NIS2-direktivet: vad det kräver av svenska verksamheter

NIS2-direktivet är EU:s regelverk för cybersäkerhet i samhällsviktig verksamhet. Det ersätter det gamla NIS-direktivet, utvidgar tillämpningsområdet till 18 sektorer och lägger ett personligt ansvar på ledningen. I Sverige genomförs direktivet genom cybersäkerhetslagen (2025:1506) som gäller sedan den 15 januari 2026. Den här sidan går igenom vad direktivet faktiskt kräver – och vilka delar som handlar om backup och återställning.

Uppdaterad 9 min läsning

Vad är NIS2-direktivet?

NIS2 är Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen. Direktivet upphäver det ursprungliga NIS-direktivet (2016/1148) och skärper kraven på både bredd och djup.

Ett direktiv är inte direkt tillämpligt – varje medlemsstat måste införliva det i nationell rätt. Det svenska genomförandet är cybersäkerhetslagen (2025:1506) och cybersäkerhetsförordningen (2025:1507). Det är alltså den svenska lagen ni ska följa, medan direktivet förklarar syftet och sätter miniminivån.

De tre stora förändringarna jämfört med NIS1 är: betydligt fler organisationer omfattas, kraven på riskhantering är specificerade i lagtext i stället för att vara vaga, och sanktionsavgifterna är avsevärt högre.

Vilka 18 sektorer omfattas?

NIS2 delar in verksamheter i sektorer med hög kritikalitet (bilaga I) och andra kritiska sektorer (bilaga II). Tillsammans täcker de 18 sektorer:

  • Energi (el, fjärrvärme, olja, gas, vätgas)
  • Transporter (luft, järnväg, sjö, väg)
  • Bankverksamhet
  • Finansmarknadsinfrastruktur
  • Hälso- och sjukvård
  • Dricksvatten
  • Avloppsvatten
  • Digital infrastruktur (datacenter, DNS, molntjänster, TLD)
  • Förvaltning av IKT-tjänster mellan företag (MSP och MSSP)
  • Offentlig förvaltning
  • Rymden
  • Post- och budtjänster
  • Avfallshantering
  • Kemikalier (tillverkning, produktion, distribution)
  • Livsmedel (produktion, bearbetning, distribution)
  • Tillverkning (medicintekniska produkter, elektronik, maskiner, fordon)
  • Digitala leverantörer (marknadsplatser, sökmotorer, sociala plattformar)
  • Forskning

Väsentlig eller viktig verksamhetsutövare?

Klassificeringen styr hur tillsynen går till och hur höga sanktionsavgifterna kan bli. Grundregeln bygger på sektor kombinerat med storlek – men flera verksamheter omfattas oavsett storlek, till exempel leverantörer av allmänna elektroniska kommunikationsnät, betrodda tjänster och toppdomänregister.

Väsentlig verksamhetsutövareViktig verksamhetsutövare
Typisk storlekMinst 250 anställda, eller omsättning över 50 MEURMinst 50 anställda, eller omsättning över 10 MEUR
SektorerFrämst bilaga I (hög kritikalitet)Bilaga II och mindre aktörer i bilaga I
TillsynProaktiv – tillsyn kan ske utan misstankeReaktiv – tillsyn vid indikation på brist
Sanktionsnivå (direktivets tak)Minst 10 MEUR eller 2 % av global omsättningMinst 7 MEUR eller 1,4 % av global omsättning

De tio riskhanteringsåtgärderna i artikel 21

Artikel 21 listar de minimiåtgärder varje verksamhetsutövare ska ha på plats. De ska vara proportionerliga mot risk, storlek och verksamhetens betydelse – men ingen av punkterna är valfri:

  • Riskanalys och policyer för informationssystemens säkerhet
  • Incidenthantering – upptäcka, hantera och följa upp
  • Kontinuitetshantering: backup, katastrofåterställning och krishantering
  • Säkerhet i leveranskedjan, inklusive relationer med leverantörer
  • Säkerhet vid anskaffning, utveckling och underhåll av system
  • Rutiner för att bedöma om säkerhetsåtgärderna faktiskt fungerar
  • Grundläggande cyberhygien och återkommande utbildning
  • Policyer för kryptografi och kryptering
  • Personalsäkerhet, åtkomstkontroll och tillgångsförvaltning
  • Multifaktorautentisering och säkrad kommunikation

Vad NIS2 konkret kräver av er backup

Punkt 3 i listan ovan – kontinuitetshantering – är den punkt där backup nämns explicit. Direktivet anger inte teknik, men tillsynsmyndigheternas tolkning och de tröskelvärden som gäller för rapportering gör kraven ganska konkreta i praktiken.

  • Dokumenterad backupstrategi med definierade RPO och RTO per system, förankrad i en konsekvensanalys (BIA).
  • Kopior som inte kan ändras eller raderas av en angripare – immutable eller logiskt isolerad lagring, alternativt air gap.
  • Minst en kopia åtskild från produktionsmiljön, med separata behörigheter och separat identitetshantering.
  • Regelbundna och dokumenterade återställningstester – ett testprotokoll är det tillsynen efterfrågar, inte en konfigurationsskärmdump.
  • Övervakning och larm på misslyckade backupjobb, samt logg över vem som ändrat retentionspolicyer.
  • Kontinuitetsplan som beskriver hur verksamheten drivs vidare medan återställning pågår.

Rapporteringsfristerna: 24 timmar, 72 timmar, en månad

Betydande incidenter rapporteras i Sverige till Nationellt cybersäkerhetscenter (NCSC), som slussar rapporten vidare till sektorns tillsynsmyndighet. Kedjan ser ut så här:

StegFristInnehåll
Tidig upplysningSå snart som möjligt, senast 24 timmar efter upptäcktAtt en betydande incident inträffat och om den misstänks vara orsakad av en olaglig handling
IncidentanmälanSenast 72 timmar efter upptäcktInledande bedömning: allvarlighetsgrad, konsekvenser och eventuella angreppsindikatorer
LägesrapportVid begäran, eller om incidenten pågår efter en månadStatusuppdatering
SlutrapportSenast en månad efter incidentanmälanDetaljerad beskrivning, sannolik orsak, konsekvenser och vidtagna åtgärder

Ledningens ansvar

NIS2 flyttar ansvaret uppåt. Ledningsorganet ska godkänna riskhanteringsåtgärderna, övervaka genomförandet och kan hållas ansvarigt för brister. Ledningen ska dessutom genomgå utbildning i cybersäkerhet, och verksamheten förväntas erbjuda motsvarande utbildning till personalen.

Tillsynsmyndigheten kan vid allvarliga brister tillfälligt förbjuda en person i ledande ställning att utöva ledningsfunktioner hos en väsentlig verksamhetsutövare. Det är en av de skarpaste nyheterna jämfört med NIS1.

Så kommer ni igång – i rätt ordning

  • Bedöm om ni omfattas. Bedömningen görs per juridisk person och ni ansvarar själva för den.
  • Anmäl er till tillsynsmyndigheten om ni omfattas.
  • Gör en riskanalys och en konsekvensanalys som pekar ut era mest kritiska system.
  • Kartlägg gapet mot de tio åtgärderna i artikel 21 och prioritera efter risk.
  • Säkra backup och återställning först – det är den åtgärd som räddar er både vid ransomware och vid tillsyn.
  • Etablera incidentprocessen och testa den, inklusive vem som skickar 24-timmarsupplysningen klockan tre på natten.
  • Dokumentera allt. Det som inte är dokumenterat existerar inte vid en tillsyn.

Vanliga frågor

När började NIS2 gälla i Sverige?

Cybersäkerhetslagen (2025:1506), som genomför NIS2 i svensk rätt, gäller från den 15 januari 2026. Föreskrifterna om incidentrapportering (MCFFS 2026:8) trädde i kraft den 1 juli 2026.

Omfattas mitt företag av NIS2?

Ni omfattas om ni bedriver verksamhet inom någon av de 18 sektorerna och når storlekströskeln (normalt minst 50 anställda eller över 10 miljoner euro i omsättning). Vissa verksamheter omfattas oavsett storlek. Bedömningen görs av er själva, per organisationsnummer.

Kräver NIS2 att vi har backup?

Ja, indirekt men tydligt. Artikel 21.2 c anger kontinuitetshantering med backup och katastrofåterställning som en av de obligatoriska riskhanteringsåtgärderna.

Hur höga kan sanktionsavgifterna bli?

Direktivet sätter taket till minst 10 miljoner euro eller 2 procent av den globala årsomsättningen för väsentliga verksamhetsutövare, och 7 miljoner euro eller 1,4 procent för viktiga verksamhetsutövare – det högsta beloppet gäller.

Vad är skillnaden mellan NIS2 och cybersäkerhetslagen?

NIS2 är EU-direktivet. Cybersäkerhetslagen är den svenska lag som genomför direktivet och är den text ni juridiskt ska följa i Sverige.

Säkra kraven med rätt backup-lösning

Jämför oberoende backup- och återställningslösningar för svenska verksamheter – med immutable lagring, svenska datacenter och dokumenterade återställningstester.

Läs vidare

Källor