NIS2 genomförs i Sverige – skärpta krav på cybersäkerhet

11 mars 2026

Vi inleder nu en ny era av digitalt försvar. Här kommer en genomgång av de viktigaste förändringarna och det mest centrala i Sveriges nya cybersäkerhetslag. Lagen trädde i kraft den 15 januari 2026 och genomför EU:s NIS2-direktiv. Den utvecklar arbetet kring hur vi skyddar samhällsviktig information, verksamhet och kritisk infrastruktur.

Vad är den största förändringen?

Den mest genomgående förändringen med den nya lagen är att det nu sker en kraftig utvidgning av lagens räckvidd. Antalet sektorer som omfattas ökas från sju till arton. Det innebär att verksamheter som bland annat avfallshantering och livsmedelsproduktion nu även inkluderas. Uppskattningsvis berör lagen cirka 1500 företag och tusentals offentliga organisationer, med omkring 500 000 anställda.

Fler detaljerade krav och skärpta krav på incidentrapportering

Lagen ställer också mer detaljerade krav än tidigare. Verksamheter ska arbeta systematiskt med riskhantering utifrån ett ”allrisk-perspektiv”, samt vidta konkreta säkerhetsåtgärder. Det kan t ex. innefatta att ha strategier för incidenthantering samt att säkerställa säkra leveranskedjor. Utöver det skärps även kraven på incidentrapportering. Nu ska en första varning om en betydande incident lämnas till tillsynsmyndigheten inom 24 timmar, följt av en mer detaljerad anmälan inom 72 timmar.

Hur påverkas Sveriges företag?

För de verksamheter som omfattas innebär lagen flera stora förändringar. Här kommer några saker att ta med sig från den nya cybersäkerhetslagen:

• Helhetsansvar: Cybersäkerhet kan inte längre klassas som enbart en IT-fråga. Kraven gäller nu för hela verksamheten, vilket innebär att säkerhetstänket måste genomsyra alla avdelningar, processer och beslut.
• Ledningens utökade ansvar: En av de mest betydelsefulla delarna av lagen är det uttryckliga ansvaret som läggs på ledningen. Styrelse och VD måste genomgå utbildning i cybersäkerhet och kan, vid allvarliga brister, personligen hållas ansvariga.
• Kännbara sanktioner: De ekonomiska påföljderna för den som inte följer lagen har höjts markant. Sanktionsavgifterna kan nu uppgå till 10 miljoner euro eller 2 % av den globala årsomsättningen för de mest samhällsviktiga aktörerna.

Varför behövs lagen?

Vi befinner oss i ett försämrat säkerhetspolitiskt läge, där cyberattacker allt mer blir ett vanligt förekommande verktyg. EU kan genom att höja och harmonisera kraven skapa en starkare gemensam försvarslinje för hela Europa. EU-kommissionen bedömer att åtgärderna i NIS2 på sikt kan minska kostnaderna för cyberincidenter inom unionen. Den nya cybersäkerhetslagen, som genomför NIS2-direktivet, blir därför en viktig del i arbetet med att skapa ett robustare och mer motståndskraftigt Sverige.

Senaste nytt om NIS-2 och cybersäkerhet

EU-kommissionen har nyligen presenterat ett nytt cybersäkerhetspaket med förslag på ändringar i både cybersäkerhetsakten (CSA) och NIS2-direktivet. Förslagen syftar bland annat till att stärka EU:s cybersäkerhetsbyrå Enisa, effektivisera ramverket för certifiering och harmonisera säkerheten i leveranskedjor för IKT-produkter. Den svenska regeringen ställer sig positiv till förtydliganden av regelverken men vill se mer analys kring ett utökat operativt mandat för Enisa, och betonar vikten av att nya regler ska vara proportionerliga.  

Regeringen har även beslutat om en uppdaterad handlingsplan för den nationella strategin för cybersäkerhet 2025–2029. Detta för att möta ett förändrat omvärldsläge, nya hot och nya EU-regelverk. Den nya planen innehåller 91 aktiviteter – bland annat satsningar på mer resurser till cybersäkerhetsarbetet, stärkt skydd av kritisk infrastruktur och ökad kompetens, samordning och säkerhet i offentlig sektor samt samhällsviktig verksamhet.

Regeringen föreslår också nya lagar och sekretessregler för att stärka samarbetet inom det nationella cybersäkerhetscentret, och möjliggöra ett mer effektivt informationsutbyte mellan de berörda myndigheterna. Förslagen ska förbättra Sveriges förmåga att förebygga, upptäcka och hantera cyberhot och föreslås träda i kraft den 1 juli 2026.