NIS2 och cybersäkerhetslagen: vad kraven betyder för företagets uppkoppling

NIS2 är EU:s direktiv om cybersäkerhet i samhällsviktiga och viktiga verksamheter. I Sverige är det genomfört genom cybersäkerhetslagen (2025:1506), som trädde i kraft den 15 januari 2026 och samtidigt ersatte den tidigare lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster. Lagen kompletteras av en cybersäkerhetsförordning som bland annat pekar ut tillsynsmyndigheterna.

Det mesta som skrivs om NIS2 handlar om vem som omfattas och hur stora sanktionsavgifterna kan bli. Det är rimliga frågor, och de besvaras nedan. Men för den som faktiskt ska leva upp till lagen är en annan fråga minst lika viktig: flera av kraven går inte att uppfylla på papperet. De avgörs av hur nätet och uppkopplingen är byggda, vem som ansvarar för vad när något går sönder, och om ni överhuvudtaget får veta det i tid.

Vilka omfattas av cybersäkerhetslagen?

Lagen gäller verksamhetsutövare inom ett stort antal sektorer — bland annat energi, transport, bank och finansiell infrastruktur, hälso- och sjukvård, dricksvatten, digital infrastruktur, förvaltning av IKT-tjänster mellan företag, offentlig förvaltning, post- och budtjänster, livsmedel och delar av tillverkningsindustrin. Verksamheterna delas in i väsentliga och viktiga verksamhetsutövare, och indelningen styr bland annat tillsynen och hur höga sanktionsavgifterna kan bli.

Storleken spelar roll. Små företag och mikroföretag är som huvudregel undantagna, men det finns undantag från undantaget, och anknutna företag och partnerföretag räknas in när storleken bedöms. Det är alltså inte säkert att ett litet bolag i en stor koncern räknas som litet.

Det är verksamhetsutövaren själv som ska bedöma om den omfattas. Ingen myndighet gör den bedömningen åt er. Den som omfattas ska anmäla sig till Nationellt cybersäkerhetscenter (NCSC), och anmälan ska göras så snart det kan ske. För de sektorer där Post- och telestyrelsen är tillsynsmyndighet finns ett eget stöd för bedömningen på pts.se.

Vad lagen kräver: tio områden

Kärnan i lagen är kravet på riskhanteringsåtgärder i 2 kap. 3 §. Åtgärderna ska vara lämpliga och proportionella, utgå från ett allriskperspektiv och minst omfatta:

1. Strategier för riskanalys och för säkerhet i nätverks- och informationssystem.
2. Incidenthantering.
3. Kontinuitets- och krishantering.
4. Säkerhet i leveranskedjan.
5. Säkerhet vid förvärv, utveckling och underhåll av system.
6. Strategier för att bedöma om åtgärderna är effektiva.
7. Grundläggande cyberhygien och utbildning i cybersäkerhet.
8. Kryptografi och, när det behövs, kryptering.
9. Personalsäkerhet, åtkomstkontroll och förvaltning av tillgångar.
10. Vid behov autentisering, säkrade kommunikationer och säkrade nödkommunikationssystem.

Lagen säger inte vilken teknik som ska användas. Den säger att åtgärderna ska stå i proportion till riskerna. Det betyder att ingen kan köpa sig fri med en produkt — men också att en verksamhet som inte har tänkt igenom sina beroenden har svårt att visa att åtgärderna är tillräckliga.

Ledningens ansvar

Den som ingår i ledningen för en verksamhetsutövare ska genomgå utbildning om säkerhetsåtgärder, enligt 2 kap. 4 §. Cybersäkerhet blir därmed uttryckligen en ledningsfråga och inte något som kan lämnas helt till IT-avdelningen. För väsentliga verksamhetsutövare kan en befattningshavare under vissa förutsättningar dessutom förbjudas att ha en ledningsfunktion. Ett sådant förbud beslutas av allmän förvaltningsdomstol på ansökan av tillsynsmyndigheten och gäller i ett till tre år.

Rapportering av betydande incidenter

Det krav som oftast får konsekvenser i vardagen är rapporteringen. Den sker i steg:

• Upplysning om betydande incident så snart det kan ske och senast 24 timmar efter att verksamhetsutövaren fått kännedom om incidenten.
• Incidentanmälan så snart det kan ske och senast 72 timmar efter kännedom. För leverantörer av betrodda tjänster gäller 24 timmar.
• Delrapport om myndigheten begär det.
• Slutrapport senast en månad efter incidentanmälan. Pågår incidenten fortfarande lämnas i stället en lägesrapport, och slutrapporten kommer inom en månad efter att incidenten hanterats.

Klockan börjar alltså gå när ni får kännedom om incidenten. Det låter självklart, men det förutsätter att information om ett fel faktiskt når er. Om förbindelsen till ett kontor går ner en natt och ingen upptäcker det förrän personalen kommer på morgonen, eller om operatören vet om en störning som aldrig kommuniceras vidare, är det inte rapporteringstiden som är problemet utan att ingen har ansvaret för att märka felet.

Sanktionsavgifter

Den som inte följer lagen kan påföras sanktionsavgift enligt 4 kap. 10 §. Avgiften är lägst 5 000 kronor. Högsta belopp:

• Väsentliga verksamhetsutövare: det högsta av 2 procent av den globala årsomsättningen föregående räkenskapsår och ett belopp motsvarande 10 miljoner euro.
• Viktiga verksamhetsutövare: det högsta av 1,4 procent av den globala årsomsättningen och ett belopp motsvarande 7 miljoner euro.
• Offentliga verksamhetsutövare: högst 10 miljoner kronor.

En incident innebär inte i sig att lagen har brutits. Det som prövas är om verksamhetsutövaren har vidtagit de åtgärder lagen kräver och rapporterat som den ska.

Där kraven möter nätet

Fyra av de tio områdena ovan har en direkt koppling till uppkopplingen, och de är värda att gå igenom ett i taget.

Kontinuitets- och krishantering. Om verksamheten stannar när förbindelsen går ner är förbindelsen en del av kontinuitetsplanen, oavsett om någon har skrivit in den där. Två förbindelser är inte automatiskt redundans — det kräver separata vägar, gärna separata tekniker och en omkoppling som faktiskt har testats. Hur ni hittar de gemensamma punkterna har vi gått igenom i texten om redundant internet för företag, och hur ni räknar fram vad ett avbrott kostar i kalkylen för driftstopp.

Säkerhet i leveranskedjan. Operatören och den som levererar uppkopplingen är leverantörer i lagens mening. Säkerhet i leveranskedjan handlar om att veta vad de ansvarar för, vad som står i avtalet och hur de informerar er när något händer. En kravspecifikation som bara anger hastighet säger ingenting om det. Vad som bör stå med, och hur det blir jämförbart mellan anbud, finns i texten om att upphandla internet med kravspecifikation.

Incidenthantering. För att kunna lämna en upplysning inom 24 timmar behöver ni en kedja som fungerar: vem som märker ett fel, vem som anmäler det till leverantören, vad leverantören återkopplar och när, och vem som bedömer om det är en betydande incident. Ju fler parter som står mellan er och felet, desto viktigare är det att varje länk är beskriven. Att ha en avtalspart för uppkopplingen i stället för en per adress och teknik förenklar den kedjan.

Åtkomstkontroll och säkrade kommunikationer. Ett platt nät där allt kan nå allt är svårt att försvara i en riskanalys. Att skilja verksamhetssystem, gästnät, kortterminaler och styrsystem åt i egna segment, och att styra vad som får gå ut och in, är grundläggande nätverkshygien. Det beskriver vi närmare under cybersäkerhet i nätverkslagret.

Även för den som inte omfattas

Många företag omfattas inte själva av lagen men levererar till någon som gör det. Eftersom säkerhet i leveranskedjan är en av de åtgärder verksamhetsutövaren ska vidta kan krav följa med i avtal, upphandlingar och leverantörsbedömningar. Frågor om hur ert nät är segmenterat, hur ni hanterar ett avbrott och hur snabbt ni kan rapportera en incident till kunden blir då en del av affären. Att kunna beskriva hur uppkopplingen är byggd är därför användbart även utan egen anmälningsplikt.

Fem frågor att ställa om er uppkoppling

1. Vad händer med verksamheten om förbindelsen på en viss adress går ner — och finns det svaret nedskrivet?
2. Går en eventuell backup över ett annat nät, en annan teknik och en annan väg in i fastigheten?
3. Vem märker ett avbrott först, och hur lång tid tar det innan rätt person vet om det?
4. Vad står i avtalet med leverantören om felanmälan, återkoppling och information vid störningar?
5. Finns det dokumentation över hur nätet är byggt som ni kan visa en revisor, en tillsynsmyndighet eller en kund?

Vad vi gör och inte gör

Vi äger inget eget nät. Vi är operatörsoberoende och levererar uppkoppling via operatörer och partners, med egen kundtjänst och egen support i Sverige. Inom NIS2-arbetet kan vi bidra med det som rör nätet: välja teknik efter vad adressen tillåter, bygga en backup som verkligen går en annan väg, ge er en avtalspart och en kontaktväg för alla adresser, och lämna dokumentation över hur uppkopplingen är byggd.

Vad vi inte gör: vi bedömer inte om er verksamhet omfattas av lagen, vi gör inte er riskanalys och vi kan inte intyga att ni lever upp till lagens krav. Det är er bedömning, gärna med stöd av den som är specialiserad på regelefterlevnad. Servicenivåer för uppkopplingen beror på teknik och adress och regleras i avtalet.

Källor: cybersäkerhetslag (2025:1506) på riksdagen.se, Nationellt cybersäkerhetscenters vägledning om anmälan på ncsc.se och Post- och telestyrelsens frågor och svar om cybersäkerhetslagen på pts.se. Uppgifterna kontrollerades den 25 oktober 2026.

Vill ni gå vidare hittar ni mer om cybersäkerhet i nätverkslagret, uppkoppling för offentlig verksamhet och redundant internet.