Cybersäkerhetslagen (NIS2) gäller sedan 15 januari 2026. Se om ditt företag omfattas, vilka krav som ställs – och hur ni kommer i gång med arbetet.
Vad är cybersäkerhetslagen?
Den 15 januari 2026 trädde den nya cybersäkerhetslagen (SFS 2025:1506) i kraft i Sverige. Lagen genomför EU:s NIS2-direktiv och ersätter den tidigare NIS-regleringen. Enligt advokatbyrån Mannheimer Swartling blev Sverige därmed det nittonde EU-landet att införa direktivet i nationell rätt.
Kort sammanfattat innebär lagen att betydligt fler svenska verksamheter än tidigare måste arbeta systematiskt med informations- och cybersäkerhet, rapportera allvarliga incidenter och kunna visa att ledningen tar ansvar för säkerhetsarbetet. Det här är med andra ord inte längre en fråga bara för IT-avdelningen – det är en ledningsfråga med lagkrav bakom sig.
Omfattas ditt företag?
Lagen gäller både offentliga och privata aktörer inom 18 samhällsviktiga sektorer, enligt Svenskt Näringsliv. Bland sektorerna finns energi, transport, bank och finans, hälso- och sjukvård, dricksvatten och avlopp, digital infrastruktur och offentlig förvaltning – men också verksamheter som industriell livsmedelsproduktion, grossisthandel och avfallshantering.
Huvudregeln för storlek är, enligt branschorganisationen Transportföretagen, att företag omfattas om de har minst 50 anställda eller en årsomsättning på minst 10 miljoner euro – bedömt inklusive koncern. Verksamheterna delas in i två kategorier:
Viktigt att veta: även mindre företag kan beröras. Dels finns undantag för verksamheter med särskild samhällsbetydelse, dels ställer allt fler stora organisationer NIS2-liknande krav på sina leverantörer. Är ni underleverantör till en verksamhet som omfattas kan kraven i praktiken landa hos er via avtal.
Kraven i korthet
Systematiskt riskarbete
Verksamheter som omfattas ska vidta tekniska och organisatoriska åtgärder för att hantera risker i nätverk och informationssystem. NIS2-direktivet pekar bland annat ut riskanalys och policyer, incidenthantering, kontinuitetsplanering med säkerhetskopiering, säkerhet i leverantörskedjan, kryptering, behörighetsstyrning och flerfaktorsautentisering samt utbildning i grundläggande cyberhygien.
Incidentrapportering
Betydande incidenter ska rapporteras till tillsynsmyndigheten. NIS2-direktivet, som lagen bygger på, arbetar med tre steg: en tidig varning inom 24 timmar, en incidentanmälan inom 72 timmar och en slutrapport inom en månad. Det förutsätter att ni i förväg vet vem som larmar, hur och till vem – mitt i en pågående incident är det för sent att ta reda på det.
Ledningens ansvar
Styrelse och verkställande ledning ansvarar för att lagen följs, och ansvaret kan inte delegeras bort till IT-funktionen eller en extern leverantör. Ledningen ska godkänna riskhanteringsarbetet, övervaka att det genomförs och själv ha tillräcklig kunskap för att kunna bedöma riskerna.
Anmälningsplikt
Verksamheter som omfattas ska anmäla sig till Myndigheten för civilt försvar. Anmälningstjänsten öppnade den 2 februari 2026 och anmälan ska ske utan onödigt dröjsmål. Har ni inte gjort det ännu bör det ligga överst på listan.
Vad riskerar den som struntar i lagen?
Tillsynsmyndigheterna kan besluta om sanktionsavgifter. NIS2-direktivet anger som miniminivåer att väsentliga verksamhetsutövare ska kunna påföras avgifter på upp till 10 miljoner euro eller 2 procent av den globala årsomsättningen, och viktiga verksamhetsutövare upp till 7 miljoner euro eller 1,4 procent. Till det kommer den affärsrisk som väger tyngst i praktiken: driftstopp, dataförlust och förlorat förtroende hos kunder.
Så kommer ni i gång – sex konkreta steg
Telefoni och IT hänger ihop
Många företag glömmer att kommunikationssystemen ingår i säkerhetsarbetet. En modern molnväxel med krypterade samtal, EU-lagring och löpande säkerhetsuppdateringar är ur NIS2-perspektiv en styrka jämfört med åldrande lokal utrustning – samma logik som gjorde 2G/3G-nedsläckningen till en väckarklocka, vilket vi skrivit om i artikeln om 2G- och 3G-nedsläckningen.
Telebyrån hjälper små och medelstora företag att få ordning på helheten: IT-tjänster med säkerhet och drift, nätverk som tjänst med övervakning, och säker företagstelefoni. Vi är inga jurister och ersätter ingen juridisk rådgivning – men vi ser till att er tekniska grund håller för kraven.
Vill ni veta var ni står? Boka en kostnadsfri konsultation så går vi igenom er miljö tillsammans.
Vanliga frågor
När trädde cybersäkerhetslagen i kraft?
Den svenska cybersäkerhetslagen (SFS 2025:1506) trädde i kraft den 15 januari 2026. Den genomför EU:s NIS2-direktiv och ersätter den tidigare NIS-regleringen.
Vilka företag omfattas av NIS2 i Sverige?
Offentliga och privata verksamheter inom 18 samhällsviktiga sektorer, som huvudregel med minst 50 anställda eller minst 10 miljoner euro i årsomsättning. Även vissa mindre verksamheter med särskild samhällsbetydelse omfattas, och underleverantörer möter ofta kraven via avtal.
Måste vi anmäla oss någonstans?
Ja. Verksamheter som omfattas ska anmäla sig till Myndigheten för civilt försvar. Anmälningstjänsten öppnade den 2 februari 2026 och anmälan ska ske utan onödigt dröjsmål.
Vilka tidsfrister gäller vid en incident?
Enligt NIS2-direktivet som lagen bygger på gäller tre steg: tidig varning inom 24 timmar, incidentanmälan inom 72 timmar och slutrapport inom en månad efter incidenten.
Vi har färre än 50 anställda – kan vi ändå beröras?
Ja. Dels omfattas vissa mindre verksamheter med samhällsviktig roll direkt av lagen, dels ställer allt fler stora kunder NIS2-liknande säkerhetskrav på sina leverantörer i avtal.
