Hoppa till innehållet
    ProjAlpha säkerhetsplattform
    Boka en genomgång
    Svensk lagstiftning

    Cybersäkerhetslagen — Sveriges genomförande av NIS2

    Cybersäkerhetslagen (2025:1506) genomför EU:s NIS2-direktiv i Sverige och gäller sedan den 15 januari 2026. Lagen ställer krav på riskhantering, incidentrapportering och ledningens styrning för väsentliga och viktiga verksamhetsutövare. Vi tar fram det tekniska underlaget och sköter driften av det löpande.

    Boka genomgångBygg din lösning
    AE
    Faktagranskad
    · VD, ProjAlpha
    LinkedIn (öppnas i ny flik)

    Vad är cybersäkerhetslagen?

    Cybersäkerhetslagen (2025:1506) är den svenska lag som genomför EU:s NIS2-direktiv. Den ersätter den tidigare NIS-lagen från 2018 och omfattar betydligt fler verksamheter än sin föregångare — totalt 18 sektorer inklusive energi, transport, hälso- och sjukvård, dricksvatten, avlopp, digital infrastruktur, IKT-tjänster, offentlig förvaltning, rymd, post, avfall, kemikalier, livsmedel, tillverkning av kritiska produkter, digitala leverantörer, forskning, samt utvalda finansinstitut. Verksamhetsutövarna delas in i väsentliga och viktiga. Stora företag i de högkritiska sektorerna (bilaga 1) är som huvudregel väsentliga. Medelstora företag i bilaga 1 och de som omfattas i bilaga 2 är viktiga. Väsentliga har skarpare tillsyn och högre sanktionstak. Lagen ställer krav på dokumenterad riskhantering, åtkomstkontroll med MFA, kryptering, säker leverantörskedja, central incidenthantering, kontinuitetsplaner, personalutbildning och löpande revision. Betydande incidenter rapporteras till NCSC genom CERT-SE via cyberportalen: upplysning (tidig varning) inom 24 timmar, incidentanmälan inom 72 timmar och slutrapport inom en månad enligt MCFFS 2026:8. Sanktionsavgiften kan för väsentliga verksamhetsutövare uppgå till 2 procent av den globala årsomsättningen eller 10 miljoner euro, beroende på vilket belopp som är högst. För väsentliga verksamhetsutövare kan en person i ledningen dessutom i vissa fall förbjudas att inneha en ledningsfunktion. Vi tar fram det tekniska underlaget och sköter driften av de tekniska åtgärderna — ansvaret för efterlevnaden ligger kvar hos ledningen.

    När det passar

    Vem omfattas?

    Medelstora och stora verksamheter i utpekade sektorer omfattas i regel. Vissa verksamheter omfattas oavsett storlek. Betydande incidenter rapporteras till NCSC (FRA).

    Vilka omfattas av NIS2?

    Verksamheter i någon av lagens 18 sektorer (energi, transport, hälsa, IKT, livsmedel, tillverkning m.fl.)
    Medelstora företag i en berörd sektor: 50 anställda eller fler, eller både årsomsättning och balansomslutning över 10 miljoner euro
    Stora företag i en högkritisk sektor (bilaga 1), som räknas som väsentliga: 250 anställda eller fler, eller årsomsättning över 50 miljoner euro och balansomslutning över 43 miljoner euro
    Underleverantörer till väsentliga eller viktiga verksamhetsutövare där samma krav ställs i avtal
    Digital infrastruktur och IT-tjänster: molntjänster, datacenter, DNS och leverantörer av drift- och säkerhetstjänster (MSP och MSSP)
    Offentlig sektor och kommunala bolag i kritiska tjänster
    Företag som redan idag omfattades av NIS-lagen och behöver uppdatera
    Styrelser som vill säkerställa att det dokumenterade säkerhetsansvaret faktiskt utövas

    Myndigheter och föreskrifter

    MSB ersattes den 1 januari 2026 av Myndigheten för civilt försvar (MCF). Den 1 juli 2026 flyttade cybersäkerhetsuppdraget, inklusive cybersäkerhetslagen, till NCSC vid FRA. Föreskrifter kan fortfarande bära MCF:s namn, exempelvis MCFFS 2026:8 för incidentrapportering. Läs mer i Cybersäkerhetsförordningen och föreskrifterna.

    Omfattas IT-leverantörer och molntjänster?

    Förvaltning av IKT-tjänster (MSP, MSSP) och molntjänster finns i bilaga 1 (högkritiska sektorer). Verksamhetsutövare där som är större än medelstora företag räknas som väsentliga, övriga som omfattas som viktiga.

    Incidentrapportering till NCSC

    Lagen ställer skarpa tidskrav på incidentrapportering. En upplysning (tidig varning) till NCSC genom CERT-SE via cyberportalen ska lämnas inom 24 timmar från att ni har fått kännedom om incidenten och identifierat den som betydande. Inom 72 timmar ska en formell incidentanmälan lämnas in, och senast en månad efter incidentanmälan en slutrapport med rotorsaksanalys och vidtagna åtgärder.

    För att klara dessa tider behöver verksamheten ha kontinuerlig logghantering, ett säkerhetscenter (SOC) eller en MDR-funktion som detekterar och triagerar incidenter, och en förberedd processkedja för rapportering. Läs mer i Incidentrapportering enligt NIS2.

    Checklista: så förbereder ni er för tillsyn

    Tillsynen kommer att fokusera på dokumentation och praktisk efterlevnad, inte på papperspolicys. Följande steg täcker grunden.

    • Klassificera verksamheten: väsentlig, viktig eller indirekt via leverantörskedjan
    • Följ anvisningarna för verksamhetsanmälan på ncsc.se när ni identifierat er som omfattad
    • Dokumentera riskhanteringsprocessen och gap-analysen mot lagens huvudkrav
    • Etablera formell incidenthanteringsprocess med tidsdefinierad rapporteringskedja
    • Säkerställ kontinuerlig loggövervakning och hotdetektion
    • Kartlägg leverantörskedjan och kontraktsreglera säkerhetskraven
    • Utbilda ledning och personal återkommande — dokumentera genomförandet
    • Testa återställning av backup och kontinuitetsplan minst årligen

    Jämförelse: cybersäkerhetslagen mot närliggande krav

    Cybersäkerhetslagen är den svenska implementationen av NIS2 — kraven är i praktiken samma, men tillsynen och sanktionerna beslutas i Sverige. GDPR reglerar personuppgifter; cybersäkerhetslagen reglerar kontinuitet och säkerhet i samhällskritiska tjänster oavsett datatyp. Verksamheter kan omfattas av båda.

    För finansiella entiteter går DORA delvis före på tredjepartsrisk. Verksamheter under både cybersäkerhetslagen och DORA måste uppfylla båda parallellt — DORA är sektorsspecifikt och skarpare på vissa punkter.

    Praktiskt bygger de flesta verksamheter ett gemensamt kontrollramverk (ofta baserat på ISO 27001 eller CIS Controls) och mappar cybersäkerhetslagen, GDPR och relevanta sektorskrav mot det. Det ger en granskbar helhet istället för överlappande dokumentationsflöden.

    Lagkraven översatt till leverans

    Vad kräver cybersäkerhetslagen tekniskt?

    Riskanalys och säkerhetspolicy

    Dokumenterad analys av risker mot IT-system och tjänster, med policy som ledningen godkänt — ett krav enligt 2 kap. 3 § cybersäkerhetslagen.

    Incidenthantering

    Process och teknik för att detektera, klassificera och rapportera incidenter inom 24 respektive 72 timmar enligt lagens tidsfönster.

    Affärskontinuitet & backup

    Testad backup, dokumenterad återställningsplan och kontinuitetsövningar — krav enligt 2 kap. 3 §

    Leverantörskedjesäkerhet

    Bedömning av kritiska leverantörer och avtalsklausuler som flyttar kravet vidare. Krav enligt artikel 21 i NIS2.

    Åtkomstkontroll & MFA

    Stark autentisering och privilegierad åtkomsthantering med full loggning av vem som gjort vad.

    Kryptering

    AES-256 i vila, TLS 1.3 i transit. Krypterad backup och central nyckelhantering.

    Personalutbildning

    Återkommande utbildning i cybersäkerhet och phishing med dokumenterad genomförandegrad.

    Tillsynsförberedelse

    Strukturerade bevis och rapporter att visa när tillsynsmyndigheten granskar er.

    Ledningsrapportering

    Underlag för styrelsens dokumenterade säkerhetsansvar — varje kvartal, inte bara vid kris.

    Tillägg

    Vanliga tillägg

    NIS2-efterlevnad

    Den fulla NIS2-leveransen som lagen genomför.

    SOC-tjänst

    Automatisk incidentdetektion dygnet runt. Bemannad larmhantering och support vardagar 08–17.

    Logghantering

    Manipuleringssäkra loggar för tillsyn och utredning.

    Identitet och åtkomst

    MFA och privilegierad åtkomst enligt lagens krav.

    Backup för företag

    Testad återställning som styrker kontinuitetsplanen.

    Vanliga frågor

    Frågor och svar

    Cybersäkerhetslagen gäller sedan den 15 januari 2026. Den som omfattas ska alltså uppfylla kraven nu.

    Nej — rapporteringskraven gäller endast betydande incidenter som har eller kan ha betydande inverkan på tjänsten. Följ anvisningarna på ncsc.se för bedömning och rapportering.

    NIS2 är EU-direktivet. Cybersäkerhetslagen är den svenska lag som genomför direktivet i nationell rätt. I praktiken är de samma sak — alla NIS2-krav återfinns i den svenska lagen, ibland med svenska skärpningar.

    Tillsynen är sektorsvis: PTS för digital infrastruktur, digitala leverantörer och förvaltning av IKT-tjänster; Energimyndigheten för energi; Finansinspektionen för bank och finansmarknadsinfrastruktur; Transportstyrelsen för transporter; IVO och Läkemedelsverket för hälso- och sjukvård; Livsmedelsverket för dricksvatten, avloppsvatten och livsmedel; samt vissa länsstyrelser för bland annat offentlig förvaltning, tillverkning och forskning. Betydande incidenter rapporteras till NCSC och vidarebefordras till aktuell tillsynsmyndighet.

    Sanktionsavgiften kan för väsentliga verksamhetsutövare uppgå till 2 procent av den globala årsomsättningen eller 10 miljoner euro, beroende på vilket belopp som är högst, och för viktiga verksamhetsutövare till 1,4 procent eller 7 miljoner euro (4 kap. 10 § cybersäkerhetslagen). Avgiften beslutas av tillsynsmyndigheten och är lägst 5 000 kronor.

    Omfattade verksamheter ska anmäla sig enligt cybersäkerhetslagen. Följ anvisningarna för verksamhetsanmälan på ncsc.se. Se anmälan enligt cybersäkerhetslagen.

    En upplysning (tidig varning) inom 24 timmar och en incidentanmälan inom 72 timmar, räknat från att ni har fått kännedom om incidenten och identifierat den som betydande (2 kap. 5–6 §§ cybersäkerhetslagen, MCFFS 2026:8). Därefter en slutrapport senast en månad efter incidentanmälan. Den som tillhandahåller betrodda tjänster ska lämna incidentanmälan inom 24 timmar. ProjAlpha levererar tekniskt underlag.

    Inte automatiskt. ISO 27001 täcker en stor del av säkerhetsåtgärderna, men inte anmälan, incidentrapportering till FRA eller kravet på att ledningen utbildas. Läs mer i NIS2 och ISO 27001.

    Det beror på utgångsläget och miljöns storlek. En gap-analys mot lagens krav ger en tidsplan för just er.

    Vill ni veta vad cybersäkerhetslagen kräver av er?

    Boka en kostnadsfri genomgång där vi kartlägger gapet mot lagens krav och visar hur efterlevnaden ser ut som löpande leverans.

    Boka genomgångMejla oss

    Vi använder nödvändiga kakor för att webbplatsen ska fungera. Analys- och marknadsföringskakor används bara om du samtycker. Läs mer i vår integritetspolicy.