NIS2 lagkrav: Vi hjälper er att uppfylla kraven

Vi hjälper er att tolka och omsätta de nya reglerna som EU beslutade i december 2022. Direktivet ersatte tidigare bestämmelser och ställer nu högre krav på riskanalyser och ledningens engagemang.

Vårt arbete kombinerar juridisk förståelse med tekniskt genomförande för att höja er cybersäkerhet. Vi kartlägger vilka verksamheter som omfattas och skapar praktiska tjänster för att stärka informationssäkerhet och rapportering.

Vi hjälper er att etablera ett systematiskt informationssäkerhetsarbete. Det innefattar policyer, processer, utbildning och att prioritera åtgärder utifrån risk och påverkan. Målet är att nå rätt nivå av styrning och kontroll, anpassat efter er mognad och bransch.

Nyckelpunkter

• Vi kombinerar juridik och teknik för att ge konkret hjälp.
• Direktivet skärper krav på informationssäkerhet och riskanalys.
• Vi erbjuder tjänster för implementering, utbildning och rapportering.
• Ledning och styrelse måste vara involverade för att lyckas.
• Vårt stöd anpassas efter er nivå och bransch för bästa effekt.

Våra tjänster för NIS2‑efterlevnad och cybersäkerhet

Vi tar fram handfasta tjänster som gör informationssäkerheten mätbar och spårbar. Vi börjar med en strukturerad gap‑analys för att kartlägga policyer, processer och tekniska kontroller i era informationssystem.

Gap‑analys mot direktivet och svensk cybersäkerhetslag

Vi jämför era rutiner med föreslagna svenska krav och identifierar brister per sektor. Resultatet blir en prioriterad lista med konkreta åtgärder och tidsramar.

Implementering av organisatoriska och tekniska åtgärder

Vi designar och installerar lösningar för loggning, övervakning, åtkomststyrning och backup. Vi ställer krav på leverantörer och produkter för att säkra hela leveranskedjan.

Ledningsutbildning och styrning för informationssäkerhet

Vi erbjuder utbildning för personer i ledning och styrelse så att ansvar och beslutspunkter blir tydliga. Vi hjälper även offentlig förvaltning att bygga styrmodeller för ändringsledning och uppföljning.

• Praktisk hjälp för avtal, SLA och samarbete vid incidenthantering.
• Systematiskt arbete som ger spårbarhet från gap till verifierade resultat.

NIS2 i Sverige: direktivet, lagstiftningsläget och vad som gäller nu

I Sverige pågår arbetet med att omvandla direktivet till nationell lagstiftning. SOU 2024:18 har lämnat förslag och en remissrunda har genomförts. I juni 2025 presenterade regeringen en lagrådsremiss om cybersäkerhetslagen, och Lagrådet ska yttra sig innan en proposition väntas hösten 2025.

Vi beskriver hur detta påverkar er planering och vilka datum som är viktiga. MSB har nationellt samordningsansvar och fungerar som kontaktpunkt mot EU. Myndigheter får olika roller när sektorsvis tillsyn och föreskrifter införs.

Praktiska följder och förberedelser

Följande är centralt för verksamheter under 2024–2025:

• Identifiera vilken sektor ni hör till och vilka myndigheter som ska utöva tillsyn.
• Prioritera riskbaserade åtgärder även innan alla föreskrifter är fastställda.
• Säkra dokumentation och information som underlag inför tillsyn.

”MSB har publicerat presentationer och hållit webbinarier 2024–2025 för att stödja förberedelser.”

Milstolpe	Tidpunkt	Påverkan
SOU‑förslag	2024	Grund för svensk reglering
Lagrådsremiss	Juni 2025	Förberedelse inför proposition
Proposition	Hösten 2025	Lagstiftning förväntas beslutas

Har ni frågor om hur reglerna får kraft i er verksamhet? Kontakta oss för att läs mer och få praktisk vägledning.

NIS2 lagkrav i korthet: krav på riskanalys, åtgärder och rapportering

Vi summerar här de centrala kraven som verksamheter måste möta för att stärka sin informationssäkerhet.

Verksamhetsutövare ska först avgöra om de omfattas och anmäla sig till ansvarig myndighet.

Sen behövs ett systematiskt säkerhetsarbete: riskbedömning av informationssystem, dokumenterade kontroller och verifierbar styrning av tillgångar och processer.

• Åtgärder ska vara proportionella mot risk och anpassade till er sektor och hotbild.
• Ledning och personer med ansvar måste utbildas för beslutskraft, resurssättning och uppföljning.
• Kontinuitet, backup och återställning kräver regelbunden testning och förbättring.
• Incidentrapportering ska följa tidsfrister och innehållskrav, och övas i rapporteringskedjan.
• Leverantörsstyrning och tredjepartsrisk måste ingå i programmet.

Fokus	Praktiskt krav	Effekt
Riskanalys	Bedöm informationssystem och dokumentera resultat	Spårbarhet från risk till åtgärd
Incidenter	Rapportera enligt tidsfrister och innehåll	Snabbare återhämtning och tydlig tillsyn
Ledning	Formell ansvarsfördelning och utbildning	Beslutsförmåga och resurssättning på rätt nivå

Vi hjälper er översätta direktivet till praktiska rutiner och visar hur ni når rätt nivå för era åtgärder och efterlever kraven.

Metod: så arbetar vi med riskhantering, åtgärder och kontinuerlig förbättring

Vi arbetar enligt en tydlig metod för att hantera risker, genomföra åtgärder och driva kontinuerlig förbättring.

Riskbedömning, penetrationstestning och övervakning

Vi utför riskbedömningar som kvantifierar affärspåverkan och kopplar risk till prioriterade åtgärder.

Penetrationstest och sårbarhetsskanning genomförs i både IT- och OT-miljöer följt av återtest.

Övervakning och logghantering byggs med use cases, larmtrösklar och playbooks för snabb upptäckt.

Säkerhetsåtgärder i processer, teknik och leverantörskedja

Vi inför säkerhetsåtgärder i processer som förändringshantering och i teknik såsom MFA, segmentering och EDR.

Vidare ställer vi krav på leverantörer och produkter genom due diligence och tydliga SLA‑krav.

Incidenthantering: process, rapportering och återställning

Vår incidenthantering definierar roller, eskaleringsvägar, bevisinsamling och kommunikation till återställning.

Vi integrerar rapporteringsflöden för myndighetsrapportering och kundkommunikation och dokumenterar kontrollmiljön för att visa efterlevnad av direktivet.

• Vi levererar tjänster för test, övervakning och kravställning.
• Allt utförs i nära samarbete med er verksamhet för hållbar förbättring.

Vill ni veta mer om vår metod och praktiska steg? Läs mer på vår sida om cybersäkerhetslagen.

Vilka sektorer omfattas och hur påverkas er verksamhet?

Vi förklarar vilka sektorer som nu omfattas och vad det betyder för er styrning och riskbild.

Regelverket täcker fler områden än tidigare. Det inkluderar bland annat energi, transport, bank och sjukvård, dricksvatten, samt digital infrastruktur.

Väsentliga och viktiga sektorer

Klassning som väsentlig eller viktig påverkar tillsyn och prioritering. Väsentliga aktörer får ofta striktare krav och tätare uppföljning.

• Vi visar vilka sektorer som listas och vad det innebär för era styrande dokument.
• Exempel på påverkan: krav på kontroller, dokumentation och leverantörsgranskning av produkter.
• Praktiska exempel: laddstationsoperatörer och tillverkare av vindkraftverk kan omfattas via leveranskedjan.

Offentlig förvaltning och leverantörer i kritisk infrastruktur

Central och regional offentlig förvaltning kan bli inkluderad, ofta med extra krav på redovisning och transparens.

Vi hjälper er bedöma om ni omfattas nis2 utifrån omsättning, storlek och bransch. Vi svarar också på vanliga frågor om gränsfall och hur leverantörer påverkas.

För mer bakgrund och lista över sektorer, se det här är nis2‑direktivet.

Tillsyn, sanktioner och incidentrapportering enligt NIS2 och CER

Under direktivet skiljer man mellan proaktiv och reaktiv tillsyn. Väsentliga aktörer får proaktiv granskning. Viktiga aktörer möter oftare reaktiv tillsyn.

Reaktiv vs. proaktiv tillsyn och nivåer på sanktionsavgifter

Proaktiv tillsyn innebär regelbundna revisioner och krav på dokumentation av åtgärder. Reaktiv tillsyn startar vid rapporterade fel eller incidenter.

Sanktioner blir strängare än tidigare. I vissa fall kan avgifter kopplas till global omsättning. För offentliga kritiska verksamheter föreslås nivåer från 5 000 till 10 000 000 kronor.

Rapportering av incidenter: tidsfrister, innehåll och uppföljning

CER kräver snabb initial rapportering. En första rapport ska lämnas inom 24 timmar till MSB.

Rapporten behöver kärninformation om påverkan, berörd infrastruktur och åtgärder. Myndigheter kan föreskriva mer detaljerat innehåll och uppföljning.

Ämne	Praktiskt krav	Effekt
Tillsynstyp	Proaktiv eller reaktiv beroende på sektor	Tydligare revision och beviskrav
Sanktionsnivå	5 000–10 000 000 kr eller omsättningskoppling	Incitament för riskbaserad styrning
Incidentrapport	Initialt inom 24 timmar, följdinfo senare	Snabbare åtgärd och bättre uppföljning

Vi hjälper förvaltning och privata aktörer att skapa informationsflöden, dokumentation och tjänster för att möta de nya regler och den föreslagna lagstiftning som kan träda i kraft, till exempel i oktober enligt tidplaner.

Slutsats

Kort sagt innebär nis2-direktivet att krav på cybersäkerhet höjs och att fler sektorer som energi, sjukvård och annan infrastruktur behöver bygga ökad motståndskraft. Direktivet ställer större krav på riskhantering, styrning och rapportering.

Det är viktigt att tidigt avgöra om ni omfattas nis2 och starta ett program som levererar både efterlevnad och affärsnytta. Ett riskbaserat arbetssätt hjälper er prioritera rätt investeringar och förbättra styrning samt rapportflöden.

Våra tjänster tar er från gap‑analys till implementering, övning och kontinuerlig förbättring. Kontakta oss för en kostnadsfri genomgång och en konkret plan för genomförande.

FAQ

Vad innebär de nya kraven för vår verksamhet och hur vet vi om vi omfattas?

Vi kartlägger er verksamhet mot direktivet och svensk cybersäkerhetslag för att avgöra om ni räknas som en väsentlig eller viktig aktör inom exempelvis energi, sjukvård, vatten eller digital infrastruktur. Kartläggningen inkluderar tjänster, leverantörskedja och informationssystem för att snabbt avgöra om rapporterings- och säkerhetskrav gäller er.

Vilka praktiska åtgärder måste vi vidta för att uppfylla kraven?

Vi rekommenderar en riskbedömning följt av implementering av organisatoriska och tekniska åtgärder: säkra processer, åtkomstkontroll, övervakning, patchhantering, penetrationstestning och leverantörsrevisioner. Dessutom behöver ni dokumentera rutiner för incidenthantering, rapportering och återställning.

Hur snabbt måste incidenter rapporteras och vad ska ingå i en rapport?

Rapporteringsfrister varierar beroende på incidentens allvar, men tidig notifikation till tillsynsmyndighet krävs. En komplett rapport bör innehålla incidentens påverkan, berörda system, åtgärder som vidtagits och plan för återställning. Vi hjälper er att ta fram mallar och rutiner för detta.

Vilka sektorer omfattas och vad innebär det för leverantörer?

Sektorer som energi, sjukvård, vatten, transport och digital infrastruktur omfattas i hög grad. Leverantörer till dessa sektorer kan också bli omfattade om de tillhandahåller kritiska tjänster. Vi analyserar ert beroende av infrastruktur och leverantörer för att bedöma om ytterligare krav gäller.

Hur ser tillsynen och påföljderna ut i praktiken?

Tillsyn kan vara både reaktiv och proaktiv, med granskningar och krav på åtgärder. Sanktioner varierar beroende på överträdelsens allvar och kan omfatta böter eller andra rättsliga åtgärder. Vi stöder er i förberedelser inför tillsyn och i dialog med myndigheter.

Hur genomför vi en gap‑analys mot direktivet och svensk lagstiftning?

Vi genomför en strukturerad genomgång av era styrdokument, tekniska kontroller och rutiner, jämför mot kraven i direktivet och svensk cybersäkerhetslag samt prioriterar åtgärder efter risk och kostnadseffektivitet. Resultatet blir en handlingsplan med tidplan och ansvarsfördelning.

Kan vi få hjälp med utbildning och ledningsstyrning kring informationssäkerhet?

Ja. Vi erbjuder ledningsutbildning, workshoppar och stöd för att etablera styrning, policys och roller. Målet är att förbättra förståelsen i ledningen och bygga en kultur för informationssäkerhet som inkluderar kontinuerlig förbättring.

Hur hanterar vi leverantörsrisker i kedjan?

Vi rekommenderar leverantörsbedömningar, säkerhetskrav i avtal och kontinuerlig övervakning. Genom leverantörsrevisioner och krav på incidentrapportering säkerställer vi att ert beroende av tredje part inte skapar oacceptabla risker.

Vad ingår i incidenthantering och återställning?

En robust process omfattar upptäckt, initial bedömning, isolering, åtgärd, återställning och lärande. Vi hjälper er att skriva rutiner, träna team med tabletop-övningar och implementera tekniska verktyg för snabb återhämtning.

Hur integrerar vi cybersäkerhetsåtgärder i befintliga processer och teknik?

Vi kartlägger era processer och system för att föreslå konkreta förbättringar: segmentering, kryptering, incidentövervakning och automatiserade patchprocesser. Förslagen anpassas efter er verksamhets kritikalitet och resurser.

Vilken roll har myndigheter som MSB i tillämpningen av reglerna?

Myndigheter som MSB har en samordnande och rådgivande roll, samt kan utfärda föreskrifter och delta i tillsyn. Vi hjälper er förstå vilka myndighetskrav som påverkar er och hur ni införlivar dem i er styrning.

Kan vi få stöd vid tillsynsärenden eller vid dialog med myndigheter?

Vi bistår i tillsynsärenden, förbereder underlag, svarar på frågor och företräder er i dialog med myndigheter. Vårt stöd minskar risk för sanktioner och hjälper er förbättra efterlevnaden snabbt.

Hur jobbar vi med kontinuerlig förbättring av informations- och cybersäkerhet?

Vi implementerar cykler för riskhantering, regelbundna tester, revisioner och uppdateringar av policyer. Kontinuerlig övervakning och rapportering ger oss insikter för prioriterade förbättringar över tid.