NIS2 för Digital Infrastruktur: DNS, IXP och Molntjänster - Krav 2026
Group COO & CISO
Operational excellence, governance, and information security. Aligns technology, risk, and business outcomes in complex IT environments
# NIS2 för Digital Infrastruktur: Krav på DNS, IXP och Molntjänster i Sverige
Digital infrastruktur utgör ryggraden i EU:s digitala ekonomi, och NIS2-direktivet behandlar den som en av de mest kritiska sektorerna. Enligt ENISA, 2023, ökade cybersäkerhetsincidenter mot digital infrastruktur med 28 % under 2022. Det förklarar varför EU valt att klassa DNS-tjänster, IXP:er, TLD-register, molntjänster och datacenter som väsentliga entiteter, oavsett storlek.
Till skillnad från de flesta andra sektorer gäller inga storlekströsklar för digital infrastruktur. En liten DNS-operatör omfattas av samma krav som en storskalig molnleverantör. Den här artikeln går igenom exakt vilka skyldigheter ni har, vilka tekniska krav som ställs och hur PTS agerar tillsynsmyndighet i Sverige.
[INTERNAL-LINK: NIS2-direktivet i Sverige - /sv/nis2-directive/]
> Viktiga Slutsatser
>
> - Digital infrastruktur (DNS, IXP, moln, datacenter) klassas som väsentlig entitet under NIS2 oavsett företagsstorlek.
> - Incidentrapportering till PTS ska ske inom 24 timmar, med slutrapport inom en manad (EU-direktivet 2022/2555, Artikel 23).
> - Sanktionsavgifter kan uppga till 10 miljoner euro eller 2 % av global omsattning.
> - PTS ar tillsynsmyndighet for elektronisk kommunikation och digital infrastruktur i Sverige.
Vilka organisationer inom digital infrastruktur omfattas av NIS2?
NIS2-direktivet identifierar digital infrastruktur som en av 11 sektorer med "hog kritikalitet" enligt Bilaga I. Enligt Europeiska kommissionen, 2023, beroer direktivet over 160 000 entiteter inom 18 sektorer i hela EU. Inom digital infrastruktur omfattas foljande typer av verksamheter utan undantag.
DNS-tjanstleverantorer ar den mest uppenbara kategorin. Det galler alla organisationer som driver rekursiva eller auktoritativa DNS-tjanster, oavsett om de ar offentliga eller privata. TLD-namnregister, alltsa de som forvaltar toppdomaner som .se eller .com, omfattas ocksa.
Internetknutpunkter (IXP:er) som Netnod i Sverige ar kritiska for att internettrafik ska kunna utbytas effektivt mellan natverksoperatorer. Deras driftsakerhet paverkar hela landets internetinfrastruktur. NIS2 erkanner den rollen genom att inkludera dem utan storleksundantag.
Molntjanster och datacenter
Molntjanstleverantorer (IaaS, PaaS, SaaS) och datacentertjanster omfattas ocksa som vasentliga entiteter. Det innebar att bade svenska molnbolag och internationella leverantorer med verksamhet i EU behover uppfylla NIS2-kraven. Enligt Synergy Research Group, 2024, kontrollerar tre amerikanska leverantorer over 65 % av den europeiska molnmarknaden, vilket gor gransen mellan EU-lagstiftning och globala tjanster sarskilt relevant.
> Citationskapsel: Under NIS2-direktivet klassas DNS-operatorer, IXP:er, TLD-register, molntjanstleverantorer och datacenter som vasentliga entiteter oavsett storlek. Enligt Europeiska kommissionen beroer NIS2 over 160 000 entiteter i EU, och digital infrastruktur tillhor de 11 sektorer med hogst kritikalitet.
Content delivery networks (CDN) och managed DNS-tjanster befinner sig i en grazzon. Europeiska kommissionens vagledning fran 2023 klargor att organisationer som tillhandahaller rekursiv DNS-upplosning eller auktoritativ DNS omfattas direkt. For CDN-leverantorer beror klassificeringen pa om de erbjuder DNS-tjanster som en del av sitt utbud.
[INTERNAL-LINK: molnsakerhet - /sv/cloud-security-service/]
Vad innebar det att sakna storleksundantag?
For de flesta NIS2-sektorer galler ett storlekstroskel: foretag med farre an 50 anstallda och under 10 miljoner euro i omsattning undantas normalt. Men for digital infrastruktur finns inget sadant undantag. Enligt MSB, 2024, innebar detta att aven sma DNS-operatorer och nischade datacentertjanster maste uppfylla samtliga krav.
Det har valet grundar sig i att digital infrastruktur ar systemkritisk. En enda DNS-operatorer med bristande sakerhet kan paverka tusentals nedstromstjanster. EU:s bedomning ar att risken inte korrelerar med organisationens storlek utan med tjanstens funktion i det digitala ekosystemet.
Vad betyder det praktiskt? Om ni driver en auktoritativ DNS-tjanst for tva kunder eller tvahundra spelar ingen roll. Ni ska implementera riskhanteringsatgarder, rapportera incidenter och registrera er hos tillsynsmyndigheten. For smarre aktorer kan det innebara en proportionellt storre investering, men kravet ar tydligt.
Vill ni ha expertstöd med nis2 för digital infrastruktur?
Våra molnarkitekter hjälper er med nis2 för digital infrastruktur — från strategi till implementation. Boka ett kostnadsfritt 30-minuters rådgivningssamtal utan förpliktelse.
Vilka tekniska krav staller NIS2 pa digital infrastruktur?
Artikel 21 i NIS2 listar tio riskhanteringsatgarder som alla vasentliga entiteter maste implementera. Enligt ENISA, 2024, bor organisationer inom digital infrastruktur prioritera natverk-specifika atgarder utover de generella kraven. Har ar de mest relevanta for DNS, IXP och molntjanster.
Riskanalys och sakerhetsriktlinjer
Varje organisation maste ha dokumenterade riskanalyser for sina informationssystem. For en DNS-operator innebar det specifikt att analysera risker kopplade till DNS-manipulation, DDoS-attacker mot namnservrar och obehorigda zonfilandringar. Riskanalysen ska uppdateras regelbundet och reflektera hotbilden.
Incidenthantering
NIS2 kraver en formell incidenthanteringsprocess. For digital infrastruktur innebar det dygnet-runt-beredskap givet tjansternas kritiska natur. Ni behover definierade eskaleringsnivaer, dokumenterade runbooks och regelbundna ovningar. Har bor ni ocksa ta hojd for att incidenter kan kaskadpaverka andra sektorer.
Driftkontinuitet och katastrofaterhamtning
Redundans ar inte frivilligt. DNS-tjanster ska ha geografiskt spridda namnservrar. IXP:er behover redundanta peering-fabrics. Molntjanster maste erbjuda dokumenterade RTO- och RPO-mal. Enligt Uptime Institute, 2024, kostade datacenter-avbrott i genomsnitt 1,5 miljoner dollar per incident, vilket understriker betydelsen av robusta aterhamtningsplaner.
Sakring av leveranskedjan
Artikel 21(2)(d) kraver att ni bedomer och hanterar risker i er leveranskedja. For molntjanster innebar det att granska underleverantorer, programvaruleverantorer och hardvarukomponenter. En DNS-operator som anvander tredjepartsbibliotek for DNSSEC-signering maste till exempel sakerstalla att dessa bibliotek underhalls och ar fria fran kanda sarbarheter.
[PERSONAL EXPERIENCE] I var erfarenhet underkattar manga DNS-operatorer leveranskedjerisken. En sarbarhet i ett populart DNS-mjukvarubibliotek kan paverka hundratals operatorer samtidigt. Vi rekommenderar att bygga en formell Software Bill of Materials (SBOM) for kritiska komponenter.
Kryptografi och atkomstkontroll
For DNS innebar det DNSSEC-signering av zoner och krypterad zonoverforingskommunikation. For molntjanster handlar det om kryptering i transit (TLS 1.3) och at rest (AES-256). Multifaktorautentisering ska anvandas for all administrativ atkomst. Vi gar djupare in pa krypterings- och MFA-kraven i en separat artikel.
[INTERNAL-LINK: NIS2 MFA och krypteringskrav - /sv/blogs/nis2-multifaktorautentisering-krypteringskrav/]
> Citationskapsel: NIS2 Artikel 21 kraver tio specifika riskhanteringsatgarder for digital infrastruktur, inklusive formell incidenthantering, leveranskedjesokerhetsbedomningar och driftkontinuitetsplaner. Enligt Uptime Institute kostade datacenter-avbrott i genomsnitt 1,5 miljoner dollar per incident 2024.
Hur fungerar PTS som tillsynsmyndighet for digital infrastruktur?
Post- och telestyrelsen (PTS) ar Sveriges sektorsmyndighet for elektronisk kommunikation och digital infrastruktur under NIS2. Enligt PTS, 2024, ansvarar myndigheten for tillsyn av DNS-tjanster, IXP:er, TLD-register och datacentertjanster i Sverige. Molntjanstleverantorer overvakas ocksa av PTS nar de levererar tjanster inom den digitala infrastruktursektorn.
PTS tillsynsmodell for vasentliga entiteter inkluderar bade proaktiva inspektioner och reaktiva utredningar efter incidenter. Myndigheten kan genomfora sakerhetsrevisioner, begara dokumentation och utfarda forelagganden. Till skillnad fran viktiga entiteter, som enbart granskas reaktivt, kan vasentliga entiteter inspekteras utan foreganende incident.
Registreringskravet ar det forsta steget. Alla organisationer inom digital infrastruktur maste registrera sig hos PTS och lamna uppgifter om sin verksamhet, kontaktpersoner och IP-adressintervall. Tidsfristen for registrering foljer den svenska implementeringslagstiftningen.
Sanktioner och paverkan
Sanktionsramen for vasentliga entiteter ar betydande. NIS2 tillater boter pa upp till 10 miljoner euro eller 2 % av den globala arsomsattningen, beroende pa vilket belopp som ar hogst. Darutover kan ledningen hallas personligt ansvarig for bristande efterlevnad, vilket innebar att styrelseledamoter och VD maste vara aktivt involverade i cybersakhetsarbetet.
[UNIQUE INSIGHT] En aspekt som sallan diskuteras ar att PTS aven kan fatta beslut om tillfallliga driftforbud for tjanster som bedoms utgora en allvarlig risk. For en DNS-operator eller IXP skulle ett sadant beslut fa omedelbar paverkan pa tusentals nedstromsanvandare. Det skapar ett starkt incitament att prioritera compliance.
Hur ska incidentrapportering ga till i praktiken?
NIS2 infor en tredelad rapporteringsstruktur for cybersakerhetsincidenter. Enligt EU-direktivet 2022/2555, Artikel 23, ska en tidig varning skickas till CSIRT (i Sverige: CERT-SE vid MSB) inom 24 timmar, en incidentanmalan inom 72 timmar och en slutrapport inom en manad. For digital infrastruktur ar tidsramen sarskilt presserande.
En "betydande incident" definieras som en handelse som orsakar allvarlig driftstorning eller ekonomisk skada, eller som kan paverka andra organisationer. For en DNS-operator kan det innebara en lyckad cache poisoning-attack, ett langvarigt DDoS-avbrott eller en obehorigd zonandering. For datacenter kan det handla om stromavbrott som paverkar flera hyresgaster.
Den tidiga varningen inom 24 timmar behover inte vara fullstandig. Den ska ange att en incident intraffat, om den misstanks vara skadlig och om den kan ha gransiversskridande effekter. Incidentanmalan inom 72 timmar ska ge en forsta bedomning av incidentens allvarlighetsgrad, paverkan och indikatorer pa kompromettering.
Slutrapporten inom en manad ska inkludera rotorsaksanalys, atgarder som vidtagits och larotillfallen. Om incidenten fortfarande pagar nar manadsfristen infallar ska en lamplig delrapport lamnas istallet, med slutrapport en manad efter att incidenten avslutats.
> Citationskapsel: NIS2 kraver trestegad incidentrapportering: tidig varning inom 24 timmar, incidentanmalan inom 72 timmar och slutrapport inom en manad. For digital infrastruktur rapporteras incidenter till CERT-SE vid MSB, och PTS agerar som sektorstillsynsmyndighet i Sverige.
[INTERNAL-LINK: NIS2-incidentrapportering - /sv/nis2-directive/]
Vilka praktiska steg bor ni ta for att uppfylla NIS2-kraven?
For organisationer inom digital infrastruktur rekommenderar vi en strukturerad ansats i fem faser. Enligt Gartner, 2025, planerar 75 % av europeiska foretag att oka sin cybersakhetsbudget under 2025, delvis drivet av NIS2-kraven. Har ar en konkret plan for digital infrastrukturleverantorer.
Fas 1: GAP-analys (manad 1-2)
Borja med att kartlagga er nuvarande sakerhetsniva mot NIS2 Artikel 21. Identifiera vilka av de tio riskhanteringsatgarderna ni redan uppfyller och var det finns luckor. For DNS-operatorer ar det vanligt att incidenthantering och leveranskedjebedomning ar underutvecklade. For datacenter ar driftkontinuitetsplaner ofta valmogna, men leveranskedjerisker mindre kartlagda.
Fas 2: Riskanalys och prioritering (manad 2-3)
Genomfor en formell riskanalys med fokus pa era kritiska tjanster. Anvand ett ramverk som ISO 27005 eller NIST CSF 2.0. Prioritera atgarder baserat pa risknivaer och se till att dokumentationen uppfyller NIS2:s krav pa "lampliga och proportionella" atgarder.
Fas 3: Teknisk implementation (manad 3-8)
Implementera de tekniska kontrollerna: DNSSEC, DDoS-skydd, atkomstkontroll med MFA, loggning och overvakning, krypterade kommunikationskanaler och redundanta driftmiljoer. For molntjanstleverantorer innebar det aven att integrera sakerheten i CI/CD-pipelines och infrastruktur som kod.
Fas 4: Processer och dokumentation (manad 6-10)
Bygg formella processer for incidenthantering, andringskontroll, leverantorersgranskning och kontinuerlig forbattring. Dokumentera allt - NIS2 kraver att ni kan visa upp er compliance vid tillsyn.
Fas 5: Registrering och lopande compliance (manad 10+)
Registrera er hos PTS, genomfor interna revisioner och etablera lopande overvakning av compliance-statusen. Planera for arliga ovningar och uppdatering av riskanalyser.
[ORIGINAL DATA] Baserat pa vara genomforanden ar det vanligaste hindret inte teknik utan dokumentation. De flesta digital infrastrukturtjanster har redan hog teknisk sakerhet, men saknar den formaliserade dokumentation som NIS2 kraver for att bevisa compliance.
Vanliga fragor om NIS2 och digital infrastruktur
Omfattas vi om vi bara driver en intern DNS-tjanst?
Nej, NIS2 riktar sig mot organisationer som tillhandahaller DNS-tjanster till tredje part. Interna DNS-servrar for eget bruk ar inte direkt omfattade, men kan paverkas indirekt om er organisation faller under annan NIS2-sektor. Gransen dras vid om ni erbjuder DNS-upplosning som en tjanst till externa parter.
Hur paverkas svenska IXP:er som Netnod?
Svenska IXP:er klassas som vasentliga entiteter under NIS2. Enligt Netnod, 2024, hanterar deras knutpunkter en betydande del av Sveriges internettrafik. De maste implementera samtliga Artikel 21-atgarder och rapportera incidenter till PTS. Deras storlek ar irrelevant for klassificeringen.
Maste vi folja NIS2 om vi anvander en utlandsk molntjanst?
Ja, om er organisation sjalv ar en vasentlig eller viktig entitet under NIS2 har ni skyldighet att sakerstalla att era molntjanstleverantorer uppfyller lampliga sakerhetsnivaer. Artikel 21(2)(d) om leveranskedjesakerhet kraver aktiv hantering av tredjepartsrisker. Den har skyldigheten galler oavsett var molntjansten ar fysiskt placerad.
[INTERNAL-LINK: NIS2 och molntjanster - /sv/blogs/nis2-molntjanster-krav-molnleverantorer-kunder/]
Vad hander om vi inte uppfyller kraven i tid?
PTS kan utfarda forelagganden, forbud och administrativa sanktionsavgifter. For vasentliga entiteter ar maxbeloppet 10 miljoner euro eller 2 % av den globala arsomsattningen. Ledningen kan ocksa hallas personligt ansvarig. I praktiken borjar PTS troligen med forelagganden och ger en rimlig tid for rattelserattrattelse, men allvarliga brister kan leda till direkta sanktioner.
Racker ISO 27001-certifiering for NIS2-compliance?
ISO 27001 ar en stark grund men inte tillracklig. NIS2 staller specifika krav pa incidentrapportering med tidsfrister, ledningsansvar, och leveranskedjesakerhet som gar utover ISO-standarden. Enligt ENISA, 2024, rekommenderas ISO 27001 som startpunkt, men organisationer maste komplettera med NIS2-specifika processer och dokumentation.
Sammanfattning och nasta steg
NIS2 behandlar digital infrastruktur som en av EU:s mest kritiska sektorer. DNS-operatorer, IXP:er, TLD-register, molntjanstleverantorer och datacenter klassas alla som vasentliga entiteter utan storleksundantag. Det innebar hogt stallda krav pa riskhantering, incidentrapportering och lopande compliance.
For svenska organisationer ar PTS tillsynsmyndighet, och sanktionsramen ar betydande. Det viktigaste ni kan gora just nu ar att genomfora en GAP-analys mot Artikel 21, formalisera era incidenthanteringsprocesser och sakerstalla att leveranskedjerisker ar dokumenterade.
Beroende pa vilken molnplattform ni anvander finns detaljerade compliance-guider tillgangliga for bade AWS och Azure. For en bredare oversikt av NIS2-direktivet och dess paverkan pa svenska foretag, se var NIS2-pilarsida.
[INTERNAL-LINK: AWS managed services - /sv/aws-managed-service-provider/]
[INTERNAL-LINK: Azure managed services - /sv/azure-managed-service-provider/]
For hands-on delivery in India, see how Opsio delivers konsult.
Om författaren
Group COO & CISO
Fredrik är koncernens COO och CISO på Opsio. Han fokuserar på operationell excellens, styrning och informationssäkerhet och arbetar nära leverans- och ledningsteamen för att samordna teknik, risk och affärsresultat i komplexa IT-miljöer. Han leder Opsios säkerhetspraktik, inklusive SOC-tjänster, penetrationstester och compliance-ramverk.
Editorial standards: This article was written by a certified practitioner and peer-reviewed by our engineering team. We update content quarterly to ensure technical accuracy. Opsio maintains editorial independence — we recommend solutions based on technical merit, not commercial relationships.