NIS2 i oktober 2026: läget för genomförandet

Publicerad 19 oktober 2026 · Av Dazr

Två år efter tidsfristen står fyra medlemsstater inför EU-domstolen, medan Tyskland, Nederländerna och Österrike nu tillämpar NIS2-lagar.

Medlemsstaterna hade fram till den 17 oktober 2024 på sig att genomföra NIS2-direktivet i nationell rätt. Två år senare har de flesta gjort det, några arbetar fortfarande med det och Europeiska kommissionen har stämt fyra av dem.

Fyra länder inför EU-domstolen

Den 8 juli 2026 väckte kommissionen talan mot Irland, Spanien, Frankrike och Nederländerna vid EU-domstolen, eftersom de inte hade anmält ett fullständigt genomförande av NIS2. Kommissionen begär ekonomiska sanktioner: ett schablonbelopp och dagliga viten tills genomförandet är klart. Förfarandet inleddes med formella underrättelser den 28 november 2024, följda av motiverade yttranden den 7 maj 2025.

Lagar som gäller nu

Tyskland: lagen om genomförande av NIS2 offentliggjordes i Bundesgesetzblatt den 5 december 2025 (BGBl. 2025 I Nr. 301) och gäller sedan den 6 december 2025. Verksamheterna hade tre månader på sig att registrera sig hos BSI. Enligt BSI har fristen löpt ut, och den som ännu inte har registrerat sig ska göra det omedelbart.
Nederländerna: Cyberbeveiligingswet (Cbw) trädde i kraft den 15 augusti 2026, efter att talan väckts, tillsammans med lagen om kritiska entiteters motståndskraft (Wwke). Den ersätter Wbni, och verksamheterna måste registrera sig hos NCSC.
Österrike: NISG 2026 (BGBl. I Nr. 94/2025) gäller sedan den 1 oktober 2026 och ersätter NISG 2018.
Italien: lagdekret 138/2024 gäller sedan den 16 oktober 2024.

Fortfarande på gång

Frankrike: lagförslaget om kritisk infrastrukturs motståndskraft och stärkt cybersäkerhet, som genomför NIS2 tillsammans med CER-direktivet och DORA-direktivet, antogs av senaten i första behandlingen den 12 mars 2025. Nationalförsamlingens utskott antog sin text den 10 september 2025, och behandlingen är ännu inte avslutad.
Spanien: ministerrådet godkände den 14 januari 2025 utkastet till lag om samordning och styrning av cybersäkerhet. Tills en ny lag har offentliggjorts i BOE gäller Real Decreto-ley 12/2018, som genomförde det första NIS-direktivet.
Irland: General Scheme för National Cyber Security Bill offentliggjordes i augusti 2024. Lagen har ännu inte antagits.

Föreslagna ändringar

Den 20 januari 2026 föreslog kommissionen i ett cybersäkerhetspaket riktade ändringar av NIS2: enklare regler om vilket land som är behörigt, en effektivare insamling av uppgifter om ransomwareattacker och en ny kategori små midcap-företag. Enligt kommissionen skulle ändringarna underlätta efterlevnaden för 28 700 företag. Det är förslag: tills de antas gäller det nuvarande direktivet och de nationella lagarna.

Vad det betyder i praktiken

Kontrollera varje land där ni är verksamma. Registreringskrav, myndigheter, tidsfrister och sanktionsavgifter bestäms nationellt och skiljer sig åt.
Registrera först. Där en lag gäller är registreringen hos den nationella myndigheten oftast den första och ofta korta fristen.
Vänta inte på en sen lag. Era skyldigheter följer av nationell rätt och börjar när lagen gäller. Kunder och offentliga upphandlare frågar redan efter åtgärderna i artikel 21 och efter säkerhet i leverantörskedjan, och genomförandeförordning (EU) 2024/2690 beskriver de åtgärderna i detalj för leverantörer av digitala tjänster.

Källor

Endast för information, inte juridisk rådgivning. Senast uppdaterad 19 oktober 2026.

Ämnen: NIS2, EU, Genomförande

Finns även på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Norsk bokmål