Vad är NIS2-direktivet?
NIS2 är Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen. Direktivet upphäver det ursprungliga NIS-direktivet (2016/1148) och skärper kraven på både bredd och djup.
Ett direktiv är inte direkt tillämpligt – varje medlemsstat måste införliva det i nationell rätt. Det svenska genomförandet är cybersäkerhetslagen (2025:1506) och cybersäkerhetsförordningen (2025:1507). Det är alltså den svenska lagen ni ska följa, medan direktivet förklarar syftet och sätter miniminivån.
De tre stora förändringarna jämfört med NIS1 är: betydligt fler organisationer omfattas, kraven på riskhantering är specificerade i lagtext i stället för att vara vaga, och sanktionsavgifterna är avsevärt högre.
Vilka 18 sektorer omfattas?
NIS2 delar in verksamheter i sektorer med hög kritikalitet (bilaga I) och andra kritiska sektorer (bilaga II). Tillsammans täcker de 18 sektorer:
- Energi (el, fjärrvärme, olja, gas, vätgas)
- Transporter (luft, järnväg, sjö, väg)
- Bankverksamhet
- Finansmarknadsinfrastruktur
- Hälso- och sjukvård
- Dricksvatten
- Avloppsvatten
- Digital infrastruktur (datacenter, DNS, molntjänster, TLD)
- Förvaltning av IKT-tjänster mellan företag (MSP och MSSP)
- Offentlig förvaltning
- Rymden
- Post- och budtjänster
- Avfallshantering
- Kemikalier (tillverkning, produktion, distribution)
- Livsmedel (produktion, bearbetning, distribution)
- Tillverkning (medicintekniska produkter, elektronik, maskiner, fordon)
- Digitala leverantörer (marknadsplatser, sökmotorer, sociala plattformar)
- Forskning
Väsentlig eller viktig verksamhetsutövare?
Klassificeringen styr hur tillsynen går till och hur höga sanktionsavgifterna kan bli. Grundregeln bygger på sektor kombinerat med storlek – men flera verksamheter omfattas oavsett storlek, till exempel leverantörer av allmänna elektroniska kommunikationsnät, betrodda tjänster och toppdomänregister.
| Väsentlig verksamhetsutövare | Viktig verksamhetsutövare | |
|---|---|---|
| Typisk storlek | Minst 250 anställda, eller omsättning över 50 MEUR | Minst 50 anställda, eller omsättning över 10 MEUR |
| Sektorer | Främst bilaga I (hög kritikalitet) | Bilaga II och mindre aktörer i bilaga I |
| Tillsyn | Proaktiv – tillsyn kan ske utan misstanke | Reaktiv – tillsyn vid indikation på brist |
| Sanktionsnivå (direktivets tak) | Minst 10 MEUR eller 2 % av global omsättning | Minst 7 MEUR eller 1,4 % av global omsättning |
De tio riskhanteringsåtgärderna i artikel 21
Artikel 21 listar de minimiåtgärder varje verksamhetsutövare ska ha på plats. De ska vara proportionerliga mot risk, storlek och verksamhetens betydelse – men ingen av punkterna är valfri:
- Riskanalys och policyer för informationssystemens säkerhet
- Incidenthantering – upptäcka, hantera och följa upp
- Kontinuitetshantering: backup, katastrofåterställning och krishantering
- Säkerhet i leveranskedjan, inklusive relationer med leverantörer
- Säkerhet vid anskaffning, utveckling och underhåll av system
- Rutiner för att bedöma om säkerhetsåtgärderna faktiskt fungerar
- Grundläggande cyberhygien och återkommande utbildning
- Policyer för kryptografi och kryptering
- Personalsäkerhet, åtkomstkontroll och tillgångsförvaltning
- Multifaktorautentisering och säkrad kommunikation
Vad NIS2 konkret kräver av er backup
Punkt 3 i listan ovan – kontinuitetshantering – är den punkt där backup nämns explicit. Direktivet anger inte teknik, men tillsynsmyndigheternas tolkning och de tröskelvärden som gäller för rapportering gör kraven ganska konkreta i praktiken.
- Dokumenterad backupstrategi med definierade RPO och RTO per system, förankrad i en konsekvensanalys (BIA).
- Kopior som inte kan ändras eller raderas av en angripare – immutable eller logiskt isolerad lagring, alternativt air gap.
- Minst en kopia åtskild från produktionsmiljön, med separata behörigheter och separat identitetshantering.
- Regelbundna och dokumenterade återställningstester – ett testprotokoll är det tillsynen efterfrågar, inte en konfigurationsskärmdump.
- Övervakning och larm på misslyckade backupjobb, samt logg över vem som ändrat retentionspolicyer.
- Kontinuitetsplan som beskriver hur verksamheten drivs vidare medan återställning pågår.
Rapporteringsfristerna: 24 timmar, 72 timmar, en månad
Betydande incidenter rapporteras i Sverige till Nationellt cybersäkerhetscenter (NCSC), som slussar rapporten vidare till sektorns tillsynsmyndighet. Kedjan ser ut så här:
| Steg | Frist | Innehåll |
|---|---|---|
| Tidig upplysning | Så snart som möjligt, senast 24 timmar efter upptäckt | Att en betydande incident inträffat och om den misstänks vara orsakad av en olaglig handling |
| Incidentanmälan | Senast 72 timmar efter upptäckt | Inledande bedömning: allvarlighetsgrad, konsekvenser och eventuella angreppsindikatorer |
| Lägesrapport | Vid begäran, eller om incidenten pågår efter en månad | Statusuppdatering |
| Slutrapport | Senast en månad efter incidentanmälan | Detaljerad beskrivning, sannolik orsak, konsekvenser och vidtagna åtgärder |
Ledningens ansvar
NIS2 flyttar ansvaret uppåt. Ledningsorganet ska godkänna riskhanteringsåtgärderna, övervaka genomförandet och kan hållas ansvarigt för brister. Ledningen ska dessutom genomgå utbildning i cybersäkerhet, och verksamheten förväntas erbjuda motsvarande utbildning till personalen.
Tillsynsmyndigheten kan vid allvarliga brister tillfälligt förbjuda en person i ledande ställning att utöva ledningsfunktioner hos en väsentlig verksamhetsutövare. Det är en av de skarpaste nyheterna jämfört med NIS1.
Så kommer ni igång – i rätt ordning
- Bedöm om ni omfattas. Bedömningen görs per juridisk person och ni ansvarar själva för den.
- Anmäl er till tillsynsmyndigheten om ni omfattas.
- Gör en riskanalys och en konsekvensanalys som pekar ut era mest kritiska system.
- Kartlägg gapet mot de tio åtgärderna i artikel 21 och prioritera efter risk.
- Säkra backup och återställning först – det är den åtgärd som räddar er både vid ransomware och vid tillsyn.
- Etablera incidentprocessen och testa den, inklusive vem som skickar 24-timmarsupplysningen klockan tre på natten.
- Dokumentera allt. Det som inte är dokumenterat existerar inte vid en tillsyn.
Vanliga frågor
När började NIS2 gälla i Sverige?
Cybersäkerhetslagen (2025:1506), som genomför NIS2 i svensk rätt, gäller från den 15 januari 2026. Föreskrifterna om incidentrapportering (MCFFS 2026:8) trädde i kraft den 1 juli 2026.
Omfattas mitt företag av NIS2?
Ni omfattas om ni bedriver verksamhet inom någon av de 18 sektorerna och når storlekströskeln (normalt minst 50 anställda eller över 10 miljoner euro i omsättning). Vissa verksamheter omfattas oavsett storlek. Bedömningen görs av er själva, per organisationsnummer.
Kräver NIS2 att vi har backup?
Ja, indirekt men tydligt. Artikel 21.2 c anger kontinuitetshantering med backup och katastrofåterställning som en av de obligatoriska riskhanteringsåtgärderna.
Hur höga kan sanktionsavgifterna bli?
Direktivet sätter taket till minst 10 miljoner euro eller 2 procent av den globala årsomsättningen för väsentliga verksamhetsutövare, och 7 miljoner euro eller 1,4 procent för viktiga verksamhetsutövare – det högsta beloppet gäller.
Vad är skillnaden mellan NIS2 och cybersäkerhetslagen?
NIS2 är EU-direktivet. Cybersäkerhetslagen är den svenska lag som genomför direktivet och är den text ni juridiskt ska följa i Sverige.