Cybersäkerhetslagen och NIS2
Cybersäkerhetslag (2025:1506) genomför NIS2-direktivet i svensk rätt och gäller sedan den 15 januari 2026. Den kräver systematiskt säkerhetsarbete, incidentrapportering och uttryckligen ledningens delaktighet. Den definierar inte vad delaktighet betyder klockan tre på natten.
NIS2 och cybersäkerhetslagen är samma sak
NIS2 är EU-direktivet. Cybersäkerhetslagen är den svenska lag som genomför det. Ni förhåller er till lagen, inte till direktivet — men i upphandlingar, avtal och samtal används båda orden om vartannat.
Lagen utfärdades i december 2025 och trädde i kraft 15 januari 2026. Den omfattar arton sektorer och skiljer mellan väsentliga och viktiga verksamhetsutövare, med olika tillsynsformer.
Fristerna, och varför de förväxlas
Det här är den del som oftast blir fel i planer och rutiner. Tiderna räknas från kännedom — inte från när omfattningen är utredd. Väntar ni på full klarhet är fristen redan förbrukad.
| Vad | Inom | Räknat från |
|---|---|---|
| Förvarning om betydande incident | 24 timmar | Kännedom om incidenten |
| Incidentanmälan | 72 timmar | Kännedom om incidenten |
| Incidentanmälan, betrodda tjänster | 24 timmar | Kännedom om incidenten |
| Slutrapport | En månad | Efter incidentanmälan, inte efter upptäckten |
Sextimmarsregeln hör inte hit. Kravet på statliga myndigheter att rapportera inom sex timmar följer av beredskapsförordningen, inte av cybersäkerhetslagen. En statlig myndighet kan därför behöva rapportera samma incident i två spår, till olika mottagare och med olika frister. Det är inte samma anmälan.
Berörs personuppgifter löper dessutom en tredje frist: anmälan till Integritetsskyddsmyndigheten inom 72 timmar enligt artikel 33 i dataskyddsförordningen, räknat från när ni fick vetskap om personuppgiftsincidenten.
Ledningens delaktighet — det lagen inte säger
Lagen slår fast att ledningen ska vara delaktig. Den beskriver inte hur. I praktiken är det fem beslut som avgör om delaktigheten är verklig, och de behöver vara fördelade i förväg:
- Stänga ned system eller koppla bort från nätet.
- Aktivera reservrutin.
- Pausa delar av verksamheten.
- Gå ut externt eller mot media.
- Ta kostnader utanför budget.
Är de inte fördelade fattas de av den som råkar vara i rummet, eller inte alls. Det är den vanligaste bristen vi ser i en ledningsövning, och den syns inte i någon dokumentgranskning.
Vad ni rimligen bör kunna visa
- Riskanalys med beslut om åtgärder, inte bara en lista.
- Incidentrutin som når den som arbetar kvällstid, med utpekad anmälningsansvarig.
- Kontinuitetsplaner för de tjänster som omfattas, med tider satta av verksamheten.
- Leverantörshantering — säkerhetskrav i avtal och uppföljning av att de infriats.
- Utbildning av ledning och personal, med dokumenterat genomförande.
- Övning av kontinuitetshanteringen, med dokumenterat utfall.
En granskning mot de tio arbetsområden MCF använder ger en nulägesbild som täcker det mesta av detta, med bevis för varje nivå.
Två av de tre mest kända svenska ransomwarefallen de senaste åren — Tietoevry 2024 och Miljödata 2025 — drabbade organisationer som inte själva gjort något fel. Angreppet träffade en leverantör. Leverantörskedjan är därför inte en delfråga i lagen, den är en huvudfråga.
Skulle ni klara fristerna om det hände i morgon?
Om svaret är osäkert är det värt en granskning innan det prövas på riktigt. Ett första samtal tar trettio minuter och kostar ingenting.
Boka ett kostnadsfritt samtal