Cybersäkerhetslagen — vad svensk lag säger om NIS2

Vad är cybersäkerhetslagen?

Cybersäkerhetslagen är den svenska lagstiftning som genomför NIS2-direktivet (EU 2022/2555). Lagen ersätter det tidigare regelverket från 2018 som genomförde det första NIS-direktivet och tillsynen utövas sektorsvis. NCSC tar emot betydande incidentrapporter och skickar dem vidare till aktuell tillsynsmyndighet.

MSB ersattes den 1 januari 2026 av Myndigheten för civilt försvar (MCF). Den 1 juli 2026 flyttade cybersäkerhetsuppdraget, inklusive cybersäkerhetslagen, till NCSC vid FRA. Föreskrifter kan fortfarande bära MCF:s namn, exempelvis MCFFS 2026:8 för incidentrapportering.

Vilka omfattas av cybersäkerhetslagen?

Cybersäkerhetslagen följer NIS2:s sektorsindelning. Berörda verksamheter delas in i två kategorier: väsentliga och viktiga. Storlekströskeln är medelstort företag eller större — det vill säga minst 50 anställda eller 10 MEUR i omsättning.

Företag inom IT-tjänster, molntjänster, datacenter, säkerhetstjänster (MSSP) och digital infrastruktur omfattas i kategorin viktiga. Större aktörer inom samhällskritisk sektor klassas som väsentliga.

• Väsentliga: bank, energi, hälso- och sjukvård, vattendistribution, digital infrastruktur, offentlig förvaltning, transport
• Viktiga: digitala tjänster (molntjänster, MSP, MSSP), post, avfall, livsmedel, tillverkning
• Indirekt: alla leverantörer som arbetar mot ovan via leverantörskedjekrav

Huvudkrav i lagen

Cybersäkerhetslagen översätter NIS2 artikel 21 till svensk rätt. Det innebär krav på en dokumenterad riskhanteringsprocess, tekniska och organisatoriska skyddsåtgärder samt löpande uppföljning av leverantörskedjan.

Tekniska kontroller inkluderar kryptering, multifaktorautentisering, hantering av sårbarheter, säkerhetsövervakning, säker kommunikation och planer för kontinuitet och återställning. Allt ska vara dokumenterat och möjligt att visa upp vid tillsyn.

Incidentrapportering till NCSC

Lagen ställer skarpa tidskrav på incidentrapportering. Tidig varning till NCSC genom CERT-SE via cyberportalen ska göras inom 24 timmar efter att en betydande incident upptäckts. Inom 72 timmar ska en formell incidentanmälan lämnas in, och inom en månad en slutrapport med rotorsaksanalys och vidtagna åtgärder.

För att klara dessa tider behöver verksamheten ha kontinuerlig logghantering, en SOC- eller MDR-funktion som detekterar och triagerar incidenter, och en förberedd processkedja för rapportering. Det är inte realistiskt att hantera detta manuellt utan dygnetruntbevakning.

Ledningsansvar och sanktioner

En väsentlig nyhet är att styrelse och ledning bär personligt ansvar för att cybersäkerhetsarbetet bedrivs i enlighet med lagen. Ledningen ska godkänna riskhanteringsåtgärder och själv ha kompetens inom området.

Sanktionsavgifterna är dimensionerade för att vara avskräckande: upp till 10 MEUR eller 2 % av global årsomsättning för väsentliga verksamheter. För viktiga verksamheter är taket 7 MEUR eller 1,4 %. Tillsynen utövas av aktuell sektorsmyndighet.

Vad påverkar kostnaden för att uppfylla lagen

Prisbilden för att uppfylla cybersäkerhetslagen styrs mer av utgångsläget än verksamhetens storlek. En verksamhet med moderna säkerhetskontroller på plats behöver framför allt formalisera och dokumentera arbetet. En verksamhet utan strukturerat säkerhetsarbete måste bygga kontroller från grunden.

De största kostnadsdrivarna är kontinuerlig säkerhetsövervakning, formell incidenthanteringsprocess med rapporteringskedja till NCSC, testad backup- och återställningsstrategi samt hantering av leverantörskedjan. En opererad IT- och säkerhetsleverans samordnar dessa i en förutsägbar månadskostnad.

Alternativet — att bygga varje kontroll i separata projekt eller anställa specialister för varje område — är typiskt dyrare och långsammare. För medelstora verksamheter är den effektiva vägen att samordna kontrollerna via en opererad partner och behålla ledningsansvaret internt.

Checklista: så förbereder ni er för tillsyn

Tillsynen kommer att fokusera på dokumentation och praktisk efterlevnad, inte på papperspolicys. Följande steg täcker grunden.

• Klassificera verksamheten: väsentlig, viktig eller indirekt via leverantörskedjan
• Följ anvisningarna för verksamhetsanmälan på ncsc.se när ni identifierat er som omfattad
• Dokumentera riskhanteringsprocessen och gap-analysen mot lagens huvudkrav
• Etablera formell incidenthanteringsprocess med tidsdefinierad rapporteringskedja
• Säkerställ kontinuerlig loggövervakning och hotdetektion, dygnet runt
• Kartlägg leverantörskedjan och kontraktsreglera säkerhetskraven
• Utbilda ledning och personal återkommande — dokumentera genomförandet
• Testa återställning av backup och kontinuitetsplan minst årligen

Jämförelse: cybersäkerhetslagen mot närliggande krav

Cybersäkerhetslagen är den svenska implementationen av NIS2 — kraven är i praktiken samma, men tillsynen och sanktionerna beslutas i Sverige. GDPR reglerar personuppgifter; cybersäkerhetslagen reglerar kontinuitet och säkerhet i samhällskritiska tjänster oavsett datatyp. Verksamheter kan omfattas av båda.

För finansiella entiteter går DORA delvis före på tredjepartsrisk. Verksamheter under både cybersäkerhetslagen och DORA måste uppfylla båda parallellt — DORA är sektorsspecifikt och skarpare på vissa punkter.

Praktiskt bygger de flesta verksamheter ett gemensamt kontrollramverk (ofta baserat på ISO 27001 eller CIS Controls) och mappar cybersäkerhetslagen, GDPR och relevanta sektorskrav mot det. Det ger en granskbar helhet istället för överlappande dokumentationsflöden.