Vad är NIS2 och cybersäkerhetslagen?

NIS2 (Network and Information Security Directive 2) är EU:s uppdaterade direktiv för cybersäkerhet. I Sverige genomfördes NIS2 genom den nya cybersäkerhetslagen (2025:1506) som trädde i kraft den 15 januari 2026 och ersatte den tidigare svenska NIS-lagen.

Cybersäkerhetslagen täcker 18 sektorer, mot det tidigare NIS-direktivets sju. Sektorerna är indelade i väsentliga och viktiga verksamhetsutövare.

De 18 sektorerna omfattar bland annat energi, transporter, sjukvård, finans, digital infrastruktur, livsmedel, vatten och avfall samt offentlig förvaltning.

Sedan 1 juli 2026 gäller föreskrifterna om incidentrapportering (MCFFS 2026:8), och sedan 1 oktober 2026 föreskrifterna om säkerhetsåtgärder och ledningens utbildning (MCFFS 2026:11). Nationellt cybersäkerhetscenter (NCSC) planerar en utförligare vägledning vid årsskiftet 2026/27.

Omfattas ditt företag direkt av lagen?

Cybersäkerhetslagen gäller verksamhetsutövare som tillhör någon av de utpekade sektorerna och som är medelstora eller större: minst 50 anställda, eller en omsättning och en balansomslutning som båda ligger över 10 miljoner euro per år. Även leverantörer av molntjänster, datacentraltjänster och utlokaliserade drift- och säkerhetstjänster omfattas om de är medelstora eller större. I vissa fall gäller lagen även mindre verksamheter, till exempel om de är ensam leverantör av en samhällsviktig tjänst.

De flesta företag med färre än 50 anställda och utan koppling till samhällskritisk sektor omfattas alltså inte direkt. Men det är inte hela bilden.

Om ni omfattas direkt ska ni anmäla er så snart det kan ske, via NCSC:s anmälningstjänst. Ändringar i uppgifterna ska anmälas inom 14 dagar. Det är ni själva som avgör om verksamheten omfattas.

Berörs du som underleverantör?

Är ni leverantör till en organisation som omfattas räknas ni inte automatiskt som verksamhetsutövare. Däremot ska er kund bedöma säkerheten i sin leveranskedja, och då kan kunden ställa krav i linje med lagen på sina leverantörer.

Större företag ställer nu krav på säkerhetscertifiering för att behålla kontrakt, vilket gör efterlevnad till en konkurrensfördel.

Frågan att ställa: Har någon av dina kunder börjat ställa frågor om din IT-säkerhet, säkerhetsrutiner eller incidenthantering? Det är NIS2-kraven som rinner nedåt i leverantörskedjan.

Det är här er IT-partner kan göra skillnad: vi hjälper er att kunna visa det kunden frågar efter, till exempel att MFA är påslaget, att enheterna skyddas och uppdateras, att backup finns och vem som har åtkomst till vad.

Vad kräver lagen i praktiken?

Lagen listar tio områden som säkerhetsåtgärderna åtminstone ska avse, bland annat riskanalys, incidenthantering, kontinuitets- och krishantering, säkerhet i leveranskedjan, grundläggande cyberhygien och utbildning, kryptering, personalsäkerhet och åtkomstkontroll samt autentisering. Åtgärderna ska vara lämpliga och proportionella. De mest relevanta för ett företag utan IT-avdelning:

Riskhantering — dokumenterad riskbedömning av IT-miljön. Det räcker inte att "tänka på säkerhet" — det ska dokumenteras och uppdateras löpande.

Incidenthantering och rapportering — betydande incidenter rapporteras till NCSC. En tidig varning ska lämnas så snart det kan ske och senast 24 timmar efter att ni fick kännedom om incidenten, en incidentanmälan senast 72 timmar efter det, och en slutrapport senast en månad efter incidentanmälan. Pågår incidenten fortfarande lämnas en lägesrapport efter en månad. Ni ska också informera berörda kunder när det är lämpligt.

Åtkomstkontroll — rätt personer ska ha rätt åtkomst, och inte mer. MFA (multifaktorautentisering) på alla konton är ett grundläggande krav.

Kontinuitet och säkerhetskopiering — verifierade backuper av kritisk data med testad återläsning. En backup som aldrig testats är ingen backup.

Underhåll och uppdateringar — säkerhet vid förvärv, utveckling och underhåll av system, vilket i praktiken innebär att säkerhetsuppdateringar installeras och att gammal utrustning byts ut.

Leverantörssäkerhet — även om kravet på säkerhet i leveranskedjan tar sikte på förhållandet till direkta leverantörer måste även risker hos underleverantörer beaktas.

Ledningens utbildning — personer i ledningen ska genomgå utbildning om säkerhetsåtgärder, och enligt MCF:s föreskrifter (MCFFS 2026:11) ska ledningen godkänna och övervaka att åtgärderna genomförs.

Vad händer om man inte följer lagen?

Tillsynsmyndigheten kan förelägga er att åtgärda brister, i allvarliga fall med vite, och ta ut en sanktionsavgift. Avgiften kan bli högst det större av 2 procent av den globala årsomsättningen eller motsvarande 10 miljoner euro för väsentliga verksamhetsutövare, och det större av 1,4 procent eller 7 miljoner euro för viktiga verksamhetsutövare. Lägsta avgift är 5 000 kronor.

För väsentliga verksamhetsutövare kan en person i ledningen i allvarliga fall förbjudas att inneha en ledningsfunktion i ett till tre år. Det förutsätter att ett tidigare föreläggande inte har följts och att överträdelsen orsakats uppsåtligen eller av grov oaktsamhet, och förbudet beslutas av förvaltningsrätten på ansökan av tillsynsmyndigheten.

För företag som inte direkt omfattas men är underleverantörer är risken mer affärsmässig: förlorade upphandlingar och avbrutna kundrelationer.

Sex konkreta steg du kan ta nu

1. Kartlägg din IT-miljö.
Vilka system hanterar kritisk data? Vem har åtkomst till vad? Var lagras informationen? Utan en kartläggning vet du inte vad du ska skydda.

2. Aktivera MFA på alla konton.
Det är det enskilt viktigaste tekniska skyddet mot obehörig åtkomst. Microsoft 365 Business Premium inkluderar verktyg för detta via Entra ID — det kan aktiveras för hela organisationen på en dag.

3. Dokumentera en incidentplan.
Vem kontaktar vem om ni drabbas av ett intrång? Hur återställer ni systemen? Vem rapporterar till NCSC inom 24 timmar? En tydlig ensidig plan är bättre än ingen.

4. Säkerställ att er backup är verifierad.
En backup som aldrig testats är ingen backup. Kontrollera att kritisk data säkerhetskopieras regelbundet, lagras utanför er primära miljö och kan återställas inom acceptabel tid.

5. Genomför en säkerhetsgenomgång av leverantörerna.
NIS2 kräver att ni beaktar risker även hos era IT-leverantörer. Ställ krav på att era leverantörer kan redovisa sin säkerhetsnivå — certifieringar, incidentrutiner och datalagring inom EU.

6. Utbilda ledningen.
Lagen kräver att personer i ledningen genomgår utbildning om cybersäkerhetsåtgärder. Det räcker inte att IT-ansvarig känner till kraven — VD och styrelse behöver förstå riskerna och kunna godkänna och följa upp åtgärderna.

Hur kan AdMane hjälpa?

AdMane hjälper företag i Jönköping, Småland och Östergötland att möta cybersäkerhetslagens krav i praktiken — inte med en konsultrapport, utan med konkreta tekniska åtgärder som faktiskt minskar risken. Se våra IT-säkerhetstjänster. Vi delar upp det så här: det tekniska tar vi hand om åt er, medan besluten ligger hos er ledning. Vad IT-support kostar per användare går vi igenom i vad kostar IT-support för småföretag.

GreenLine — Microsoft 365-härdning och säkerhetspolicys
Vi konfigurerar er M365-miljö enligt etablerade säkerhetsstandarder via CIPP. Det innebär aktivering av MFA, hantering av villkorsstyrd åtkomst (Conditional Access), härdning av e-postsäkerhet och löpande övervakning av er Microsoft Secure Score. Varje avvikelse från er säkerhetsbaseline flaggas och åtgärdas proaktivt.

AdMane Control — Endpoint- och EDR/XDR-skydd
Vi installerar och förvaltar EDR/XDR-skydd (programvara som identifierar och stoppar cyberattacker i realtid) på alla era enheter via Acronis och Microsoft Defender. Patchhantering ingår — era system hålls uppdaterade utan att ni behöver tänka på det. Vid en incident har vi verktygen och processerna för att isolera, analysera och återställa.

Backup och återställning — för hela verksamheten
Backup är inte en inställning du sätter på och glömmer. Vi säkerhetskopierar hela er IT-miljö — e-post, Teams, SharePoint, servrar, arbetsstationer och affärskritiska system — till separata lagringsmiljöer utanför er primära infrastruktur.

Om ni drabbas av ransomware, ett hårdvarufel eller en anställd som raderar fel fil kan vi återställa det ni behöver. Enskilda filer, specifika system eller hela miljöer. Ni vet i förväg hur lång tid det tar och hur mycket data som maximalt kan gå förlorad.

Det låter självklart. Men vi ser regelbundet företag vars backup inte fungerar förrän de faktiskt behöver den. Vi testar era återställningar löpande så att ni inte behöver ta reda på det på det sättet.

Security Awareness — utbildning av medarbetarna
Phishing-simuleringar och korta utbildningsmoment som hjälper medarbetarna att känna igen och rapportera hot. Det svarar mot lagens krav på grundläggande cyberhygien och utbildning i cybersäkerhet.

Onboarding och offboarding
När någon börjar får de rätt åtkomst från dag ett. När någon slutar stängs åtkomsten omedelbart — e-post, Teams, delade mappar och alla affärssystem. Det är ett direkt NIS2-krav och en av de vanligaste säkerhetsriskerna vi ser hos nya kunder.

Löpande uppföljning och dokumentation
Varje kvartal går vi igenom er säkerhetsstatus tillsammans — vad som har hänt, vad som har åtgärdats och vad som behöver justeras. Ni får en samlad bild av er IT-säkerhet utan att behöva tolka tekniska loggar själva.

Det ger er den dokumentation som krävs för att visa efterlevnad — internt och mot kunder som ställer NIS2-krav på sina leverantörer.

Det här ansvarar ni själva för: att bedöma om ni omfattas och anmäla er, att ledningen utbildas och beslutar om kvarstående risker, och att rapportera betydande incidenter till NCSC. Vi levererar de tekniska skydden och underlaget, men ansvaret ligger hos verksamhetsutövaren.