Cybersäkerhetslagen: NIS2 i Sverige förklarad

Cybersäkerhetslagen i korthet

Läget den 19 oktober 2026. Cybersäkerhetslagen (2025:1506) genomför NIS2 i Sverige och trädde i kraft den 15 januari 2026; den ersatte lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster. Sedan den 1 juli 2026 är Försvarets radioanstalt (FRA) gemensam kontaktpunkt och CSIRT-enhet enligt cybersäkerhetsförordningen, och arbetet sköts av Nationellt cybersäkerhetscenter (NCSC) inom FRA. Tidigare låg ansvaret hos Myndigheten för civilt försvar (MCF), vars föreskrifter fortsätter att gälla.

Vilka omfattas?

• Väsentliga och viktiga verksamhetsutövare i sektorerna i lagens bilagor, i regel medelstora och stora företag. Vissa tjänster omfattas oavsett storlek, till exempel DNS-tjänster, registreringsenheter för toppdomäner och domännamnsregistreringstjänster (1 kap. 7 §).
• Offentlig sektor: även statliga myndigheter, kommuner och regioner omfattas; länsstyrelserna är tillsynsmyndighet för kommuner och regioner (cybersäkerhetsförordningen 10 till 15 §§).
• Storlek och koncern: MCFFS 2026:1 innehåller bestämmelser om undantag för partnerföretag och anknutna företag och om huvudsakligt etableringsställe.
• Exempel: en leverantör av utlokaliserade driftstjänster (MSP) med 90 anställda är normalt ett medelstort företag i en sektor med hög kritikalitet och därmed en viktig verksamhetsutövare; som stort företag blir den väsentlig.

Ett första svar ger den kostnadsfria NIS2-omfattningskontrollen; avgörande är lagen, förordningen och föreskrifterna.

Anmälan: hur och när

• Hur: enligt NCSC fyller ni i anmälningsformuläret (Excel) och skickar det med e-post till nis2anmalan@ncsc.se, ett e-postmeddelande per organisation och med TLS-kryptering. Ändringar, tillägg och avregistreringar går till samma adress. NCSC bekräftar mottagandet.
• Vad: enligt MCFFS 2026:1 bland annat organisationens namn och organisationsnummer, etablering eller företrädare i Sverige, adress och kontaktuppgifter, sektor och delsektor, verksamhet inom EU/EES, om ni är väsentlig eller viktig och era IP-adresser och domännamn.
• När: lagen säger "så snart det kan ske"; NCSC har tagit emot anmälningar sedan den 2 februari 2026.

Har ni inte anmält er än?

Lagen har gällt sedan januari och anmälan har kunnat göras sedan februari 2026. Anmäl därför direkt om ni omfattas men inte har anmält er, och likaså när ni blir verksamhetsutövare senare, till exempel efter att ha passerat gränsen för ett medelstort företag. Brister i anmälningsskyldigheten kan leda till ingripande från tillsynsmyndigheten.

Incidentrapportering

Rapporterna går till CSIRT-enheten, i dag FRA (cybersäkerhetsförordningen 6 och 31 §§); NCSC anger Cyberportalen som kanal för betydande incidenter. En incident är betydande om den orsakat eller kan orsaka allvarlig driftsstörning eller ekonomisk skada, eller påverkat andra genom betydande skada. Ta hjälp av kontrollen av betydande incidenter och tidsfristkalkylatorn.

Säkerhetsåtgärder, utbildning och sanktioner

Enligt 2 kap. 3 § ska åtgärderna utgå från ett allriskperspektiv och minst avse riskanalys, incidenthantering, kontinuitets- och krishantering, leveranskedjan, säkerhet vid förvärv och utveckling, utvärdering av åtgärdernas effektivitet, cyberhygien och utbildning, kryptografi, personalsäkerhet och åtkomstkontroll samt autentisering och säkrad kommunikation. Ledningen ska genomgå utbildning (2 kap. 4 §). MCFFS 2026:11, som gäller sedan den 1 oktober 2026, preciserar kraven; NCSC räknar med vägledning kring årsskiftet 2026/2027.

Sanktionsavgift (4 kap. 10 §): lägst 5 000 kronor och högst 2 procent av den globala årsomsättningen eller motsvarande 10 000 000 euro för väsentliga, 1,4 procent eller motsvarande 7 000 000 euro för viktiga verksamhetsutövare, det högsta beloppet gäller; för offentliga verksamhetsutövare högst 10 000 000 kronor.

Så hanterar ni cybersäkerhetslagen i Dazr

• NIS2-ramverket: åtgärderna i artikel 21, som motsvarar 2 kap. 3 §, som återkommande kontroller med ansvarig, bevis och påminnelser; krav från MCFFS 2026:11 lägger ni till som egna kontroller eller kopplar till befintliga.
• Incidentregister: nedräkning för 24 timmar, 72 timmar och en månad (NIS2) och 72 timmar (GDPR), med tidsstämpel för varje rapport.
• Anmälan och ändringar: anmälningsdatum och 14-dagarsfristen för ändringar som uppgifter med påminnelse.
• Leverantörer (Pro): leverantörsregister med avtal, certifikat och granskningsdatum för säkerheten i leveranskedjan.
• Revisor (Pro): tidsbegränsad läsbehörighet och revisionsspår i en PDF.
• Data i EU: Dazr är ett italienskt företag, appdata och säkerhetskopior stannar i EU (Tyskland) och arbetsytans poster krypteras med AES-256-GCM.

Dazr anmäler inte och rapporterar inte incidenter åt er: det sker till NCSC/FRA. Dazr håller data, bevis och tidslinje.

Källor: cybersäkerhetslag (2025:1506), cybersäkerhetsförordning (2025:1507), ändrad t.o.m. SFS 2026:623, SFS 2026:623, MCFFS 2026:1, NCSC: att anmäla en verksamhet, NCSC: föreskrifter om säkerhetsåtgärder (MCFFS 2026:11). Senast kontrollerat 19 oktober 2026 mot författningstexterna och NCSC.

Vanliga frågor

Ska vi anmäla oss till MCF eller till FRA?

Sedan den 1 juli 2026 till FRA, där NCSC tar emot anmälningar på nis2anmalan@ncsc.se. MCF var kontaktpunkt fram till dess; MCF:s föreskrifter, som MCFFS 2026:1 och MCFFS 2026:11, gäller oförändrade tills de revideras.

Finns det ett sista datum för anmälan?

Lagen anger inget datum utan "så snart det kan ske". Ändringar i anmälda uppgifter ska anmälas senast 14 dagar efter att de ägt rum.

Räcker ISO 27001?

ISO 27001 täcker mycket av 2 kap. 3 §, men lagen har egna krav som anmälan, incidentrapportering och ledningens utbildning, och MCFFS 2026:11 preciserar åtgärderna. Koppla därför båda till samma bevis.

Anmäler Dazr oss eller rapporterar incidenter?

Nej. Anmälan och incidentrapporter går till NCSC/FRA. Dazr följer tidsfristerna, sparar tidsstämplar och bevis och visar vem som gjorde vad och när.

Vilken plan behöver vi?

NIS2-ramverket och incidentregistret ingår i Free för en användare och ett ramverk, utan kort. Pro för 99 € i månaden ger upp till fem användare och fem ramverk, uttalande om tillämplighet, policyer, leverantörsregister och revisorsåtkomst; prova gratis i 14 dagar.