NIS2 i Sverige: cybersäkerhetslagen gäller från den 15 januari 2026
Cybersäkerhetslagen (SFS 2025:1506) gäller sedan 15 januari 2026. Var man anmäler sig, tidsfristerna för incidenter, tillsynen och sanktionsavgifterna.
Sverige genomför NIS2 genom cybersäkerhetslagen (SFS 2025:1506), som regeringen utfärdade den 11 december 2025. Lagen och cybersäkerhetsförordningen (SFS 2025:1507) gäller sedan den 15 januari 2026. De ersätter 2018 års lag om informationssäkerhet för samhällsviktiga och digitala tjänster.
Vad lagen kräver
- Anmälan: verksamhetsutövare som omfattas ska anmäla sig "så snart det kan ske". Enligt förordningen görs anmälan till den gemensamma kontaktpunkten, Försvarets radioanstalt (FRA). Ändringar ska anmälas senast 14 dagar efter att de ägde rum.
- Säkerhetsåtgärder: lämpliga och proportionella åtgärder utifrån ett allriskperspektiv, som åtminstone ska avse tio områden, från riskanalys, incidenthantering och kontinuitetshantering till säkerhet i leveranskedjan, kryptografi, åtkomstkontroll och utbildning i cyberhygien.
- Utbildning för ledningen: de personer som ingår i ledningen ska genomgå utbildning om säkerhetsåtgärderna.
- Incidentrapportering: en första upplysning senast 24 timmar efter att verksamhetsutövaren fått kännedom om en betydande incident, en incidentanmälan senast 72 timmar efter kännedom (24 timmar för den som tillhandahåller betrodda tjänster) och en slutrapport senast en månad efter anmälan. Rapporterna går till CSIRT-enheten, som också är FRA.
Vem har tillsyn
Tillsynen är fördelad per sektor. Förordningen pekar bland annat ut Statens energimyndighet (energi), Transportstyrelsen (transporter), Finansinspektionen (bankverksamhet och finansmarknadsinfrastruktur), Post- och telestyrelsen (digital infrastruktur, digitala leverantörer och förvaltning av IKT-tjänster) och sex länsstyrelser, som har tillsyn över bland annat offentlig förvaltning, forskning, avfallshantering och flera tillverkningssektorer.
Sanktionsavgiften kan uppgå till det högsta av 2 procent av den globala årsomsättningen eller ett belopp motsvarande 10 miljoner euro för en väsentlig verksamhetsutövare, och 1,4 procent eller 7 miljoner euro för en viktig verksamhetsutövare. För en offentlig verksamhetsutövare är taket 10 miljoner kronor.
Läget för NIS2-lagarna i hela EU finns i NIS2 i oktober 2026.
Vad du gör nu
Omfattas ni och har inte anmält er till FRA ännu, gör det nu. Dokumentera sedan åtgärderna inom de tio områdena, planera utbildningen för ledningen och se till att ni klarar tidsfristerna på 24 timmar, 72 timmar och en månad.
Dazr Compliance gör NIS2-åtgärderna till återkommande uppgifter med ansvariga och bevis, och incidentregistret räknar ner till milstolparna 24 timmar, 72 timmar och en månad. Gränssnittet finns på svenska.
Källor
- Sveriges riksdag: Cybersäkerhetslag (2025:1506)
- Sveriges riksdag: Cybersäkerhetsförordning (2025:1507)
Endast för information, inte juridisk rådgivning. Senast uppdaterad 8 november 2026.
Finns även på: English