NIS2, implementerat i svensk rätt som cybersäkerhetslagen, ställer tre omedelbara krav på era ledningsbeslut: dokumenterad riskhantering, incidentrapportering inom 24 och 72 timmar samt bevisad effektivitet av era säkerhetsåtgärder. Lagen trädde i kraft den 15 januari 2026 och gäller för verksamhetsutövare inom 18 sektorer. Prioritera i denna ordning: kartlägg om ni omfattas, dokumentera ledningens beslut om risk och resurser, och sätt upp rutiner för att rapportera till NCSC inom de lagstadgade tidsfristerna.
Kort sagt:
- Om ni är medelstora eller stora företag inom en av de 18 utpekade sektorer, måste ni dokumentera riskhantering och rapportera incidenter inom angivna tidsramar.
- Ni behöver en kontinuerlig riskbedömning och effektiva tester, som pentester och tabletop-övningar, för att visa att säkerhetsåtgärderna faktiskt fungerar i praktiken.
- Incidentrapportering ska ske i tre steg: tidig varning inom 24 timmar, fullständig anmälan inom 72 timmar och slutrapport inom en månad.
- Ledningen måste ta och dokumentera beslut om riskhantering, resurser och säkerhetsmål för att visa på aktivt ansvarstagande.
- En strukturerad implementeringsmodell bör följas i faser, inklusive gap-analys, prioritering, åtgärder och validering, för att säkerställa efterlevnad och underlag för tillsyn.
Innehållsförteckning
- Checklista för NIS2 krav: snabb överblick
- Vem omfattas av cybersäkerhetskrav enligt NIS2?
- Kärnkraven enligt Artikel 21: vad krävs i praktiken?
- Hur fungerar tidsfristerna för incidentrapportering?
- Vilket ansvar har ledningen enligt cybersäkerhetslagen?
- Så bygger ni en operativ implementeringsmodell
- De första 90 dagarna: en prioriteringsordning som fungerar
- Varför ledningen behöver agera nu
- Evertrusts stöd för NIS2 krav och ledningsansvar
- Fördjupning: myndighetskällor om NIS2 krav
- Källor
Checklista för NIS2 krav: snabb överblick
Innan ni går in i detaljerna är det värt att se helheten. Artikel 21 i NIS2 direktivet delar in kraven i tio riskhanteringsområden, och cybersäkerhetslagen skärper kraven på rapportering och ledningsansvar jämfört med den gamla NIS-lagen.
- Artikel 21-kategorierna: riskanalys, incidenthantering, kontinuitet, leverantörskedjesäkerhet, sårbarhetshantering, åtkomstkontroll, kryptering och effektivitetsbedömning.
- Rapporteringstider: tidig upplysning inom 24 timmar, fullständig anmälan inom 72 timmar, slutrapport inom en månad.
- Två kategorier verksamheter: väsentliga verksamhetsutövare har strängare tillsyn och högre sanktioner än viktiga verksamhetsutövare, men båda måste uppfylla samma sakkrav.
Vem omfattas av cybersäkerhetskrav enligt NIS2?
En verksamhetsutövare är i grunden ett företag eller en organisation som är verksam inom en av de 18 sektorer som pekas ut i NIS2 direktivet och som når vissa tröskelvärden för storlek. Som utgångspunkt gäller lagen medelstora och stora företag, det vill säga minst 50 anställda eller en årsomsättning över 10 miljoner euro, men vissa kritiska aktörer omfattas oavsett storlek.
Sektorerna spänner brett: energi, transport, bank och finans, hälso- och sjukvård, dricksvatten, digital infrastruktur, offentlig förvaltning, rymd, post och kurirtjänster, avfallshantering, kemikalietillverkning, livsmedel, tillverkningsindustri och leverantörer av digitala tjänster som molntjänster och sökmotorer.
Så gör ni självbedömningen:
- Jämför er verksamhet mot sektorslistan och kontrollera om ni når storlekströskeln.
- Om ni är osäkra, se er roll i leverantörskedjan snarare än bara er egen bransch.
- Anmäl er till tillsynsmyndigheten så snart omfattningen är klarlagd, eftersom registrering är en egen skyldighet enligt lagen.
Kärnkraven enligt Artikel 21: vad krävs i praktiken?
Artikel 21 i NIS2 direktivet listar minst tio riskhanteringsområden, och varje krav måste omsättas i konkreta rutiner, inte bara i policydokument.
- Riskanalys och styrdokument. Ni behöver en levande riskbedömning som uppdateras vid förändringar, inte en engångsrapport.
- Incidenthantering. En definierad process för upptäckt, klassificering och eskalering av avvikelser.
- Kontinuitet och krishantering. Planer för drift vid avbrott, inklusive backup och återställning.
- Leverantörskedjesäkerhet. Krav på underleverantörers säkerhetsnivå, avtal och uppföljning.
- Sårbarhetshantering. Rutiner för patchning, skanning och hantering av kända brister.
- Åtkomstkontroll och kryptering. Principen om minsta behörighet samt kryptering av känslig information i vila och under överföring.
- Utbildning. Återkommande utbildning för både personal och ledning.
- Effektivitetsbedömning. Artikel 21(f) kräver att ni kan visa att åtgärderna faktiskt fungerar, inte bara att de finns på papper.
Effektivitetskravet är det som fäller flest organisationer vid tillsyn. Det räcker inte att ha en brandvägg och en policy; ni måste kunna redovisa testresultat, pentester och tabletop-övningar som styrker att skyddet håller i praktiken.
Proffstips: Kombinera automatiserade sårbarhetsskanningar löpande med ett årligt penetrationstest och halvårliga tabletop-övningar. Den kombinationen skapar den evidenskedja Artikel 21(f) faktiskt frågar efter.
Hur fungerar tidsfristerna för incidentrapportering?
Cybersäkerhetslagen sätter tre skarpa tidsfrister för betydande incidenter: tidig upplysning inom 24 timmar, en fullständig incidentanmälan inom 72 timmar och en slutrapport senast en månad efter upptäckt. Betrodda tjänster inom digital infrastruktur har delvis egna regler för hur och till vem rapporteringen sker.
Den första 24-timmarsupplysningen behöver inte vara komplett. Den ska fungera som en tidig varningssignal, och kompletteras stegvis med mer data i 72-timmarsanmälan och den slutliga rapporten.
Den tidiga upplysningen bör innehålla tidpunkt för upptäckt, vilken tjänst som drabbats, en grov bedömning av påverkan, kontaktperson och kort status på åtgärder. Ni vinner inget på att vänta tills bilden är fullständig.
Operativt betyder detta:
- Utse en tydlig ägare för incidentrapportering innan något händer.
- Ha en färdig mall med obligatoriska fält så att 24-timmarskravet går att möta även vid osäkerhet.
- Logga alla beslut och tidsstämplar, eftersom loggarna blir underlag för både 72-timmarsanmälan och slutrapporten.
- Bestäm i förväg vem som kommunicerar med drabbade kunder respektive med tillsynsmyndigheten.
Vilket ansvar har ledningen enligt cybersäkerhetslagen?
Ledningen kan inte längre betrakta cybersäkerhet som en IT-fråga. Enligt NCSC:s vägledning för ledningen måste styrelse och vd fatta och dokumentera beslut om säkerhetsmål, resurstilldelning och organisationens riskaptit.
- Ledningen ska godkänna riskhanteringsåtgärder, inte bara ta emot en rapport om dem.
- Utbildning för ledningen är ett eget lagkrav, inte en frivillig kompetenshöjning.
- Uppföljning bör ske minst årligen, men kvartalsvis rapportering ger betydligt starkare skydd vid tillsyn.
- Protokollförda beslut fungerar som ledningens bevis på att ansvaret faktiskt tagits, vilket är avgörande om en tillsynsmyndighet ifrågasätter agerandet efter en incident.
Så bygger ni en operativ implementeringsmodell
En fungerande NIS2 implementering rör sig i tydliga faser snarare än som ett stort engångsprojekt. Evertrust arbetar med en modell som går från snabb kartläggning till validerad bevisning, anpassad efter hur svenska organisationer faktiskt är organiserade.
- Gap-analys. Jämför nuläget mot Artikel 21 och identifiera de största bristerna, ofta inom leverantörskedja och åtkomstkontroll.
- Prioritering. Rangordna åtgärder efter risk och tillsynskänslighet, inte efter vad som är enklast att fixa först.
- Implementering. Mappa era kontroller mot etablerade ramverk som CIS eller ISO 27000 för att undvika att uppfinna hjulet på nytt.
- Validering och dokumentation. Genomför pentest och tabletop-övningar, och samla artefakterna i ett riskregister, en ansvarsmatris, testprotokoll och en incidentmall.
Det är just artefakterna som avgör hur en tillsyn går. En myndighet vill se riskregistret, vem som är ansvarig för vad, och bevis på att era tester faktiskt genomförts, inte bara att de finns inplanerade.
Proffstips: Bygg ansvarsmatrisen innan gap-analysen är klar. Annars riskerar ni att identifiera brister som ingen äger, och de bristerna blir liggande längst.
De första 90 dagarna: en prioriteringsordning som fungerar
- Identifiera om ni omfattas och inom vilken sektor, med IT-säkerhetschefen som ansvarig.
- Utse en ägare för hela NIS2-arbetet i ledningsgruppen, inte bara i IT-avdelningen.
- Genomför en gap-analys mot Artikel 21 inom de första fyra veckorna.
- Säkra kritiska åtkomster och lösenordshygien omedelbart, det ger snabbast riskreduktion.
- Upprätta mallar för incidentrapportering innan de behövs på riktigt.
- Utbilda ledningen och dokumentera att utbildningen genomförts.
- Planera den första valideringen, exempelvis ett penetrationstest, innan dag 90.
Efter 90 dagar räcker det inte att säga att ni “jobbar på det”. Ett ifyllt riskregister, en ansvarsmatris och ett bokat test är det minimum som visar verklig framdrift vid en eventuell tillsyn.
Varför ledningen behöver agera nu
Det vanligaste gapet Evertrust ser hos klienter är inte avsaknaden av policyer, utan avsaknaden av bevis. Organisationer har ofta en riskpolicy men saknar protokoll som visar att ledningen faktiskt fattat beslut om den. Regelbundna, mindre beslut varje kvartal skyddar bättre än en enda stor insats en gång per år, eftersom tillsynsmyndigheten frågar efter kontinuitet, inte ett engångsdokument. Det enklaste sättet att undvika personligt ansvar är att protokollföra varje beslut om risk och resurser, löpande.
— Jesper
Evertrusts stöd för NIS2 krav och ledningsansvar
Att gå från lagtext till fungerande rutiner tar tid, särskilt när ledningen ska hinna med både beslut och dokumentation samtidigt som verksamheten drivs vidare. Evertrust arbetar praktiskt med gap-analyser, ledningsutbildning och dokumentationsstöd för NIS2, så att era prioriteringar blir konkreta i stället för generella.
Det kan vara värdefullt att få hjälp med att identifiera var de största bristerna ligger, bygga ansvarsmatriser som håller vid tillsyn och sätta upp incidentrutiner som klarar 24-timmarskravet. För organisationer som redan har ett dataskyddsombud kan vi också klargöra dataskyddsombudets roll vid en DPIA, eftersom NIS2-arbetet ofta korsar dataskyddsfrågor. Behöver ni extern kompetens som kan ta ett helhetsgrepp, se vår expertis inom informationssäkerhet. En första genomgång av NIS2 krav kan bokas via externa landningssidor för att få en tydlig bild av vad som saknas innan nästa tillsynsperiod.
Fördjupning: myndighetskällor om NIS2 krav
- NCSC om cybersäkerhetslagen för grundläggande genomförande i svensk rätt.
- NIS2-direktivets fullständiga text på EUR-Lex för den rättsliga grunden.
- SOU 2024:64 för den svenska utredningen bakom lagen.
- Teknisk bakgrund om säkring av digitala tjänster finns hos Dmnt.
Föreskrifter från Myndigheten för civilt försvar fylls på löpande fram till och under 2026, så följ NCSC för uppdateringar innan ni låser er implementeringsplan.
This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.
