Reglyze
← Tillbaka till Reglyze
Genomfört och i kraft

Cyber­säkerhets­lagen (2025:1506): NIS 2 i Sverige

Säkerhetsåtgärderna preciseras i MCFFS 2026:11. Föreskrifterna gäller på samma sätt för väsentliga och viktiga verksamhetsutövare, medan de allmänna råden inte är tvingande. Den som uteslutande bedriver sektorsverksamhet inom Post- och telestyrelsens (PTS) fem sektorer omfattas endast av kraven på ledningens utbildning om säkerhetsåtgärder. Reglyze har ännu inte föreskrifterna som checklista och bedömer verksamhetsutövare i Sverige utifrån kraven i NIS 2-direktivet.

Föreskrifternas status: i kraft sedan den 1 oktober 2026; föreskrifterna bär fortfarande Myndigheten för civilt försvars namn, men ansvaret ligger sedan den 1 juli 2026 hos Försvarets radioanstalt och Nationellt cybersäkerhetscenter (läst den 29 oktober 2026)

Det viktigaste i korthet

Lagen som genomför direktivet

Cybersäkerhetslag (2025:1506)

I kraft sedan: 2026-01-15

Tillsyn och gemensam kontaktpunkt

Tillsynsmyndigheten för varje sektor, med Försvarets radioanstalt (FRA) som gemensam kontaktpunkt (NCSC)

https://www.ncsc.se/sv/radgivning-och-stod/cybersakerhetslagen-nis2/
Föreskrifter om säkerhetsåtgärder

MCFFS 2026:11

Föreskrifterna preciserar 2 kap. 3 § cybersäkerhetslagen: ett systematiskt och riskbaserat cybersäkerhetsarbete utifrån ett allriskperspektiv (3 kap. 1 §), roller för samordnare, informationsägare och systemägare (3 kap. 5 §), kriterier för riskacceptans (3 kap. 12 §), en åtgärdsplan (3 kap. 13 §) och säkerhet i leveranskedjan (4 kap. 1–4 §§). De nämner uttryckligen flerfaktorsautentisering (4 kap. 17 §), anslutning till automatiska notifieringar av tekniska sårbarheter (ANTS) hos den nationella CSIRT-enheten (4 kap. 20 §) och DNSSEC (4 kap.).

Vilka omfattas?

väsentliga verksamhetsutövare

Som väsentlig verksamhetsutövare räknas en statlig myndighet (1 kap. 9 § 1); en verksamhetsutövare som är större än ett medelstort företag och som är en kommun eller en region, i övrigt omfattas av bilaga 1 till NIS 2-direktivet i den ursprungliga lydelsen eller är en enskild utbildningsanordnare med tillstånd att utfärda examina (1 kap. 9 § 2); en tillhandahållare av allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster som storleksmässigt motsvarar eller är större än ett medelstort företag (1 kap. 9 § 3); en registreringsenhet för toppdomäner och den som erbjuder DNS-tjänster (1 kap. 9 § 4); en kvalificerad tillhandahållare av betrodda tjänster (1 kap. 9 § 5); och den som räknas som väsentlig enligt föreskrifter (1 kap. 9 § 6), vilket i dag gäller vissa verksamheter inom transporter och dricksvatten (4 kap. 1 och 2 §§ MCFFS 2026:1).

viktiga verksamhetsutövare

Verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare (1 kap. 9 § andra stycket). Det gäller till exempel varje verksamhetsutövare enligt bilaga 2 till NIS 2-direktivet, oavsett storlek, och enligt Myndigheten för civilt försvars vägledning kommunalförbund. Kraven är i stort sett desamma för båda kategorierna (NCSC). Skillnaden ligger framför allt i tillsynen: mot en viktig verksamhetsutövare får tillsynsåtgärder vidtas endast när tillsynsmyndigheten har anledning att anta att verksamhetsutövaren inte följer reglerna (3 kap. 2 §). Den som tillhandahåller både tjänster som gör den väsentlig och tjänster som gör den viktig räknas som väsentlig (prop. 2025/26:28 och NCSC:s anmälningsformulär).

Tidigare lag: lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster, som upphävdes genom cybersäkerhetslagen men fortfarande gäller för överträdelser som har skett före ikraftträdandet. Ett medelstort företag är detsamma som i artikel 2 i bilagan till kommissionens rekommendation 2003/361/EG, utan beaktande av artikel 3.4 (1 kap. 2 § 13). Regeringen läser kravet så här: ”Ett medelstort företag ska därför sysselsätta minst 50 personer eller ha en årsomsättning och balansomslutning som överstiger 10 000 000 euro per år.” Att vara större än ett medelstort företag innebär enligt propositionen att verksamhetsutövaren ”ska sysselsätta minst 250 personer eller ha en årsomsättning som överstiger 50 000 000 euro och en balansomslutning som överstiger 43 000 000 euro per år”. Hänvisningen till bilagorna till NIS 2-direktivet avser deras ursprungliga lydelse, och en senare ändring av bilagorna ändrar alltså inte i sig tillämpningsområdet.

Viktiga tidsfrister

2025-12-17

Cybersäkerhetslagen (2025:1506) och cybersäkerhetsförordningen (2025:1507) publiceras i Svensk författningssamling. Riksdagen hade antagit lagen den 10 december 2025, och båda författningarna utfärdades den 11 december 2025.

2026-01-15

Lagen och förordningen träder i kraft. Lagen (2018:1174) upphävs men gäller fortfarande för överträdelser som har skett före ikraftträdandet, och föreskrifterna till den upphör att gälla samma dag (MSBFS 2025:9).

2026-02-02

MCFFS 2026:1 om anmälan och identifiering träder i kraft, och anmälningstjänsten öppnar.

2026-07-01

Försvarets radioanstalt blir gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet i stället för Myndigheten för civilt försvar (SFS 2026:623). Samma dag träder MCFFS 2026:8 om incidentrapportering och informationsskyldighet i kraft, Cyberportalen öppnar en första version av verktyget för incidentrapportering och Nationellt cybersäkerhetscenter (NCSC) börjar ta emot anmälningarna.

2026-10-01

MCFFS 2026:11 om säkerhetsåtgärder och ledningens utbildning och MCFFS 2026:12 om säkerhetsrevision och säkerhetsskanning träder i kraft.

2026-10-15

PTSFS 2026:5 träder i kraft: vad som utgör en betydande incident för verksamhetsutövare som tillhandahåller allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster.

Så snart det kan ske

Varje verksamhetsutövare ska anmäla sig till den gemensamma kontaktpunkten (2 kap. 2 §). Lagen anger inget datum. Enligt propositionen ska en verksamhetsutövare som redan var etablerad när lagen trädde i kraft anmäla sig i omedelbar anslutning till ikraftträdandet, och den som startar en sådan verksamhet bör göra det i samband med att verksamheten börjar bedrivas. I det enskilda fallet avgör tillsynsmyndigheten och ytterst domstolarna om anmälan har gjorts i rätt tid.

Ändring + 14 dagar

Om de förhållanden som har redovisats i en anmälan har ändrats ska verksamhetsutövaren anmäla förändringen så snart det kan ske, dock senast 14 dagar efter det att förändringen ägde rum (2 kap. 2 §).

Incidentrapportering enligt 2 kap. 5–8 §§ cybersäkerhetslagen görs till CSIRT-enheten, sedan den 1 juli 2026 Försvarets radioanstalt (6 och 31 §§ cybersäkerhetsförordningen), i praktiken Nationellt cybersäkerhetscenter (NCSC) genom CERT-SE, som skickar rapporten vidare till tillsynsmyndigheterna. Upplysning lämnas så snart det kan ske, dock senast 24 timmar efter det att verksamhetsutövaren har fått kännedom om incidenten (2 kap. 5 §). Incidentanmälan görs så snart det kan ske, dock senast 72 timmar efter sådan kännedom och senast 24 timmar för verksamhetsutövare som tillhandahåller betrodda tjänster (2 kap. 6 §). På begäran lämnas en delrapport med relevanta statusuppdateringar (2 kap. 7 §). Senast en månad efter incidentanmälan lämnas en slutrapport. Om den betydande incidenten fortfarande är pågående lämnas i stället en lägesrapport vid denna tidpunkt och därefter en slutrapport inom en månad efter det att incidenten har hanterats (2 kap. 8 §).

Prioriterade sektorer

Offentlig förvaltning: statliga myndigheter, regioner och alla kommuner

Lagen gäller för varje region, kommun och kommunalförbund oavsett storlek (1 kap. 3 § 2) och för statliga myndigheter med befogenhet att fatta beslut som påverkar fysiska eller juridiska personers rättigheter när det gäller gränsöverskridande rörlighet för personer, varor, tjänster eller kapital (1 kap. 3 § 1). De myndigheter som omfattas av bilaga 1 till förordningen (2022:524) om statliga myndigheters beredskap omfattas också, om de inte är undantagna med stöd av 1 kap. 12 § (1 kap. 8 § och 4 § cybersäkerhetsförordningen). En statlig myndighet som omfattas av lagen är väsentlig (1 kap. 9 § 1). En kommun eller en region är väsentlig om den är större än ett medelstort företag (1 kap. 9 § 2 a) och annars viktig. De texter som Reglyze har läst säger inte hur en kommuns eller en regions storlek ska räknas. Hela kommunen anmäler sig som en verksamhetsutövare (NCSC), medan ett kommunalt bolag inte räknas som kommunen utan bedöms för sig (prop. 2025/26:28). Sex länsstyrelser utövar tillsyn över kommuner och regioner länsvis, och PTS över länsstyrelserna (7, 8 och 10–15 §§ cybersäkerhetsförordningen). Statliga myndigheter som omfattas av förordningen (2022:524) har dessutom en egen rapporteringsplikt: de ska lämna en upplysning senast 6 timmar efter det att myndigheten har identifierat att incidenten omfattas av rapporteringsskyldighet (4 § MCFFS 2026:7) och komplettera rapporterna för att även uppfylla cybersäkerhetslagen (2 kap. 2 § MCFFS 2026:8).

Digital infrastruktur, internetknutpunkter och digitala leverantörer

Den som i Sverige tillhandahåller allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster omfattas oavsett storlek och etablering (1 kap. 6 §) och är väsentlig om den storleksmässigt motsvarar eller är större än ett medelstort företag (1 kap. 9 § 3). Internetknutpunkter räknas dit enligt propositionen och Myndigheten för civilt försvars vägledning, även om lagtexten inte nämner dem. Registreringsenheter för toppdomäner och den som erbjuder DNS-tjänster eller domännamnsregistreringstjänster omfattas oavsett storlek (1 kap. 7 § 2–4). De två första är väsentliga (1 kap. 9 § 4). Den som erbjuder domännamnsregistreringstjänster är enligt Reglyzes läsning av 1 kap. 9 § andra stycket viktig; ingen myndighet säger det uttryckligen. Molntjänster, datacentraltjänster, nätverk för leverans av innehåll, utlokaliserade driftstjänster, utlokaliserade säkerhetstjänster, marknadsplatser online, sökmotorer och plattformar för sociala nätverkstjänster omfattas om verksamhetsutövaren storleksmässigt motsvarar eller är större än ett medelstort företag eller uppfyller något av kraven i 1 kap. 5 § 1–3 (1 kap. 7 § 1). PTS är tillsynsmyndighet i alla dessa fall (7 och 8 §§ cybersäkerhetsförordningen).

Dricksvatten, transporter och kemikalier

MCFFS 2026:1 pekar ut verksamhetsutövare som omfattas oavsett storlek. Inom transporter omfattas samtliga beredskapsflygplatser, flygkontrolltjänster, karantänshamnar och skyddade platser (4 kap. 1 § MCFFS 2026:1), och inom dricksvatten verksamhetsutövare som producerar eller distribuerar dricksvatten enligt lagen (2006:412) om allmänna vattentjänster till minst 20 000 personer eller till akutsjukhus (4 kap. 2 § MCFFS 2026:1). De är väsentliga. Inom tillverkning, produktion och distribution av kemikalier omfattas, som viktiga, verksamhetsutövare som tillverkar eller förädlar tillsatser eller insatsvaror överstigande 1 ton/år som är av avgörande betydelse för storskalig kemikalieproduktion och som är registrerade enligt REACH (4 kap. 3 § MCFFS 2026:1). Transportstyrelsen, Livsmedelsverket respektive länsstyrelserna är tillsynsmyndigheter (7 § cybersäkerhetsförordningen).

Vanliga frågor

Gäller NIS 2 i Sverige?
Ja. Cybersäkerhetslagen (2025:1506) och cybersäkerhetsförordningen (2025:1507) gäller sedan den 15 januari 2026. Lagen genomför delvis NIS 2-direktivet (1 kap. 1 §), och resten finns i förordningen och i föreskrifterna: MCFFS 2026:1 om anmälan och identifiering sedan den 2 februari 2026, MCFFS 2026:8 om incidentrapportering och informationsskyldighet sedan den 1 juli 2026, och MCFFS 2026:11 om säkerhetsåtgärder och ledningens utbildning och MCFFS 2026:12 om säkerhetsrevision och säkerhetsskanning sedan den 1 oktober 2026. Europeiska kommissionens överträdelseärende INFR(2024)0296 om sent genomförande var fortfarande öppet den 29 oktober 2026.
Vilka omfattas av cybersäkerhetslagen?
Lagen gäller för verksamhetsutövare, och det finns inget beslut om utpekande: verksamheten ska själv avgöra om den omfattas (NCSC). Vägarna in finns i 1 kap. 3–8 §§: statliga myndigheter med vissa befogenheter och alla regioner, kommuner och kommunalförbund (1 kap. 3 §); den som omfattas av bilaga 1 eller 2 till NIS 2-direktivet i den ursprungliga lydelsen, eller är en enskild utbildningsanordnare med tillstånd att utfärda examina, är etablerad i Sverige och storleksmässigt motsvarar eller är större än ett medelstort företag (1 kap. 4 §); den som tillhandahåller betrodda tjänster eller har en särskild betydelse, oavsett storlek (1 kap. 5 §); allmän elektronisk kommunikation (1 kap. 6 §); vissa digitala tjänster med huvudsakligt etableringsställe i Sverige eller en företrädare som är etablerad här (1 kap. 7 §); och de statliga myndigheter som regeringen bestämmer (1 kap. 8 §). Hela organisationen omfattas, även om bara en del av verksamheten tillhandahåller sådana tjänster (PTS, NCSC). För en verksamhetsutövare som omfattas av DORA-förordningen gäller inte skyldigheterna enligt 2 kap. 3–10 §§ (1 kap. 11 §): den ska anmäla sig, men det är säkerhetsåtgärderna och incidentrapporteringen i DORA som gäller (Myndigheten för civilt försvars vägledning). En verksamhetsutövare enligt 1 kap. 4 § som är ett partnerföretag eller ett anknutet företag och endast uppfyller storlekskravet genom sin anknytning till andra företag ska undantas, om drift och förvaltning av den egna produktionsmiljön i allt väsentligt bedrivs oberoende av de andra företagens och den i övrigt har en sådan hög grad av oberoende att det skulle vara oproportionerligt att den omfattas (3 kap. 1 § MCFFS 2026:1).
Hur och när anmäler sig en verksamhetsutövare?
Varje verksamhetsutövare ska så snart det kan ske anmäla sig till den gemensamma kontaktpunkten (2 kap. 2 §), sedan den 1 juli 2026 Försvarets radioanstalt (5 och 23 §§ cybersäkerhetsförordningen). Nationellt cybersäkerhetscenter (NCSC) tar emot anmälningarna: enligt myndighetens sida, läst den 29 oktober 2026, skickas anmälningsformuläret med e-post till [email protected], krypterat under överföringen (TLS) och ett mejl per verksamhetsutövare, och NCSC skickar en kvittens inom två arbetsdagar. Den som inte har fått en kvittens inom den tiden bör utgå från att anmälan inte har kommit fram. Samma sida nämner 14 dagar för den första anmälan, men lagen sätter den gränsen bara för ändringar: en förändring anmäls så snart det kan ske, dock senast 14 dagar efter det att förändringen ägde rum (2 kap. 2 §). En anmälan innehåller bland annat namn, adress, e-postadress, organisationsnummer och telefonnummer, identifierare mot internet i form av ip-adresser och domännamn, sektorer och viktiga samhällsfunktioner samt om verksamhetsutövaren är väsentlig eller viktig (2 kap. 1 § MCFFS 2026:1). Det krävs en anmälan per juridisk person, och den som omfattades av lagen (2018:1174) behöver anmäla sig på nytt (NCSC).
Vart och hur rapporteras en betydande incident?
Till CSIRT-enheten, sedan den 1 juli 2026 Försvarets radioanstalt (6 och 31 §§ cybersäkerhetsförordningen), i praktiken NCSC genom CERT-SE. Verksamhetsutövaren rapporterar enbart till NCSC, som vidarebefordrar rapporten till den eller de tillsynsmyndigheter som berörs. Rapporten lämnas i Cyberportalen, som kräver svensk e-legitimation, och får skrivas på engelska (NCSC). Om portalen inte kan användas finns ett reservförfarande, men ”Tidsfristerna gäller fortfarande.” CERT-SE kan ge stöd på telefon, men ”Telefonkontakt ersätter inte den skriftliga rapporteringen.” En betydande incident som också är en personuppgiftsincident rapporteras till både NCSC och Integritetsskyddsmyndigheten (IMY). Sekretess gäller för uppgift i en incidentrapport (18 kap. 8 b § offentlighets- och sekretesslagen).
När börjar tidsfristerna löpa?
När verksamhetsutövaren har fått kännedom om den betydande incidenten: lagen räknar de 24 timmarna för upplysningen och de 72 timmarna för incidentanmälan från det att verksamhetsutövaren ”har fått kännedom om incidenten” (2 kap. 5 och 6 §§), samma ord som i direktivets svenska text. MCFFS 2026:8 och NCSC beskriver samma tidpunkt som att incidenten har identifierats som betydande, och regeringen avvisar i propositionen att tidsfristen skulle börja löpa först när en mer grundlig bedömning har gjorts. Tidsfristen räknas alltså varken från att incidenten inträffade eller från att den upptäcktes. Cyberportalens startsida räknar de 24 timmarna för betrodda tjänster från att incidenten har inträffat, men lagen räknar även dem från kännedom (2 kap. 6 §).
När är en incident betydande?
En incident ska anses vara betydande om den har orsakat eller kan orsaka allvarlig driftsstörning för den erbjudna tjänsten eller ekonomisk skada för den berörda verksamhetsutövaren, eller om den har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande skada (2 kap. 5 §). De flesta sektorer har nationella tröskelvärden i MCFFS 2026:8. En allvarlig driftsstörning kan till exempel vara att sektorsverksamhet endast har kunnat bedrivas i begränsad utsträckning i mer än 12 timmar, att personal har behövt använda alternativa arbetssätt för att bedriva sektorsverksamhet i mer än 48 timmar, eller att information i behov av utökat skydd har blivit tillgänglig för obehöriga, förvanskats eller förstörts (3 kap. 1 § MCFFS 2026:8). Ekonomisk skada är en kostnad som överstiger fem procent av den berörda verksamhetsutövarens totala årsomsättning under föregående räkenskapsår, och inom offentlig förvaltning fem procent av verksamhetsutövarens anslag eller totala intäkter (3 kap. 3 § MCFFS 2026:8). Skada för andra kan till exempel vara att information i behov av utökat skydd som verksamhetsutövaren behandlar för annan juridisk person eller minst 500 fysiska personer har blivit tillgänglig för obehöriga, förvanskats eller förstörts (3 kap. 6 § MCFFS 2026:8). Flera sektorer har dessutom egna kriterier i 4 kap. MCFFS 2026:8, inom offentlig förvaltning till exempel att sektorsverksamhet endast har kunnat bedrivas i begränsad utsträckning i mer än fyra timmar. Föreskrifternas tröskelvärden omfattar inte PTS sektorer (1 kap. 1 § MCFFS 2026:8). För allmän elektronisk kommunikation gäller sedan den 15 oktober 2026 PTSFS 2026:5, och för de flesta digitala tjänster genomförandeförordning (EU) 2024/2690.
Vilka säkerhetsåtgärder krävs?
Verksamhetsutövare ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda sina nätverks- och informationssystem och systemens fysiska miljö mot incidenter. Säkerhetsåtgärderna ska utgå från ett allriskperspektiv och säkerställa en nivå på säkerheten som är lämplig i förhållande till risken (2 kap. 3 §). Sedan den 1 oktober 2026 preciseras kraven i MCFFS 2026:11. Den som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden omfattas bara av kravet på ledningens utbildning (1 kap. 2 § MCFFS 2026:11). De flesta digitala tjänster följer i stället genomförandeförordning (EU) 2024/2690, som är direkt tillämplig. För telekom har PTS ännu inte beslutat några föreskrifter om säkerhetsåtgärder: enligt PTS, på en sida uppdaterad den 2 oktober 2026, är målet att de ska finnas på plats under våren 2027, och fram till dess bedömer PTS att lämpliga åtgärder åtminstone är desamma som i de upphävda säkerhetsföreskrifterna. Den här sidan återger inte innehållet i genomförandeförordningen eller i de upphävda föreskrifterna.
Vad krävs av ledningen?
De personer som ingår i ledningen för en verksamhetsutövare ska genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §). Varken lagen, förordningen eller föreskrifterna anger något intervall, men enligt NCSC ska utbildningen inte vara en engångsinsats utan bör ske kontinuerligt, och något fast antal timmar går inte att ange. Utbildningen ska ge ledningen den kunskap och kompetens som krävs för att kunna fastställa mål och inriktning för verksamhetsutövarens cybersäkerhet, bedöma vilka säkerhetsåtgärder som behöver genomföras och övervaka genomförandet av säkerhetsåtgärderna (2 kap. 1 § MCFFS 2026:11). Det kravet gäller alla verksamhetsutövare, även inom PTS sektorer. Lagen säger inte att ledningen ska godkänna säkerhetsåtgärderna; enligt propositionen behövs ingen särskild reglering. Kravet finns i stället i föreskrifterna: ledningen ska godkänna och övervaka genomförandet av säkerhetsåtgärder och blir informerad vid behov men minst en gång per år (3 kap. 4 § MCFFS 2026:11). Lagen definierar inte ledningen. Enligt propositionen omfattar uttrycket styrelsen och verkställande direktören samt ersättare för dessa i aktiebolag och ekonomiska föreningar, bolagsmännen i handelsbolag, ledning som den definieras i myndighetsförordningen för myndigheter samt styrelsen för kommuner och regioner. Hos en enskild verksamhetsutövare som är väsentlig kan en befattningshavare förbjudas att inneha en ledningsfunktion, om ett tidigare föreläggande inte har följts, överträdelsen har varit allvarlig och befattningshavaren har orsakat den uppsåtligen eller av grov oaktsamhet (4 kap. 6 §). Förbudet meddelas av allmän förvaltningsdomstol på ansökan av en tillsynsmyndighet (4 kap. 7 §), för lägst ett och högst tre år (4 kap. 8 §). I offentlig förvaltning kan något sådant förbud inte meddelas (NCSC).
Vad gäller för en leverantör?
Den som inte räknas som verksamhetsutövare omfattas inte som egen organisation av lagen (NCSC). Kraven når ändå leverantören genom kunden. En verksamhetsutövare som följer MCFFS 2026:11 ska före förvärv av system och utkontraktering av informationsbehandling värdera och omhänderta riskerna, säkerställa att kraven i föreskrifterna uppfylls av leverantören utom i de delar kravet i sin helhet uppfylls av verksamhetsutövaren, och utvärdera om den tilltänkta leverantören kan uppfylla ställda krav på cybersäkerhet under hela avtalstiden (4 kap. 1 § MCFFS 2026:11). Avtal som har ingåtts före den 1 oktober 2026 ska om möjligt kompletteras med krav på cybersäkerhet, men det finns inget krav på att göra om befintliga avtal (4 kap. 1 § MCFFS 2026:11; NCSC).
Omfattas ett litet it-företag?
Det beror på vad företaget gör. Utlokaliserade driftstjänster, utlokaliserade säkerhetstjänster och molntjänster omfattas bara om verksamhetsutövaren storleksmässigt motsvarar eller är större än ett medelstort företag eller uppfyller något av kraven i 1 kap. 5 § 1–3 (1 kap. 7 § 1), och rena konsulttjänster räknas inte som utlokaliserade driftstjänster (Myndigheten för civilt försvars vägledning). Oavsett storlek omfattas däremot den som i Sverige tillhandahåller allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster (1 kap. 6 §), den som tillhandahåller betrodda tjänster (1 kap. 5 § 4), registreringsenheter för toppdomäner och den som erbjuder DNS-tjänster eller domännamnsregistreringstjänster (1 kap. 7 § 2–4). Den som har en auktoritativ namnserver enbart för egna domäner faller utanför (prop. 2025/26:28). Ett företag som står utanför lagen möter den ändå genom sina kunders avtal (4 kap. 1 § MCFFS 2026:11).
Vem utövar tillsyn?
Tillsynen är ordnad efter sektor (7 § cybersäkerhetsförordningen): Energimyndigheten för energi, Transportstyrelsen för transporter, Finansinspektionen för bankverksamhet och finansmarknadsinfrastruktur, IVO för vårdgivare, Läkemedelsverket för övriga delar av hälso- och sjukvårdssektorn, Livsmedelsverket för dricksvatten, avloppsvatten och livsmedel, och PTS för digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden. PTS är också tillsynsmyndighet för länsstyrelserna och för verksamhetsutövare som erbjuder domännamnsregistreringstjänster (8 § cybersäkerhetsförordningen). Sex länsstyrelser utövar tillsyn länsvis, bland annat över offentlig förvaltning, avfallshantering, forskning och kemikalier (7 och 10–15 §§ cybersäkerhetsförordningen). En tillsynsmyndighet får utföra regelbundna säkerhetsrevisioner av väsentliga verksamhetsutövare (3 kap. 5 §). Den ska ingripa om en verksamhetsutövare har åsidosatt sina skyldigheter enligt 2 kap. 1–10 §§ (4 kap. 1 §), bland annat genom ett föreläggande eller en anmärkning, och dess beslut får överklagas till allmän förvaltningsdomstol (5 kap. 1 §). Enligt NCSC påbörjas tillsynen gradvis och ser olika ut i olika sektorer.
Omfattas kritiska verksamhetsutövare enligt CER-direktivet?
Inte enligt lagen i dag: 1 kap. 3–8 §§ har ingen sådan väg in, även om NCSC på sin webbplats skriver att verksamheter som omfattas av CER-direktivet per automatik omfattas. Regeringen föreslår i prop. 2025/26:303 att en kritisk verksamhetsutövare ska omfattas av lagen och vara väsentlig, och att ändringen ska träda i kraft den 1 januari 2027. Den 29 oktober 2026 hade riksdagen inte beslutat om förslaget.
Hur hjälper Reglyze en organisation i Sverige?
Reglyze bedömer verksamhetsutövare i Sverige utifrån kraven i NIS 2-direktivet, tar fram dokument som anger cybersäkerhetslagen, dess tidsfrister och NCSC vid FRA som mottagare av rapporterna, och bevakar tidsfristerna från det att verksamhetsutövaren har fått kännedom om incidenten. Anmälan och rapporterna lämnar du själv. Någon bedömning åtgärd för åtgärd enligt MCFFS 2026:11 erbjuder Reglyze inte, eftersom föreskrifterna ännu inte finns som checklista i produkten. Omfattningsbedömningen i Reglyze utgår från direktivets kriterier och använder direktivets ord: en väsentlig entitet motsvarar här en väsentlig verksamhetsutövare och en viktig entitet en viktig verksamhetsutövare. Den ersätter inte verksamhetsutövarens egen bedömning. För offentlig förvaltning följer den lagen: en statlig myndighet blir väsentlig (1 kap. 9 § 1), och en region eller kommun omfattas oavsett storlek och blir väsentlig när de uppgifter du anger visar att den är större än ett medelstort företag (1 kap. 9 § 2 a). Frågeformuläret skiljer inte kommunalförbund från kommuner och frågar inte efter domännamnsregistreringstjänster, internetknutpunkter, de verksamheter som MCFFS 2026:1 pekar ut eller partnerföretag och anknutna företag, så resultatet kan vara missvisande för en sådan verksamhetsutövare.

Officiella källor

Senast kontrollerat: 2026-10-30 · nästa kontroll planerad efter 2026-12-31.

Redo att uppfylla lagens krav?

Reglyze leder dig steg för steg, med hjälp av AI, genom kraven i NIS 2: omfattningsbedömning och gapanalys utifrån direktivets krav, och sedan dokument som anger cybersäkerhetslagen, dess tidsfrister och rätt mottagare av rapporterna.