NIS2 införande: Vi hjälper er genom processen

Vi guidar svenska verksamheter när NIS2 träder i kraft och ställer nya krav på cybersäkerhet och informationssäkerhet.

EU beslutade om nis2-direktivet i december 2022 och remissen till lagen skickades i juni 2025. Proposition väntas till hösten och målet är att lagstiftningen börjar gälla 1 januari 2026.

Vi förklarar hur regler och föreskrifter påverkar era tjänster, avtal och rapporteringsflöden. Vi visar också vilka aktörer som spelar roll — från MSB till sektorsmyndigheter och er ledning.

Vårt fokus är att omvandla juridiska krav till praktiska åtgärder. Genom gap‑analys, styrning och proportionella tekniska insatser hjälper vi er nå efterlevnad i tid.

Genom att starta arbetet nu skapar ni möjlighet att ligga före, minska risk och anpassa styrdokument innan lagen och föreskrifterna slutligen publiceras.

Nyckelinsikter

• Översikt av tidslinjen: beslut 2022, remiss juni 2025, proposition hösten, ikraft 1 januari 2026.
• Praktisk väg från nuläge till full efterlevnad med gap‑analys och styrning.
• Skärpta krav på ledningens ansvar, riskanalyser och tekniska åtgärder.
• Påverkan på tjänster, avtal och leverantörsled.
• MSB och andra aktörer styr genom regler och föreskrifter — vi hjälper er navigera dem.

Överblick: NIS2 i Sverige just nu och vad som väntar

Det europeiska beslutet från december 2022 satte igång en 21‑månadersprocess för medlemsstaterna. I praktiken betyder det att direktivet redan gäller på EU‑nivå, medan Sverige förbereder sin nationella lag.

Tidslinjen är tydlig: direktivet trädde i kraft 14 december 2022. Medlagstiftningen i Sverige förväntas börja gälla 1 januari 2026. Regeringen lämnade en lagrådsremiss i juni 2025 och proposition väntas till hösten, med avgörande steg i oktober–november.

Roller och ansvar: MSB har nationellt samordningsansvar och är kontaktpunkt mot EU. Tillsynsmyndigheter för olika sektorer blir de centrala aktörer som tar fram föreskrifter och genomför tillsyn.

Förslaget utökar antalet sektorer från 7 till 18 och skärper krav på skydd av nätverk och informationssystem. Det betyder fler åtgärder för cybersäkerhet och mer detaljerad incidentrapportering för både väsentliga och viktiga verksamhetsutövare.

Vi hjälper er tolka vad lagen och föreskrifter kommer att kräva och översätta dem till praktiska steg. För en mer teknisk genomgång, se vår fördjupad analys.

Vilka verksamheter kommer omfattas av NIS2-direktivet?

Vi ser en klar breddning av tillämpningsområdet som påverkar både offentliga och privata aktörer. Här beskriver vi vilka typer av verksamheter som kommer omfattas och vad det innebär för era tjänster.

Högkritiska och andra kritiska sektorer

Direktivet pekar ut 18 sektorer, bland dem energi, transport, bank- och finansmarknadsinfrastruktur, sjukvård, dricksvatten, digital infrastruktur och offentlig förvaltning. Andra kritiska områden är post, avfallshantering, livsmedel, kemikalier, tillverkning, forskning och digitala leverantörer.

Väsentliga kontra viktiga entiteter

Som huvudregel omfattas medelstora och större verksamhetsutövare inom dessa sektorer. Högkritiska aktörer klassas ofta som väsentliga entiteter och får strängare tillsyn. Mindre företag kan undantas beroende på typer av tjänster och påverkan på samhällsfunktioner.

Verksamhetsutövare och leverantörskedjan

Leverantörer i kedjan blir också berörda. Det innebär krav på avtal, uppföljning och möjlighet att ställa säkerhetskrav mot underleverantörer. Vi rekommenderar att ni kartlägger beroenden och dokumenterar vilka aktörer som påverkar era kritiska tjänster.

Krav i NIS2: riskhanteringsåtgärder och informationssäkerhet i praktiken

Verksamheter måste nu omsätta regelverk i praktiska riskhanteringsåtgärder för att säkra nätverk och tjänster.

Vi bryter ner de tio centrala områdena i konkreta åtgärder: policy för riskanalys, incidenthantering, kontinuitetsplanering, leverantörssäkerhet och säker utveckling med sårbarhetshantering.

Säkerhet i utveckling och förvaltning

Säkra livscykler kräver rutiner för kodgranskning, patchhantering och kryptografi där det behövs. Multifaktorautentisering och åtkomstkontroller skyddar information och system.

Styrning och kompetens

Ledningen behöver visa ansvar genom styrdokument, utbildning och cyberhygienprogram. Vi föreslår mätetal för att följa efterlevnad och effekten av åtgärder.

Standardstöd och föreskrifter

ISO 27001/27002 används som ryggrad och mappas mot MSBFS 2018:8 och 2020:7 för praktisk vägledning. Detta inkluderar även utkontrakterade informationssystem.

“Vi etablerar ett riskramverk som kopplar informationssäkerhet, nätverk och informationssystem till verksamhetens mål.”

• Vi anpassar åtgärder proportionerligt efter risk och verksamhetens storlek.
• Vi integrerar leverantörer i kontroller och revisionsrättigheter.

Incidentrapportering och cyberhot: regler, tidsfrister och innehåll

Snabb och korrekt incidentrapportering avgör hur väl vi hanterar händelser som påverkar tillgänglighet, autenticitet, riktighet eller konfidentialitet hos uppgifter och tjänster. En incident definieras som en påverkan på nätverk och informationssystem som stör drift eller leder till skada.

Vad är en betydande incident eller ett betydande cyberhot?

Betydande incidenter är de som orsakar eller kan orsaka allvarliga driftsstörningar, stora ekonomiska konsekvenser eller spridning av skada till andra. Ett betydande cyberhot kräver snabb bedömning och kan föranleda mottagarunderrättelser.

Rapporteringsstegen

Rapportering sker i tre steg: tidig varning inom 24 timmar, incidentanmälan inom 72 timmar och slutrapport senast en månad efter anmälan. Vi hjälper er att skapa mallar så ni kan rapportera incidenter utan onödigt dröjsmål.

Underrätta mottagare utan onödigt dröjsmål

Vi etablerar rutiner för att underrätta kunder och beroende parter när det är lämpligt. Underrättelsen ska ange konkreta åtgärder mottagaren kan vidta och bedöma målgruppens behov.

“Rapportera till CERT‑SE/MSB enligt myndighetskrav och synkronisera externa uttalanden med myndighetsrapporteringen.”

För mer detaljer om regelverket och myndighetskontakt, se det här om nis2-direktivet. Vi säkerställer också att ni bevarar bevis och koordinerar med hotintelligens för bättre kvalitet i rapporterna.

Tillsyn, sanktioner och ledningsansvar vid bristande efterlevnad

För väsentliga verksamheter kan tillsynen innebära oannonserade platsrevisioner och djupare granskning av leverantörsledet.

Skillnaden mellan väsentliga och viktiga aktörer påverkar hur hårt myndigheten kontrollerar rutiner och bevis. Väsentliga verksamhetsutövare får ofta mer ingripande inspektioner, medan viktiga entiteter möter mer begränsade kontroller.

Myndigheters verktyg och ingripanden

Myndigheter kan begära information, genomföra platsrevisioner och utfärda förelägganden. Vid uteblivna åtgärder finns även rätt att söka domstolsförbud mot ledningspersoner.

Sanktionsnivåer och konsekvenser

Sanktioner varierar från varningar och förelägganden till administrativa avgifter. För väsentliga aktörer kan böter nå upp till 10 000 000 EUR eller 2 % av global omsättning. För viktiga aktörer gäller upp till 7 000 000 EUR eller 1,4 %.

“Dokumenterad efterlevnad och tydliga åtgärder är den bästa vägen för att minimera risk för sanktioner.”

• Vi hjälper er dokumentera kraven och bygga en bevisbank med policies, loggar och revisionsrapporter.
• Vi förbereder ledningen med rapportpaket och KPI:er vid tillsynsärenden.

NIS2 införande: vår rekommenderade implementeringsplan

Vi börjar alltid med en objektiv gap‑analys för att jämföra nuvarande kontroller mot vad nis2-direktivet ska kräva. Detta ger underlag för prioriterade åtgärder och investeringar.

Stegvis roadmap

Efter gap‑analysen genomför vi en riskbedömning kopplad till verksamhetskritiska tjänster och informationssystem. Resultatet styr vilka åtgärder som ger störst effekt.

Åtgärdsplanen innehåller delmål, ansvar och tidslinje samt mätetal för hur kraven följs upp.

Styrning och förvaltning

Vi etablerar ett policyramverk med roller, rutiner och interna efterlevnadskontroller. MSBFS 2018:8 och ISO 27001/27002 används som referens för ett systematiskt, riskbaserat arbete.

Leverantörer och avtal

Vi definierar krav mot leverantörer, inklusive SLA, revision och incidentprocesser, och säkerställer att utkontrakterade miljöer omfattas. Detta stärker leverantörsledets spårbarhet.

“Ett PMO‑liknande program, med styrgrupp och risklogg, håller kursen mot måldatum och möjliggör kontinuerlig förbättring.”

• Utbildning för att nå en hög gemensam nivå av cybersäkerhet och informationssäkerhet.
• Test och övning: tabletop, återställningstester och leverantörsövningar.
• Kontinuerlig förbättring genom mätetal, revisioner och uppdaterade kontroller när föreskrifter och regler förändras.

Slutsats

Vi ser att direktivet skärper säkerheten för samhällsviktiga digitala tjänster och utökar antalet sektorer som omfattas.

Verksamhetsutövare inom t.ex. sjukvård, avfallshantering och infrastruktur måste nu säkra sina nätverk och digitala tjänster. Lagstiftningen väntas träda i kraft 1 januari 2026, med en viktig milstolpe i oktober 2025 när propositionen kommer.

Hög gemensam nivå i informationssäkerhet samhällsviktiga digitala miljöer kräver tydliga riskhanteringsåtgärder och fungerande incidentrapportering. Tydliga roller, övningar och dokumenterad evidens minskar risken för incidenter och sanktioner.

Vi erbjuder gap‑analys, roadmap och implementering som kopplar föreskrifter till mätbar nytta. Kontakta oss för en konkret start och stärkt motståndskraft mot hot mot samhällsviktiga digitala tjänster.