NIS2 policy: Våra experter guidar er genom implementeringen

Vi hjälper er navigera nya krav och öka er cybersäkerhet. Direktivet trädde i kraft 2023 och höjer EU:s ambitionsnivå med tydligare regler och skarpare tillsyn.

Vårt fokus är praktiskt: vi visar hur ni går från nuläge till full efterlevnad med klar ansvarsfördelning, mätbara åtgärder och affärsdrivna prioriteringar.

Vi förklarar vilka tekniska kontroller och organisatoriska rutiner som krävs för att stärka er security. Samtidigt pekar vi på hur ledningen tar aktivt management-ansvar för att undvika oklarheter.

Med konkreta strategies och snabbprioriterade insatser visar vi hur ni får effekt direkt och bygger hållbar kapacitet över tid. Vi sätter svenska förutsättningar i centrum, inklusive pågående lagstiftningsarbete och ansvariga tillsynsmyndigheter.

Viktiga punkter

• Praktisk väg från nuläge till efterlevnad.
• Ledningens roll och tydlig ansvarsfördelning.
• Prioritera utifrån risk och verksamhetskritikalitet.
• Koppla krav i direktivet till befintliga processer.
• Balansera snabba vinster med långsiktiga investeringar.

Översikt och nuläge: vad NIS2-direktivet innebär för Sverige just nu

Vi kartlägger nuläget i Sverige och hur förändringar i EU:s directive påverkar operativa krav för verksamheter. Förlängd scope innebär fler sektorer som energi, transport, hälso- och sjukvård, finans och digital infrastructure.

Från NIS1 till NIS2: bredare omfattning, tydligare regler och starkare tillsyn

Direktivet utökar scope jämfört med tidigare ramverk. Fler services och kritiska value chains omfattas.

Resultat: skarpare rules, mer proaktiv tillsyn och krav på leverantörskedjesäkerhet.

Tidslinje och lagstiftningsläge i Sverige

Sverige genomför förslagen; SOU 2024:18 har lämnat förslag. Lagrådsremiss presenterades juni 2025 och proposition väntas hösten 2025.

”Medlemsstater ska anta nationella cybersäkerhetsstrategier som inkluderar sårbarhetshantering och utbildning.”

Vem omfattas: väsentliga och viktiga sektorer samt storlekskriterier

Medelstora och stora aktörer i berörda sectors måste införa riskhantering och rapportera incidenter. Offentliga services på central och regional nivå påverkas också.

Aspekt	Gammalt	Nytt	Praktisk påverkan
Scope	Färre sektorer	Fler sektorer, inkl. rymd och avfall	Breddare ansvarsområden
Tillsyn	Reaktiv	Proaktiv och strikt	Mer förberedelse och dokumentation
Rapportering	Begränsad	Obligatorisk för betydande incidenter	Tydliga tidsfrister
Resiliens	Varierande	Standardiserade baseline-krav	Ökad interoperabilitet

NIS2 policy: definiera omfattning, ansvar och gap-analys i er organisation

Vi inleder med en praktisk omfattningsbedömning för att avgöra om ni är verksamhetsutövare i någon av de 18 berörda sektorerna i Sverige. Detta inkluderar analys av verksamhetstyp, storlek och sektortillhörighet.

Vi hjälper er också med anmälan och organisering av programarbete så att era processer motsvarar förväntade requirements från MSB och sektorsmyndigheter.

Identifiera om ni omfattas och anmäl er som verksamhetsutövare

Vi går igenom vilka system och services som faller inom regelverket och kartlägger dataflöden. Därefter beskriver vi steg-för-steg hur ni anmäler er och vilka tillsynskontakter som är relevanta.

Genomför en gap-analys mot krav på policies, processer och kontroller

Vi etablerar en klar policyarkitektur som binder ihop övergripande styrdokument med konkreta kontroller och evidens. Detta gör arbetet reviderbart och spårbart vid tillsyn.

• Kartlägg nuvarande kontroller och measures mot krav.
• Prioritera åtgärder utifrån risk och affärskritikalitet.
• Tydliggör management-ansvar och mandat för rapportering och ägarskap.
• Definiera beviskrav och plan för regelbunden översyn.
• Förbered en utbildnings- och kommunikationsplan för ledning och personal.

Resultatet blir en handlingsbar gap-analys och en roadmap för att snabbt stärka era security-mekanismer och uppfylla formella requirements.

Styrning och ledning: ansvar, utbildning och kommunikation

Vi hjälper ledningen skapa tydliga beslutsvägar för cybersecurity och ansvarstagande.

Ledningen får ett formellt ansvar för brister i riskhantering och kan drabbas av sanktioner om åtgärder uteblir. MSB poängterar att både chefer och personal ska ha utbildning som visar vilka krav och konsekvenser som gäller.

Ledningens ansvar och sanktionsrisker samt intern kommunikation och medvetenhet

Vi föreslår en enkel styrmodell där styrelse och ledning tar ansvar för management, rapportcykler och riskägarskap.

• Integrera sanktionsrisker och rules i ledningens riskaptit och uppföljning.
• Utforma en utbildningsplan som ökar awareness kring threats och rapportering.
• Säkra intern communication så att ändrade policies och rutiner når alla i tid.
• Knyt KPIs/KRIs till security och kravuppfyllnad för datadriven styrning.

”Ledningen måste visa fullt engagemang och dokumenterat ansvar för säkerhetens effekt.”

Vi inför också governance-rutiner för regelbunden översyn och övning av delegationsordningar vid incidenter. På så sätt blir ansvar tydligt, övat och redo när krav eller tekniska förändringar kräver snabba beslut.

Åtgärd	Syfte	Resultat
Styrmodell för ledning	Klart ansvar och beslutsvägar	Bättre governance och snabbare beslut
Utbildningsplan	Ökad awareness och rapporteringsförmåga	Minskad mänsklig risk
Kommunikationsstrategi	Snabb spridning av förändringar	Enhetliga rutiner och förståelse

Riskhantering och säkerhetsåtgärder: från strategi till operativt genomförande

Vår metod länkar strategiska mål till operativa säkerhetsåtgärder för att minska cyberrisker. Vi etablerar ett risk- och kontrollramverk som knyter säkerhet till budget, styrning och internkontroll.

Ramverk för risk management: bedömning av cyberrisker och kontinuitet

Vi operationaliserar hotmodellering och riskbedömning för affärsprocesser, kritiska applikationer och systems. Detta ger tydliga toleransnivåer och återställningsmål.

Tekniska och organisatoriska cybersecurity measures att prioritera

Prioriterade measures inkluderar identitet och behörighet, segmentering, patchhantering, loggning, backup och kontinuitet. Vi kopplar investeringar i security till affärsrisker och kostnads-nyttoanalyser.

Sårbarhetshantering, testning och övervakning av system och tjänster

Vi inför kontinuerlig sårbarhetshantering och teknisk testning. Övervakning och detektion ger tidig varning för threats och minskar sannolikheten för framgångsrika angrepp.

Dokumentation av policies och kravuppfyllnad för tillsyn

Vi skapar kontrollbibliotek, mognadsbedömningar och revisionsspår som visar requirements-efterlevnad. Roller och incidentprocedurer dokumenteras och övas regelbundet.

Fokusområde	Åtgärd	Syfte	Resultat
Riskramverk	Hotmodellering & bedömning	Koppla risk till affärsmål	Tydliga prioriteringar
Tekniska measures	Patch, segmentering, loggning	Minska attackyta	Bättre detektion och återställning
Efterlevnad	Kontrollbibliotek & revision	Bevis för tillsyn	Revisionsspår och rapporter

Incidentrapportering, tillsyn och samverkan enligt direktivet

Vi bygger en enkel och repeterbar process så att incidenter hanteras konsekvent och i rätt tid. Processen täcker triage, initial notis, uppföljande rapporter och slutrapport i linje med krav och tidsfrister.

Rapportering av betydande incidenter och krav på tidsfrister

Vi beskriver vilken information som ska ingå i anmälan och hur vi kvalitetssäkrar data för tillsyn och lärande. Initial notis ska ge en snabb lägesbild. Uppföljande rapporter innehåller tekniska detaljer, påverkan på services och åtgärder.

Roller för CSIRTs, NIS Cooperation Group och EU-CyCLONe

Vi etablerar gränssnitt mot CSIRTs för snabb communication och informationsdelning vid cyber threats. NIS Cooperation Group används för strategiskt samarbete och spridning av bästa praxis.

EU-CyCLONe stödjer koordinerad hantering av storskaliga händelser och påverkar er management- och krisstruktur.

”Snabb rapportering och tydliga roller minskar skadan och möjliggör lärande över gränser.”

• Definiera end-to-end process för rapportering och eskalering.
• Dokumentera roller, beslutsmandat och extern kommunikation.
• Sätt upp metriker för detection och response till ledningen.
• Koppla incidentlärdomar till förbättrade kontroller och utbildning.

Område	Vad vi levererar	Effekt
Rapporteringsprocess	Triage, notis, uppföljning	Snabbare beslut och bättre tillsyn
Samverkan	CSIRT-gränssnitt och NIS Cooperation Group	Styrkt responskapacitet
Storskalig krishantering	EU-CyCLONe-anpassning	Koordinerad ledning vid större incidenter

Leverantörskedja och sektorsvisa prioriteringar i svensk kontext

Här visar vi hur ni bygger robusta avtal och övervakning i hela supply chain. Vi kombinerar kontraktskrav med tekniska kontroller för att minska risk i leverantörsledet.

Supply chain security: krav mot leverantörer och hanterade tjänster

Vi inför leverantörsklassning, due diligence och säkerhetsbilagor för hanterade services och molnleverantörer. Detta inkluderar revisionsrätt, SLA:er och krav på incidentdelning.

Sektorer i fokus

Vi anpassar krav till svenska sectors med särskilt fokus på energy, transport, healthcare, finance, digital infrastructure och space.

Manufacturing och kritiska underleverantörer, som tillverkare av vindkraftsdelar eller operatörer av laddstationer, kräver särskild uppföljning.

MSB:s samordningsroll och tillsyn

MSB samordnar nationellt medan sektorsvisa myndigheter vägleder och utfärdar föreskrifter. Vi hjälper er förbereda kontrakt och kontrollpaket så att kommande requirements kan implementeras utan stora omstarter.

Område	Åtgärd	Syfte	Effekt
Leverantörsklassning	Due diligence & säkerhetsbilaga	Prioritera risker i chain	Färre leverantörsincidenter
Kontrakt & SLA	Incidentdelning & revisionsrätt	Snabb respons i hela supply chain	Kortare återställningstid
Sektorsspecifika paket	Kontroller för energy, healthcare, space	Matcha krav till infrastructure	Verifierbar driftstabilitet

Implementeringsplan: praktisk How-To från första steg till löpande förbättring

Vi tar fram en konkret roadmap som visar steg för steg hur ni når efterlevnad och stärker er cybersecurity. Planen är anpassad för svenska förhållanden och fokuserar på snabba vinster samt hållbar utveckling.

Roadmap: identifiera omfattning, etablera styrning, införa åtgärder, övervaka och förbättra

Vår roadmap består av fem tydliga steg: omfattningsbedömning, styrning och management, åtgärdspaket och kontroller, övervakning och uppföljning samt kontinuerlig förbättring.

Vi prioriterar measures efter risk och verksamhetspåverkan. Därmed säkrar ni snabbt kritiska beroenden och viktiga services.

Vi designar policies, standarder och ett kontrollbibliotek som möter krav och underlättar revision. Övervakning byggs med dashboards och larm som triggar snabb åtgärd.

PwC rekommenderar att se detta som en möjlighet att stärka säkerheten oavsett mognadsgrad.

Steg	Huvudaktiviteter	Nytta	Leverans
1. Omfattning	Kartläggning av system och supply	Klart scope och ansvar	Omfattningsraport
2. Styrning	Management, styrgrupp, roller	Tydligt beslutsfattande	Styrmodell
3. Åtgärder	Implementera security measures	Minskad risk och bättre detektion	Kontrollbibliotek
4. Övervakning	Dashboards, mätetal, övningar	Snabb respons vid cyber threats	Rapport- och larmrutiner

Vi integrerar awareness‑utbildning i varje steg och planerar tester för kritiska processer. Avslutningsvis etablerar vi en förvaltningsmodell för att hålla roadmapen levande.

Slutsats

Slutsats

Vi ser att direktivet ersätter tidigare ramverk och kräver både bättre styrning och robustare kontroller. Utökad omfattning och skarpare tillsyn innebär större ansvar för ledningen när lagstiftningen nu rör sig mot en ny svensk cybersecurity‑lag under 2025.

Förberedelser nu minskar genomföranderisk. Tydliga requirements, mätetal och ansvar ger uthållig effekt och snabbare lärandecykler. Sektorer som energy, transport, healthcare och finance bör säkra beroenden i sin infrastructure och prioritera åtgärder enligt roadmapen.

Nästa steg: etablera en dedikerad styrgrupp, öva regelbundet och starta prioriterade åtgärder för snabb riskreduktion. Läs också om tillsynens kostnader och hur det påverkar genomförandet i vår sammanställning: tillsynsmyndigheternas kostnader.

FAQ

Vilka verksamheter omfattas av det nya direktivet och hur avgör vi om vi måste anmäla oss?

Vi kartlägger verksamhetens sektor, storlek och kritiska tjänster mot direktivets omfattning. Om vi erbjuder samhällsviktiga tjänster inom energi, transport, hälsa, finans eller digital infrastruktur samt uppfyller storlekskriterier måste vi anmäla oss som verksamhetsutövare. Vi rekommenderar en tidig bedömning och kontakt med ansvarig tillsynsmyndighet för att säkerställa rätt klassning.

Vilka styrningskrav ställs på ledningen och vilka konsekvenser finns vid brister?

Vi måste etablera tydligt ansvar i ledningen, implementera ledningssystem för cybersäkerhet och visa kontinuerlig uppföljning. Bristande efterlevnad kan leda till sanktioner och försämrat förtroende från kunder och leverantörer. Därför prioriterar vi utbildning, incidentberedskap och intern kommunikation för att minimera juridisk och operativ risk.

Hur genomför vi en effektiv gap-analys mot kraven på policies, processer och kontroller?

Vi jämför befintliga rutiner mot krav för riskhantering, incidentrapportering, leverantörskedja och dokumentation. Vi identifierar brister, prioriterar åtgärder baserat på risk och resurs, och tar fram en åtgärdsplan med ansvar och tidplan. En extern revision eller rådgivare kan ge objektiv bedömning och snabba upp processen.

Vilka tekniska och organisatoriska åtgärder bör vi prioritera först?

Vi prioriterar grundläggande skyddsåtgärder: nätverkssäkerhet, autentisering, patchhantering, säkerhetsövervakning och backup/återställning. Parallellt stärker vi organisatoriskt genom roller, incidentplaner och leverantörsavtal. Dessa insatser minskar sannolikheten för störningar och förbättrar vår förmåga att upptäcka och hantera incidenter.

Hur ska incidentrapportering gå till och vilka tidsfrister gäller?

Vi måste rapportera betydande incidenter till tillsynsmyndigheten inom kort angiven tidsram enligt regelverket. Intern rapportering sker enligt vår incidentkedja till CSIRT eller motsvarande funktion. Vi övar denna process regelbundet för att säkerställa snabba, korrekta och fullständiga rapporter, inklusive påverkan på tjänster och åtgärder som vidtagits.

Vad krävs för att säkra leverantörskedjan och molntjänster?

Vi ställer tydliga krav i avtal, genomför leverantörsgranskningar och kontinuerlig uppföljning av tredjepartsleverantörer. Säkerhetskrav bör täcka åtkomstkontroll, datahantering, incidentrapportering och kontinuitetsplaner. Vi använder leverantörsbedömningar och penetrationstester för att minska risker i supply chain.

Hur integrerar vi riskhantering i den löpande verksamheten?

Vi inför ett ramverk för riskmanagement där riskidentifiering, värdering och hantering sker regelbundet. Vi kopplar risknivåer till budget, åtgärdsprioritering och beslutsfattande. Genom att integrera cybersäkerhet i verksamhetsstyrning blir säkerhetsåtgärder en del av dagliga processer och strategiska beslut.

Vilka dokumentationskrav måste vi uppfylla för tillsyn och revision?

Vi måste föra dokumentation över riskbedömningar, policies, incidentrapporter, leverantörsavtal och testresultat. Dokumentationen ska visa att vi kontinuerligt arbetar med åtgärder och förbättringar. God dokumentation underlättar tillsynsgranskningar och minskar risken för sanktioner.

Hur berör detta små och medelstora företag i praktiken?

Mindre bolag som levererar kritiska tjänster kan omfattas trots begränsade resurser. Vi rekommenderar pragmatiska åtgärder: fokusera på högriskområden, använda standardiserade ramverk och ta hjälp av externa tjänsteleverantörer. Målet är proportionella kontroller som ger reell skyddseffekt utan överdriven byråkrati.

Vilken roll spelar MSB och andra myndigheter i implementeringen?

Myndigheter som MSB samordnar tillsyn och ger vägledning. De tar fram föreskrifter, stöddokument och kontaktvägar för incidentrapportering. Vi använder myndigheternas vägledningar som stöd för tolkning, och vi deltar i samverkansforum för att hålla oss uppdaterade om förändringar och sektorsspecifika krav.