Vem omfattas? Väsentliga och viktiga enheter

Den kanske viktigaste förändringen jämfört med det gamla NIS-direktivet är lagens breddade tillämpningsområde. Istället för att tillsynsmyndigheter pekar ut enskilda operatörer gäller nu en storleksbaserad tröskel: medelstora och stora organisationer i definierade sektorer omfattas automatiskt.

Väsentliga enheter (essential entities)

Väsentliga enheter verkar i sektorer med direkt samhällskritisk funktion och har strängare krav och proaktiv tillsyn:

Viktiga enheter (important entities)

Viktiga enheter har något lägre krav och reaktiv tillsyn (tillsynsmyndigheten agerar vid indikation på brister):

Storlekströsklar

Grundregeln: organisationer med minst 50 anställda eller en årsomsättning/balansomslutning på 10 miljoner euro i dessa sektorer omfattas. Men — och detta är viktigt — tillsynsmyndigheter kan även peka ut mindre organisationer om de bedöms ha särskild betydelse för samhällets funktion.

> Opsio-observation: Vi ser att många organisationer underskattar sin exponering. Om ni levererar tjänster till en väsentlig enhet kan ni omfattas indirekt genom leveranskedjakraven, även om ni själva ligger under storlekströskeln.

Krav på riskhantering och säkerhetsåtgärder

Cybersäkerhetslagen specificerar inte exakt vilka tekniska kontroller som ska implementeras — den ställer krav på systematisk, riskbaserad riskhantering. I praktiken innebär det att organisationen ska kunna visa att den har:

Tio kärnåtgärder

Lagen listar ett minimiset av säkerhetsåtgärder som varje omfattad organisation ska adressera:

1. Riskanalys och informationssäkerhetspolicyer — dokumenterade, uppdaterade, förankrade i ledningen

2. Incidenthantering — processer för att upptäcka, hantera och rapportera säkerhetsincidenter

3. Driftskontinuitet och krishantering — backuprutiner, återställningsplaner, krishanteringsövningar

4. Leveranskedjesäkerhet — riskbedömning av leverantörer, säkerhetskrav i avtal

5. Säkerhet vid anskaffning och utveckling — krav genom hela livscykeln för system och tjänster

6. Utvärdering av åtgärdernas effektivitet — systematisk uppföljning, exempelvis genom penetrationstester och revisioner

7. Cyberhygien och utbildning — grundläggande säkerhetsmedvetenhet för all personal

8. Krypteringspolicy — riktlinjer för kryptering av data i transit och i vila

9. Personalens säkerhet och åtkomstkontroll — identity and access management (IAM), behörighetsstyrning

10. Multifaktorautentisering (MFA) — krav på MFA och säker kommunikation

Hur detta översätts i praktiken

Från driftsperspektiv ser vi på Opsio att organisationer som redan arbetar enligt ISO/IEC 27001 eller NIST CSF har en solid grund. Gapet som oftast kvarstår gäller tre områden:

• Incidentrapportering — de flesta saknar processer som klarar 24-timmarsfristen
• Leveranskedjesäkerhet — sällan systematiskt adresserat i avtal och uppföljning
• Ledningens ansvar — cybersäkerhet har delegerats till IT utan formell styrning från ledningsnivå

Molnsäkerhet och compliance

Incidentrapportering: Tre steg med skarpa tidsfrister

Rapporteringskraven i cybersäkerhetslagen är betydligt striktare än det gamla NIS-direktivet. Processen följer en trestegsmodell:

Den tidiga varningen inom 24 timmar är den stora utmaningen. Det kräver att organisationen har detektionsförmåga dygnet runt — inte bara kontorstid måndag till fredag. Utan ett SOC eller motsvarande funktion aktiv 24/7 är det i praktiken omöjligt att upptäcka och bedöma en incident inom den tidsramen.

24/7 SOC/NOC som managerad tjänst

Ledningens ansvar — inte bara en IT-fråga

En av de mest genomgripande förändringarna i NIS2, och därmed cybersäkerhetslagen, är att ledningen har ett uttryckligt ansvar för organisationens cybersäkerhet. Det handlar om tre konkreta krav:

• Godkänna riskhanteringsåtgärder — ledningen ska formellt besluta om vilka åtgärder som implementeras
• Genomgå cybersäkerhetsutbildning — styrelseledamöter och VD ska ha grundläggande kompetens
• Ansvara för bristande efterlevnad — ledningen kan hållas personligt ansvarig vid systematiska brister

I Sverige har Integritetsskyddsmyndigheten (IMY) redan visat genom GDPR-tillsynen att personligt ansvar för ledningen är en verklighet. Cybersäkerhetslagen följer samma spår — med potentiellt ännu hårdare konsekvenser givet att det handlar om samhällskritisk infrastruktur.

Sanktioner och tillsyn

Sanktionsramarna speglar GDPR:s upplägg med procent av omsättning:

Tillsynen i Sverige fördelas på sektorsspecifika tillsynsmyndigheter med Myndigheten för samhällsskydd och beredskap (MSB) som samordnande aktör. Energimyndigheten, Transportstyrelsen, IVO och Finansinspektionen är exempel på myndigheter som får tillsynsansvar inom sina respektive sektorer.

Skillnaden mellan väsentliga och viktiga enheter handlar inte bara om sanktionsnivå — väsentliga enheter ska granskas proaktivt genom regelbundna revisioner, medan viktiga enheter granskas reaktivt vid indikationer på brister.

Praktisk väg till efterlevnad: Fem steg

Baserat på vad vi ser hos organisationer som framgångsrikt arbetar mot NIS2-efterlevnad rekommenderar vi följande tillvägagångssätt:

1. Scoping och gap-analys

Fastställ om organisationen omfattas, i vilken kategori, och vilka brister som finns relativt lagens krav. Detta steg underskattas ofta — många organisationer inser först vid en strukturerad analys att de faktiskt omfattas.

2. Förankra i ledningen

Säkerställ att styrelse och VD förstår sitt ansvar. Presentera gap-analysen som en affärsrisk, inte ett IT-projekt.

3. Implementera kärnåtgärderna

Prioritera de tio minimiåtgärderna med fokus på de områden där gapet är störst. Incidenthanteringsprocesser och leveranskedjesäkerhet brukar kräva mest arbete.

4. Bygg detektions- och rapporteringsförmåga

Utan 24/7-övervakning är 24-timmarskravet för tidig varning omöjligt att uppfylla. Överväg en managerad SOC-tjänst om intern kapacitet saknas.

5. Testa och öva

Genomför incidentövningar, penetrationstester och tabletop-övningar regelbundet. Dokumentera resultaten — tillsynsmyndigheten kommer att fråga efter dem.

Cloud FinOps och kostnadsoptimering

Cybersäkerhetslagen och molnmiljöer

För organisationer med arbetsbelastningar i molnet — och det gäller de flesta 2026 — skapar cybersäkerhetslagen specifika utmaningar:

Delat ansvarsmodell: AWS, Azure och Google Cloud tar ansvar för infrastrukturens säkerhet, men ni ansvarar fortfarande för konfiguration, åtkomstkontroll och datahantering. Cybersäkerhetslagen gör det tydligt att ansvaret inte kan delegeras till en molnleverantör.

Datalokalitet: Lagen ställer inte explicita krav på datalokalitet, men GDPR-kopplingar och tillsynsmyndigheternas förväntningar gör att eu-north-1 (Stockholm) för AWS eller Sweden Central för Azure ofta är det naturliga valet.

Leveranskedjeaspekten: Er molnleverantör är en del av er leveranskedja. Det innebär att ni behöver kunna visa att ni har gjort en riskbedömning av leverantören och har avtal som adresserar säkerhetskraven.

Molnmigrering med compliance i fokus

Vanliga frågor

Vilka organisationer omfattas av cybersäkerhetslagen?

Lagen omfattar medelstora och stora organisationer i 18 definierade sektorer, inklusive energi, hälso- och sjukvård, transport, vattenförsörjning, digital infrastruktur, offentlig förvaltning och tillverkningsindustri. Även mindre organisationer kan omfattas om de bedöms som samhällskritiska. Både privata och offentliga aktörer berörs.

Vad händer om vi inte följer cybersäkerhetslagen?

Sanktionerna varierar beroende på om organisationen klassificeras som väsentlig eller viktig enhet. Väsentliga enheter riskerar böter upp till 10 miljoner euro eller 2 % av global årsomsättning. Viktiga enheter riskerar upp till 7 miljoner euro eller 1,4 %. Därtill kan ledningen hållas personligt ansvarig.

Hur snabbt måste en cyberincident rapporteras?

En tidig varning ska skickas till ansvarig tillsynsmyndighet inom 24 timmar från det att incidenten upptäcks. Inom 72 timmar ska en mer detaljerad incidentanmälan lämnas. En slutrapport med rotorsaksanalys ska vara klar inom en månad.

Vad är skillnaden mellan NIS2 och cybersäkerhetslagen?

NIS2 är EU-direktivet som sätter ramarna. Cybersäkerhetslagen är den svenska lag som implementerar direktivet nationellt. I praktiken bygger den svenska lagen på NIS2 men anpassar tillsynsstruktur, rapporteringsvägar och sektorsspecifika detaljer till svensk kontext med MSB och sektorsspecifika tillsynsmyndigheter.

Behöver vi ISO 27001 för att uppfylla cybersäkerhetslagen?

ISO/IEC 27001 är inte ett formellt krav, men lagens krav på systematisk riskhantering och säkerhetsåtgärder överlappar kraftigt med standarden. Organisationer med befintlig ISO 27001-certifiering har ett försprång — men behöver troligen komplettera med specifika krav kring incidentrapportering, leveranskedjesäkerhet och ledningsansvar.