NIS2 och ISO 27001: vad som överlappar och vad som saknas

Vår bedömning i korthet

• Har ni ett fungerande LIS enligt ISO 27001 har ni redan en stor del av arbetssättet som lagen kräver: riskbedömning, åtgärder, uppföljning och ledningens ansvar.
• Det som oftast saknas är det lagspecifika: anmälan, incidentrapportering med frister, ledningens utbildning och de detaljkrav som står i föreskrifterna.
• Kontrollera omfattningen. Ett certifikat gäller den omfattning som står på det. Lagen gäller hela verksamhetsutövaren.

Där ISO 27001 och lagen överlappar

2 kap. 3 § andra stycket cybersäkerhetslagen räknar upp tio områden som säkerhetsåtgärderna åtminstone ska omfatta. De flesta motsvaras i stora drag av krav eller åtgärder i ISO 27001. Det är inte en exakt mappning, och lagens krav gäller oavsett vad standarden säger. Så här motsvaras områdena i stora drag i ISO 27001:2022:

• 1. Strategier för riskanalys och för nätverks- och informationssystemens säkerhet: avsnitt 5.2 (policy) och 6.1.2–6.1.3 (riskbedömning och riskbehandling), bilaga A 5.1
• 2. Incidenthantering: bilaga A 5.24–5.28 och 6.8
• 3. Kontinuitetshantering och krishantering: bilaga A 5.29–5.30, 8.13 (säkerhetskopiering) och 8.14 (redundans)
• 4. Säkerhet i leveranskedjan: bilaga A 5.19–5.23
• 5. Säkerhet vid förvärv, utveckling och underhåll av nätverks- och informationssystem: bilaga A 8.8 (tekniska sårbarheter), 8.25–8.33 (bland annat säker utveckling och ändringshantering)
• 6. Strategier och förfaranden för att bedöma effektiviteten i säkerhetsåtgärderna: avsnitt 9 (mätning, internrevision, ledningens genomgång), bilaga A 5.35–5.36
• 7. Grundläggande praxis för cyberhygien och utbildning i cybersäkerhet: avsnitt 7.2–7.3, bilaga A 6.3
• 8. Strategier och förfaranden för användning av kryptografi samt, vid behov, kryptering: bilaga A 8.24
• 9. Personalsäkerhet, strategier för åtkomstkontroll och tillgångsförvaltning: bilaga A 6.1–6.6 (personal), 5.9–5.13 (tillgångar), 5.15–5.18 och 8.2–8.5 (åtkomst)
• 10. Vid behov användning av lösningar för autentisering, säkrade kommunikationer och säkrade nödkommunikationssystem: bilaga A 8.5 (autentisering), 5.14 och 8.20–8.22 (kommunikation). Säkrade nödkommunikationssystem har ingen tydlig motsvarighet

Det ett certifikat inte täcker

Skyldigheter i lagen som inte finns i standarden

• Anmälan. Den som omfattas ska anmäla sig så snart det kan ske, och anmäla ändringar senast 14 dagar efter att de ägde rum (2 kap. 2 §). Se anmälan enligt cybersäkerhetslagen.
• Incidentrapportering med frister. En upplysning (tidig varning) inom 24 timmar och en incidentanmälan inom 72 timmar, räknat från att ni har fått kännedom om en betydande incident (24 timmar för betrodda tjänster). Därefter en slutrapport senast en månad efter incidentanmälan (2 kap. 5, 6 och 8 §§, MCFFS 2026:8). På begäran ska ni också lämna en delrapport (2 kap. 7 §). ISO 27001 kräver incidenthantering, men inga frister eller mottagare. Se incidentrapportering enligt NIS2.
• Ledningens utbildning. Ledningen ska genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §). Innehållet styrs av MCFFS 2026:11 2 kap. 1 §. Se ledningens ansvar enligt NIS2.
• Tillsyn och ingripanden. Tillsynsmyndigheten får utföra regelbundna säkerhetsrevisioner av väsentliga verksamhetsutövare, riktade säkerhetsrevisioner om det finns särskilda skäl och säkerhetsskanningar (3 kap. 5–7 §§). Den ska ingripa om skyldigheterna i 2 kap. 1–10 §§ inte följs, genom föreläggande, ansökan om förbud att inneha ledningsfunktion, sanktionsavgift eller anmärkning (4 kap. 1 §). Ett certifieringsorgans revision ersätter inte tillsynen.

Detaljkrav i föreskrifterna

För de flesta sektorer gäller MCFFS 2026:11 sedan den 1 oktober 2026. Föreskriften kräver bland annat

• att ledningen godkänner och övervakar arbetet och informeras minst en gång per år (3 kap. 4 §),
• utsedda roller som samordnare, informationsägare och systemägare (3 kap. 5–8 §§),
• en åtgärdsplan kopplad till riskanalysen (3 kap. 13 §),
• flerfaktorsautentisering för bland annat systemadministration och åtkomst via externt nätverk (4 kap. 17 §), och
• övervakning, där föreskriften bland annat tar upp anslutning till tjänsten för automatiska notifieringar om tekniska sårbarheter (ANTS) (4 kap. 20 §).

ISO 27001 gör att ni kan välja bort åtgärder efter riskbedömning. Föreskriftens skall-krav går inte att välja bort på det sättet.

För IT-leverantörer, molntjänster och digitala leverantörer gäller i stället EU-kommissionens genomförandeförordning (EU) 2024/2690. Den har detaljerade krav på säkerhetsåtgärder och trösklar för när en incident är betydande. För dessa verksamhetsutövare gäller av MCFFS 2026:11 bara kravet på ledningens utbildning (1 kap. 1 §). PTS har tillsyn.

Omfattningen. Ett certifikat kan omfatta en del av verksamheten. Lagens säkerhetsåtgärder gäller de nätverks- och informationssystem som verksamhetsutövaren använder för sin verksamhet eller sina tjänster.

Så gör ni ett arbete av båda

• 1. En riskbedömning. Låt den täcka både ISO-omfattningen och det lagen omfattar.
• 2. Ett uttalande om tillämplighet. Lägg till lagens och föreskriftens krav som egna rader, så att de inte kan väljas bort av misstag.
• 3. En incidentprocess. Bygg in rapporteringskedjan till NCSC med frister, mallar och mandat i den incidenthantering ni redan har.
• 4. En ledningens genomgång. Låt den också uppfylla föreskriftens krav på att ledningen informeras minst en gång per år.
• 5. Revision. Låt internrevisionen kontrollera lagkraven också, inte bara standarden.

Vad bör ni göra nu, och vad kan vänta?

Gör nu: Jämför ert uttalande om tillämplighet med 2 kap. 3 § och med de skall-krav i föreskriften som gäller er sektor. Kontrollera att anmälan är gjord och att incidentprocessen har NCSC:s frister.

Kan vänta: Att utvidga certifikatets omfattning. Lagen kräver inget certifikat, så besluta om det utifrån vad kunderna kräver.

Så har vi resonerat

Vi har jämfört lagtexten (2 kap. 2–8 §§, 3 kap. 5–7 §§ och 4 kap. 1 §), föreskrifterna MCFFS 2026:8 och 2026:11 och PTS information om genomförandeförordning (EU) 2024/2690 med strukturen i ISO/IEC 27001:2022. Jämförelsen är vår bedömning. Den ersätter inte en genomgång av de föreskrifter som gäller just er sektor.

Källor

• Cybersäkerhetslag (2025:1506), 2 kap. 2–8 §§, 3 kap. 5–7 §§, 4 kap. 1 §, riksdagen.se (öppnas i ny flik)
• MCFFS 2026:11, ncsc.se (öppnas i ny flik)
• MCFFS 2026:8, ncsc.se (öppnas i ny flik)
• PTS: Vidta säkerhetsåtgärder enligt cybersäkerhetslagen (genomförandeförordning 2024/2690), pts.se (öppnas i ny flik)
• Genomförandeförordning (EU) 2024/2690, eur-lex.europa.eu (öppnas i ny flik)
• ISO/IEC 27001:2022, iso.org/standard/27001 (öppnas i ny flik)