NIS2-direktivet - vad gäller svenska företag 2026

NIS2 är en förkortning av Network and Information Security Directive, andra generationen. Det formella namnet är Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen. Direktivet trädde i kraft den 16 januari 2023 och medlemsstaterna hade fram till den 17 oktober 2024 på sig att införliva bestämmelserna i nationell rätt. Sverige missade tidsfristen och Europeiska kommissionen inledde i november 2024 ett överträdelseförfarande, vilket avslutades efter att cybersäkerhetsskyddslagen (2024:1226) trätt i kraft.

NIS2 ersätter det första NIS-direktivet (2016/1148), som var EU:s första sektorsövergripande cybersäkerhetslagstiftning. NIS1 omfattade enbart sju sektorer och cirka 350 svenska aktörer, främst inom energi, transport, bank, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten och digital infrastruktur. Erfarenheterna från NIS1 visade att tillämpningsområdet var för snävt, att medlemsstaternas tolkningar varierade kraftigt och att tillsynen var ojämn. Inom ramen för EU:s cybersäkerhetsstrategi från december 2020 föreslog kommissionen därför en omarbetning.

NIS2 introducerar flera principiella nyheter. För det första utökas antalet sektorer från sju till arton, indelade i "sektorer med hög kritikalitet" (bilaga I) och "andra kritiska sektorer" (bilaga II). För det andra ersätts den tidigare uppdelningen mellan leverantörer av samhällsviktiga tjänster och digitala tjänster med en ny tudelning mellan "väsentliga entiteter" och "viktiga entiteter", där kategoriseringen i huvudsak följer en storlekströskel (medelstora och stora företag enligt EU-kommissionens rekommendation 2003/361/EG). För det tredje skärps kraven på riskhanteringsåtgärder, incidentrapportering, leverantörskedjesäkerhet och ledningsorganens personliga ansvar.

Parallellt med NIS2 har EU antagit kompletterande rättsakter, bland annat förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn (DORA), direktiv (EU) 2022/2557 om kritiska entiteters motståndskraft (CER) samt förordning (EU) 2024/2847 om cyberresiliens (Cyber Resilience Act). Tillsammans utgör dessa EU:s cybersäkerhetspaket.

Tillämpningsområdet bestäms av tre faktorer: sektor, storlek och eventuella särskilda kriterier. NIS2 omfattar enligt huvudregeln medelstora och stora företag, det vill säga verksamheter med minst 50 anställda eller en årsomsättning över 10 miljoner euro. För vissa kategorier (kvalificerade tillhandahållare av betrodda tjänster, registreringsenheter för toppdomäner, leverantörer av allmänna elektroniska kommunikationsnät, offentlig förvaltning och vissa kritiska entiteter) gäller dock kraven oavsett storlek.

Sektorerna med hög kritikalitet (bilaga I) omfattar energi (elektricitet, fjärrvärme, fjärrkyla, olja, gas, vätgas), transport (luft-, järnvägs-, sjö- och vägtransport), bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård (inklusive tillverkare av medicintekniska produkter och referenslaboratorier), dricksvatten, avloppsvatten, digital infrastruktur (internetknutpunkter, DNS-tjänster, toppdomäner, molntjänster, datacenter, innehållsleveransnät, betrodda tjänster), förvaltning av IKT-tjänster (B2B), offentlig förvaltning och rymden.

Andra kritiska sektorer (bilaga II) omfattar post- och budtjänster, avfallshantering, tillverkning och distribution av kemikalier, livsmedelsproduktion och distribution, tillverkning (av bland annat medicintekniska produkter, datorer, elektronisk utrustning, maskiner, motorfordon och annan transportutrustning), digitala leverantörer (marknadsplatser, sökmotorer, sociala nätverk) och forskning.

Inom respektive kategori delas verksamheter in i väsentliga entiteter (essential entities) och viktiga entiteter (important entities). Väsentliga entiteter är i regel stora företag (minst 250 anställda eller omsättning över 50 miljoner euro) inom sektorer i bilaga I, samt vissa specifikt utpekade aktörer. Viktiga entiteter är medelstora företag inom bilaga I samt alla medelstora och stora företag inom bilaga II. Distinktionen påverkar tillsynsregimen: väsentliga entiteter står under proaktiv tillsyn (revisioner, inspektioner), medan viktiga entiteter står under reaktiv tillsyn (ingripande vid indikation på överträdelse).

MSB har upprättat ett anmälningsregister där omfattade verksamheter senast vid en viss tidpunkt ska registrera sig. Identifiering åvilar verksamheten själv (självidentifiering), vilket innebär att styrelse och ledning aktivt måste bedöma om bolaget omfattas. Enligt MSB:s preliminära uppskattningar omfattas mellan 1 000 och 3 000 svenska aktörer.

Den svenska implementeringen utgörs huvudsakligen av cybersäkerhetsskyddslagen (2024:1226), cybersäkerhetsskyddsförordningen (2024:1227) samt MSB:s föreskrifter och allmänna råd. Lagen trädde i kraft den 1 januari 2025. Lagstiftningsprocessen inleddes med utredningen "Nya regler om cybersäkerhet" (SOU 2024:18) som överlämnades till Försvarsdepartementet i mars 2024. Propositionen 2024/25:39 "Genomförande av NIS2-direktivet och CER-direktivet" beslutades av riksdagen i december 2024.

Lagen är strukturerad i tio kapitel som behandlar tillämpningsområde, allmänna skyldigheter, riskhanteringsåtgärder, incidentrapportering, tillsyn, ingripanden, sanktionsavgifter, register, behandling av personuppgifter och övergångsbestämmelser. Den kompletteras av cybersäkerhetsskyddsförordningen som preciserar bland annat sektorsdefinitioner, tröskelvärden och tillsynsmyndigheternas ansvarsfördelning.

Tillsynsansvaret är fördelat mellan flera myndigheter. MSB är samordnande tillsynsmyndighet och har tillsyn över flertalet sektorer. Finansinspektionen ansvarar för bankverksamhet och finansmarknadsinfrastruktur (i samverkan med DORA-regelverket), Post- och telestyrelsen för elektronisk kommunikation och digital infrastruktur, Energimyndigheten för energisektorn, Transportstyrelsen för transportsektorn, Livsmedelsverket för dricksvatten och livsmedel, Inspektionen för vård och omsorg samt Läkemedelsverket för hälso- och sjukvård respektive medicintekniska produkter. Försvarsmakten och Säkerhetspolisen har särskilda roller där cybersäkerhet sammanfaller med säkerhetsskydd enligt säkerhetsskyddslagen (2018:585).

CSIRT-funktion (Computer Security Incident Response Team) utövas av CERT-SE, som är en del av MSB. CERT-SE tar emot incidentrapporter, ger tekniskt stöd och samordnar med ENISA (Europeiska unionens cybersäkerhetsbyrå) och andra medlemsstaters CSIRT.

Förhållandet till annan lagstiftning är komplext. Säkerhetsskyddslagen (2018:585) gäller för verksamheter som är säkerhetskänsliga och har företräde där den är tillämplig. Dataskyddsförordningen (GDPR, EU 2016/679) gäller parallellt vid personuppgiftsincidenter. För finansiella entiteter gäller DORA i stället för NIS2 från och med januari 2025 enligt lex specialis-principen. Lagen om elektronisk kommunikation (2022:482) innehåller särskilda krav som överlappar med NIS2 inom telekomsektorn.

Artikel 21 i NIS2 ställer krav på att omfattade entiteter ska vidta lämpliga och proportionella tekniska, operativa och organisatoriska åtgärder för att hantera risker mot säkerheten i nät- och informationssystem som används i verksamheten eller för att tillhandahålla deras tjänster. Åtgärderna ska säkerställa en cybersäkerhetsnivå som står i proportion till risken, och de ska följa ett "all-hazards"-perspektiv som omfattar både cyberhot och fysiska hot.

Direktivet specificerar tio minimiåtgärder som åtminstone ska ingå:

1. Strategier för riskanalys och informationssystemens säkerhet
2. Incidenthantering (förebyggande, upptäckt, respons)
3. Driftskontinuitet, säkerhetskopior, katastrofåterhämtning och krishantering
4. Säkerhet i leveranskedjan, inklusive säkerhetsrelaterade aspekter i förhållande till leverantörer och tjänsteleverantörer
5. Säkerhet vid förvärv, utveckling och underhåll av nät- och informationssystem, inklusive hantering och offentliggörande av sårbarheter
6. Strategier och förfaranden för att bedöma cybersäkerhetsåtgärdernas effektivitet
7. Grundläggande cyberhygien och cybersäkerhetsutbildning
8. Strategier och förfaranden för användning av kryptografi och, där så är lämpligt, kryptering
9. Säkerhet vad gäller personal, åtkomstkontroll och tillgångshantering
10. Användning av multifaktorautentisering eller kontinuerlig autentiseringslösning, säker röst-, video- och textkommunikation samt säkra nödkommunikationssystem inom entiteten

Kraven på leverantörskedjesäkerhet (åtgärd 4) har särskild betydelse. Omfattade entiteter ska beakta sårbarheter specifika för varje direkt leverantör och tjänsteleverantör samt den övergripande kvaliteten på produkter och cybersäkerhetspraxis hos sina leverantörer. Detta innebär i praktiken att även underleverantörer som inte själva omfattas av NIS2 påverkas, eftersom kundernas due diligence-krav slår igenom kontraktuellt.

För kritiska sektorer kan kommissionen genom genomförandeakter anta ytterligare tekniska och metodologiska krav. Den första genomförandeakten, kommissionens genomförandeförordning (EU) 2024/2690, antogs den 17 oktober 2024 och preciserar krav för bland annat DNS-leverantörer, molntjänster, datacenter och digitala leverantörer.

MSB har publicerat vägledning där åtgärderna konkretiseras med hänvisning till etablerade ramverk såsom ISO/IEC 27001, ISO/IEC 27002, NIST Cybersecurity Framework och CIS Controls. Vägledningen är dock inte normativ utan utgör tolkningsstöd.

Artikel 23 i NIS2 inför en tre-stegs incidentrapporteringsmodell som markant skiljer sig från NIS1:s mer öppna formulering. Omfattade entiteter ska utan onödigt dröjsmål rapportera betydande incidenter till behörig CSIRT (i Sverige CERT-SE) eller, där så är tillämpligt, till behörig tillsynsmyndighet.

En incident betraktas som betydande om den orsakat eller kan orsaka allvarlig operativ störning av tjänsterna eller ekonomisk förlust för den berörda entiteten, eller om den har påverkat eller kan påverka andra fysiska eller juridiska personer genom att orsaka avsevärd materiell eller immateriell skada. Definitionen omfattar därmed både genomförda och potentiella incidenter.

Tidsfristerna är följande:

• Tidig varning (24 timmar): Senast 24 timmar efter att entiteten fått kännedom om den betydande incidenten ska en tidig varning lämnas. Varningen ska ange om incidenten misstänks ha orsakats av olagliga eller skadliga handlingar eller kunde få gränsöverskridande konsekvenser.


• Incidentanmälan (72 timmar): Senast 72 timmar efter kännedom ska en formell incidentanmälan lämnas, vilken ska uppdatera den tidiga varningen och tillhandahålla en första bedömning av incidenten, inklusive dess allvarlighetsgrad och konsekvenser, samt, där så är tillämpligt, kompromissindikatorer.


• Mellanrapport (på begäran): Behörig CSIRT eller tillsynsmyndighet kan begära en mellanrapport om relevanta statusuppdateringar.


• Slutrapport (en månad): Senast en månad efter att incidentanmälan lämnats ska en slutrapport tillhandahållas med detaljerad beskrivning av incidenten, dess allvarlighetsgrad och konsekvenser, vilken typ av hot eller grundorsak som sannolikt utlöste incidenten, vilka begränsande åtgärder som vidtagits och pågår, samt eventuella gränsöverskridande konsekvenser.

Tjänstemottagare som påverkas av en betydande cyberhot ska, utan onödigt dröjsmål och utan att hindra andra rättsliga skyldigheter, informeras om hotet samt om eventuella åtgärder som de kan vidta. Detta inför en informationsskyldighet gentemot kunder som inte fanns i NIS1.

Rapportering sker i Sverige via CERT-SE:s portal. CERT-SE vidarebefordrar relevanta uppgifter till behörig tillsynsmyndighet och, vid gränsöverskridande incidenter, till motsvarande CSIRT i berörda medlemsstater samt till ENISA. Frivillig incidentrapportering är möjlig även för entiteter som inte omfattas av NIS2.

NIS2 ställer för första gången uttryckliga krav på utbildning av såväl ledningsorgan som personal. Artikel 20 anger att medlemsstaterna ska säkerställa att ledningsorganen i väsentliga och viktiga entiteter godkänner de cybersäkerhetsriskhanteringsåtgärder som vidtas, övervakar genomförandet och kan hållas ansvariga för entiteternas överträdelser.

Ledningsorganen är skyldiga att genomgå utbildning och ska uppmuntra väsentliga och viktiga entiteter att regelbundet erbjuda liknande utbildning till sina anställda, så att de får tillräcklig kunskap och färdigheter för att kunna identifiera risker och bedöma cybersäkerhetsriskhanteringspraxis och deras inverkan på de tjänster som entiteten tillhandahåller.

Kravet på utbildning av personal följer också av minimiåtgärd 7 i artikel 21 (grundläggande cyberhygien och cybersäkerhetsutbildning). Detta omfattar bland annat utbildning om nätfiske ([phishing](/amne/phishing)), social manipulation, säker hantering av lösenord, multifaktorautentisering, säker användning av e-post och webbläsare, hantering av borttappade enheter, säkra resor och fjärrarbete samt rapportering av misstänkta säkerhetshändelser.

MSB:s vägledning rekommenderar att utbildningen ska vara återkommande (minst årligen), rollbaserad (anpassad efter arbetsuppgifter och åtkomst), dokumenterad (deltagarlistor, innehåll, prov) och mätbar (genom exempelvis phishing-simuleringar eller kunskapsprov). För personal med särskild åtkomst eller ansvar (systemadministratörer, utvecklare, säkerhetspersonal, ledning) ställs högre krav på specialiserad utbildning.

För ledningsorgan har Försvarsdepartementet i propositionen 2024/25:39 betonat att utbildning är en förutsättning för att uppfylla det personliga ansvaret. Styrelseledamöter och verkställande direktörer förväntas ha tillräcklig kunskap för att kunna fatta välgrundade beslut om cybersäkerhetsstrategi, riskhanteringsåtgärder, incidenthantering och leverantörsstyrning. Bristande utbildning kan utgöra grund för personligt skadeståndsansvar enligt allmänna associationsrättsliga principer.

I praktiken har många svenska organisationer infört utbildningsprogram som omfattar obligatorisk introduktionsutbildning för nya anställda, årlig återkommande utbildning för all personal, kvartalsvisa phishing-simuleringar, fördjupad utbildning för IT-personal och säkerhetspersonal samt särskild styrelseutbildning. För svensk basutbildning används ofta [DISA-strukturen](/amne/disa) från MSB. Utbildningsdokumentation används som bevis vid tillsynsrevisioner från MSB och andra tillsynsmyndigheter.

NIS2 inför en betydligt skarpare sanktionsregim än NIS1. Artikel 34 föreskriver att medlemsstaterna ska säkerställa att administrativa sanktionsavgifter mot väsentliga och viktiga entiteter är ändamålsenliga, proportionella och avskräckande.

För väsentliga entiteter ska maximibeloppet vara minst 10 miljoner euro eller 2 procent av entitetens totala globala årsomsättning under föregående räkenskapsår, beroende på vilket belopp som är högst. För viktiga entiteter är maximibeloppet minst 7 miljoner euro eller 1,4 procent av den totala globala årsomsättningen. Den svenska cybersäkerhetsskyddslagen genomför dessa nivåer i kapitel 7 om sanktionsavgifter.

Vid beslut om sanktionsavgift ska tillsynsmyndigheten beakta överträdelsens art, allvar och varaktighet, om överträdelsen orsakat skada eller förlust, om överträdelsen begåtts uppsåtligen eller av oaktsamhet, åtgärder för att begränsa skadan, om entiteten tidigare överträtt bestämmelserna, graden av samarbete med tillsynsmyndigheten, åtgärder som vidtagits för att förhindra eller mildra konsekvenserna samt om entiteten följer godkända uppförandekoder eller certifieringsmekanismer.

Utöver sanktionsavgifter har tillsynsmyndigheten enligt artikel 32 (väsentliga entiteter) och artikel 33 (viktiga entiteter) befogenhet att utfärda varningar, anta bindande instruktioner, beordra entiteten att informera berörda fysiska eller juridiska personer om cyberhot, offentliggöra överträdelser och de ansvariga personernas identitet samt, för väsentliga entiteter, tillfälligt upphäva certifieringar eller auktorisationer.

Av särskild betydelse är artikel 32.6 som möjliggör tillfällig avstängning av personer som utövar ledningsfunktioner. Tillsynsmyndigheten kan begära att en behörig domstol eller annan myndighet tillfälligt förbjuder en fysisk person med ledningsansvar på styrelsenivå eller verkställande direktörsnivå att utöva ledningsfunktioner i den entiteten. Detta är en av de mest ingripande sanktionerna i EU:s sektorslagstiftning.

Det personliga ansvaret för ledningsorgan följer av artikel 20.1: ledningsorganen godkänner riskhanteringsåtgärderna, övervakar genomförandet och kan hållas ansvariga för entiteternas överträdelser. I svensk rätt aktiveras detta dels genom de uttryckliga bestämmelserna i cybersäkerhetsskyddslagen, dels genom allmänna associationsrättsliga principer i aktiebolagslagen (2005:551) om styrelsens och verkställande direktörens skadeståndsansvar.

Sverige har valt att placera taket för fysiska personers personliga sanktionsavgift på den nivå som direktivet medger, men praxis är ännu inte etablerad eftersom inga större tillsynsärenden hunnit avgöras under det första verksamhetsåret.

NIS2 är ett rättsligt bindande regelverk medan ISO/IEC 27001 och CIS Controls är frivilliga ramverk. Skillnaden i rättslig status är central: NIS2-överträdelser kan leda till sanktioner, medan certifiering eller efterlevnad av ISO 27001 respektive CIS Controls är beslut som tas av den egna organisationen.

ISO/IEC 27001:2022 är en internationell standard för ledningssystem för informationssäkerhet (Information Security Management System, ISMS). Standarden specificerar krav på upprättande, införande, underhåll och kontinuerlig förbättring av ett ISMS. Den åtföljs av ISO/IEC 27002:2022 som innehåller 93 säkerhetsåtgärder fördelade på fyra teman (organisatoriska, personrelaterade, fysiska och tekniska). En organisation kan certifieras mot ISO 27001 av ackrediterade certifieringsorgan, och certifikatet är giltigt i tre år med årliga övervakningsrevisioner.

CIS Controls (Center for Internet Security Critical Security Controls) är ett pragmatiskt ramverk med 18 kontroller och 153 åtgärder, indelade i tre implementeringsgrupper (IG1, IG2, IG3) efter organisationens mognadsgrad och resurser. CIS Controls är mer tekniskt orienterat än ISO 27001 och har starkt fokus på konkreta åtgärder mot vanliga angreppsmetoder.

Förhållandet mellan NIS2 och dessa ramverk är komplementärt. Artikel 21.3 i NIS2 anger uttryckligen att medlemsstaterna ska uppmuntra användningen av europeiska och internationella standarder och tekniska specifikationer. ENISA har publicerat mappningar som visar hur ISO 27001-kontroller och NIST CSF-funktioner korresponderar mot NIS2:s tio minimiåtgärder. MSB:s vägledning hänvisar på liknande sätt till ISO 27001/27002 som metodstöd för att uppfylla lagkraven.

I praktiken kan en organisation som är ISO 27001-certifierad eller följer CIS Controls IG2/IG3 normalt uppfylla huvuddelen av NIS2:s tekniska krav, men certifiering räcker inte i sig. NIS2 ställer specifika krav på incidentrapportering inom 24/72 timmar, registrering hos MSB, leverantörskedjedue diligence och dokumenterat styrelseansvar som inte automatiskt täcks av ramverken. Omvänt går ISO 27001 djupare på processhantering och kontinuerlig förbättring än NIS2:s rättsliga minimiformulering.

För finanssektorn tillkommer DORA (EU 2022/2554) som är mer detaljerad än NIS2 vad gäller IKT-riskhantering, testning av digital operativ motståndskraft, hantering av IKT-tredjepartsrisker och informationsutbyte. För medicintekniska produkter gäller MDR (EU 2017/745) och cyberresiliensförordningen (EU 2024/2847) parallellt.

Följande checklista summerar de centrala steg som svenska verksamheter normalt behöver gå igenom för att uppfylla cybersäkerhetsskyddslagen (2024:1226). Stegen är inte rättsligt bindande som ordning, men reflekterar gängse praxis enligt MSB:s vägledning och branschrekommendationer.

1. Omfattningsanalys. Bedöm om verksamheten omfattas. Identifiera sektor enligt bilaga I eller II, beräkna antal anställda och årsomsättning, fastställ om bolaget är väsentlig eller viktig entitet. Dokumentera bedömningen även om slutsatsen är att verksamheten inte omfattas, eftersom MSB kan begära redovisning.

2. Registrering hos MSB. Omfattade verksamheter ska registrera sig hos MSB inom föreskriven tid. Registreringen omfattar bland annat kontaktuppgifter, sektor, tjänster som tillhandahålls, IP-adressintervall och behöriga företrädare.

3. Gap-analys. Jämför nuvarande säkerhetsåtgärder mot de tio minimiåtgärderna i artikel 21. Använd ISO 27001 Annex A, CIS Controls eller NIST CSF som referensramverk. Dokumentera brister och prioritera åtgärder efter risk.

4. Riskanalys och säkerhetspolicy. Genomför formell riskanalys enligt vald metod (exempelvis ISO/IEC 27005, OCTAVE, FAIR). Upprätta eller uppdatera informationssäkerhetspolicy som godkänns av styrelsen. Säkerställ att policyn täcker all-hazards-perspektivet.

5. Leverantörskedjeinventering. Identifiera kritiska leverantörer och underleverantörer av IKT-tjänster. Inför kontraktsklausuler om säkerhetskrav, revisionsrätt och incidentinformation. Bedöm leverantörers säkerhetsmognad.

6. Incidenthanteringsprocess. Etablera incidenthanteringsprocess med tydliga roller, kontaktvägar och tidsfrister. Säkerställ att 24/72-timmars rapportering till CERT-SE är tekniskt och organisatoriskt genomförbar. Öva incidenthantering minst årligen.

7. Kontinuitet och katastrofåterhämtning. Upprätta plan för verksamhetskontinuitet (BCP) och katastrofåterhämtning (DRP). Testa säkerhetskopior regelbundet. Säkerställ off-site eller offline-kopior som skydd mot utpressningsprogram.

8. Teknisk basnivå. Inför multifaktorautentisering, kryptering av data i vila och under överföring, segmentering av nätverk, central loggning och SIEM, sårbarhetshantering med definierade SLA, EDR/XDR på endpoints, härdning av servrar och nätverksutrustning.

9. Utbildning. Implementera utbildningsprogram för all personal (årligen) och ledning (vid tillträde och årligen). Dokumentera deltagande. Komplettera med phishing-simuleringar och scenarioövningar.

10. Styrning och rapportering. Etablera styrelserapportering om cybersäkerhet (förslagsvis kvartalsvis). Dokumentera styrelsens godkännande av riskhanteringsåtgärder. Säkerställ att internrevision eller motsvarande granskar efterlevnad. Förbered tillsynsdokumentation för MSB.