisk genomgång: var den svenska lagen står idag, hur du avgör om ni omfattas, och vilka fem åtgärder som inte kan vänta till nästa kvartalsmöte.

Var står den svenska implementeringen just nu?

EU:s NIS2-direktiv trädde i kraft i januari 2023 med en transponeringsdeadline i oktober 2024 – ett datum som de allra flesta medlemsstater missade, Sverige inräknat. Den svenska cybersäkerhetslagen, som ersätter den gamla NIS-lagen från 2018, gick igenom riksdagen med god marginal men försenades av utredningsarbete kring tillsynsansvar och sektorsindelning. Resultatet är att svenska bolag fått längre tid på sig än ursprungligen aviserat, men också att många väntat för länge med att börja förberedelserna.

MSB är tillsynsmyndighet för de flesta sektorer, med sektorsspecifika myndigheter som Finansinspektionen och Energimarknadsinspektionen ansvariga inom sina områden. Det praktiska läget just nu: MSB har öppnat sin anmälningsportal, skickat ut informationsförfrågningar till bolag man bedömer omfattas, och inlett de första tillsynsärendena. Vänta er inte en nådaperiod – lagen har gällt sedan ikraftträdandet, och skyldigheten att kunna visa upp ett fungerande arbete gäller redan nu.

Omfattas ni? Sektorer, storlek och leverantörskedjan

NIS2 delar in verksamheter i väsentliga och viktiga entiteter. Väsentliga entiteter finns inom energi, transport, bank, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning och rymd. Viktiga entiteter finns inom post- och kurirtjänster, avfallshantering, kemikalier, livsmedel, viss tillverkning, digitala leverantörer (molntjänster, sökmotorer, marknadsplatser, sociala nätverk) och forskning. Huvudregeln för storlek är medelstora eller större bolag – 50 eller fler anställda, eller en årsomsättning över 10 miljoner euro – men det finns undantag som drar in mindre aktörer om de är den enda leverantören inom en kritisk funktion eller om ett bortfall skulle få stor samhällspåverkan.

Det som överraskar flest bolag är leverantörskedjeeffekten. Även om ni själva ligger under storleksgränsen och inte finns med i sektorslistan, märker vi redan att kunder som omfattas skickar ut avtalsbilagor med NIS2-krav till sina underleverantörer – säkerhetsklausuler, rätt att granska, krav på incidentrapportering vidare i kedjan. Är ni leverantör till ett väsentligt eller viktigt bolag bör ni räkna med att kraven når er ändå, bara via avtal istället för lag. Vår rekommendation: gör bedömningen medvetet och dokumentera den, oavsett vilket håll ni landar på.

Ledningens personliga ansvar – vad det faktiskt innebär

NIS2 är tydlig på en punkt som skiljer den från tidigare säkerhetslagstiftning: styrelse och ledning har ett personligt ansvar för att riskhanteringsåtgärder godkänns och följs upp, och kan hållas ansvariga vid allvarliga brister. Det räcker inte att IT-avdelningen sköter arbetet i tysthet – lagen kräver att ledningen aktivt godkänner säkerhetsåtgärderna, går utbildning i cybersäkerhetsrisker, och kan visa att man utövat tillsyn över genomförandet.

I praktiken betyder det att styrelseprotokoll behöver spegla arbetet: beslut om att anta en riskhanteringsplan, uppföljning av status kvartalsvis, och dokumenterad utbildning för styrelseledamöter. Vi ser fortfarande bolag där hela NIS2-arbetet ligger på en säkerhetsansvarig utan att ledningen någonsin fattat ett formellt beslut om det – det är precis den typen av gap en tillsynsmyndighet upptäcker först.

Incidentrapportering: 24-timmarsregeln i praktiken

En av de mest konkreta och krävande delarna av lagen är tidsramarna för incidentrapportering. Vid en betydande incident ska en tidig varning lämnas till tillsynsmyndigheten inom 24 timmar, en mer detaljerad bedömning inom 72 timmar, och en slutrapport senast en månad efter incidenten (med en delrapport om incidenten fortfarande pågår). Det låter hanterbart på papper, men 24 timmar är extremt kort tid om ni inte redan har en process och en tydlig definition av vad som räknas som "betydande".

Det som fungerar i praktiken är att bygga klassificeringen innan krisen inträffar, inte under den. Definiera i förväg vilka typer av händelser som utlöser rapporteringsplikten, vem som fattar det beslutet, och vilken mall den första varningen ska följa. Testa processen med en tabletop-övning minst en gång per år. Av de bolag vi granskat under 2026 hade knappt fyra av tio en process för 24-timmarsrapportering som faktiskt var testad – resten hade en policy i en pärm som ingen övat på.

De tekniska minimikraven ni måste kunna visa upp

Lagens artikel om riskhanteringsåtgärder listar tio områden som varje omfattad verksamhet ska ha på plats, proportionerligt utifrån sin risk: riskanalys och policy för informationssäkerhet, incidenthantering, driftkontinuitet och krishantering (inklusive backup och katastrofåterställning), säkerhet i leverantörskedjan, säkerhet vid anskaffning, utveckling och underhåll av system inklusive hantering och offentliggörande av sårbarheter, rutiner för att utvärdera åtgärdernas effektivitet, grundläggande cyberhygien och säkerhetsutbildning, kryptering, personalsäkerhet och åtkomstkontroll, samt multifaktorautentisering och säker kommunikation.

Ett praktiskt första steg är att märka upp vilka system som faller inom NIS2-scopet, så att ni vet var kraven väger tyngst. Många av våra kunder börjar med en enkel taggning i sitt tillgångsregister:

Det är inte ett formellt krav från lagtexten, men det gör gap-analysen konkret och visar tydligt vilka system som behöver strängast kontroller först.

De första 90 dagarna – en konkret prioritetsordning

Om ni inte redan kommit igång, är det här ordningen vi rekommenderar för svenska bolag som vill komma i fas snabbt utan att bränna hela budgeten på en gång:

• Vecka 1–3: Gap-analys mot lagens tio åtgärdsområden, med en tydlig lista över vad som redan finns och vad som saknas.
• Vecka 2–4 (parallellt): Förankra ansvaret i styrelsen – formellt beslut, utsedd ansvarig, avsatt budget.
• Vecka 4–6: Bygg och testa incidentrapporteringsprocessen, inklusive en tabletop-övning med de personer som faktiskt skulle agera.
• Vecka 5–8: Genomför en teknisk säkerhetsgranskning för att verifiera var de verkliga sårbarheterna finns, inte bara vad policyn säger.
• Vecka 8–13: Åtgärda de tre allvarligaste gapen och dokumentera resten i en åtgärdsplan med ägare och datum per punkt.

Vanliga misstag vi ser hos svenska bolag

Det vanligaste misstaget är att behandla NIS2 som ett IT-projekt istället för den styrningsfråga det faktiskt är – arbetet fastnar hos en säkerhetsansvarig som varken har mandat eller budget att driva igenom förändringar i andra avdelningar. Nästa vanliga fälla är att anta att man är "för liten" utan att faktiskt kontrollera exponeringen via leverantörskedjan. Vi ser också bolag som gör en gap-analys en gång och sedan aldrig uppdaterar den, trots att både verksamheten och hotbilden förändras löpande. Och den kanske mest kostsamma: att bygga incidentklassificeringen först när en riktig incident redan är igång, vilket garanterat leder till förseningar och felaktiga bedömningar under press.

Sanktioner och tillsyn – vad MSB faktiskt gör

Sanktionsnivåerna är satta för att göra intryck: väsentliga entiteter riskerar böter på upp till 10 miljoner euro eller 2 procent av global omsättning, beroende på vilket som är högst. Viktiga entiteter riskerar upp till 7 miljoner euro eller 1,4 procent. Utöver böter kan tillsynsmyndigheten utfärda bindande föreläggande, kräva en extern säkerhetsgranskning på bolagets bekostnad, och i de allvarligaste fallen tillfälligt begränsa ansvariga personers rätt att utöva ledningsfunktioner. Det är sanktioner som är byggda för att träffa både bolaget och de individer som haft ansvaret.

Det viktigaste att förstå är att tillsynen sällan börjar med ett bötesbelopp – den börjar med en informationsförfrågan där ni ska visa upp dokumentation. Bolag som kan lägga fram en gap-analys, en åtgärdsplan med datum och en testad incidentprocess hamnar i en helt annan dialog med MSB än de som inte kan visa något alls. Kombinera det tekniska arbetet med en stark säkerhetskultur i teamen som faktiskt bygger, så blir efterlevnaden en biprodukt av hur ni redan arbetar – inte ett separat projekt som konkurrerar om samma tid.

Vill ni veta om ni omfattas och var era luckor finns? Vi genomför NIS2-gapanalyser och stöttar hela vägen till en dokumenterad efterlevnadsplan – läs mer om vår NIS2-tjänst eller boka ett samtal.