Cybersäkerhetslagen är här – en praktisk checklista för NIS2 i Sverige
Den 15 januari 2026 trädde cybersäkerhetslagen i kraft, den svenska implementeringen av EU:s NIS2-direktiv. Jämfört med den gamla NIS-lagen breddas tillämpningsområdet kraftigt: fler sektorer, fler verksamheter och tydligare krav på att ledningen tar ansvar för informationssäkerheten. Kraven fasas dessutom in stegvis: incidentrapporteringen gäller sedan den 1 juli 2026, och nästa milstolpe är den 1 oktober 2026, då kraven på säkerhetsåtgärder och ledningens utbildning börjar gälla.
För många organisationer är det här första gången informationssäkerhet blir en uttrycklig lagfråga snarare än en IT-fråga. Den goda nyheten: kraven är inte mystiska. De handlar om systematiskt riskarbete och dokumenterade rutiner, och om förmågan att upptäcka och rapportera incidenter, alltså sådant ett fungerande ledningssystem redan gör.
Omfattas ni av cybersäkerhetslagen?
Lagen pekar ut ett stort antal sektorer, bland annat energi, transport, hälso- och sjukvård, dricksvatten, digital infrastruktur, offentlig förvaltning, post, avfallshantering, livsmedel och delar av tillverkningsindustrin. Verksamheterna delas in i väsentliga och viktiga verksamhetsutövare, med något olika tillsyn men i grunden samma säkerhetskrav.
Huvudregeln är att medelstora och större verksamheter i de utpekade sektorerna omfattas (i regel från 50 anställda eller cirka 10 miljoner euro i omsättning), men vissa verksamheter omfattas oavsett storlek. Verksamheter som omfattas ska också anmäla sig till Nationellt cybersäkerhetscentret (NCSC), som har tagit över anmälningarna från MSB. Är ni osäkra: kontrollera mot lagtexten och er sektorsmyndighet, och dokumentera bedömningen oavsett utfall.
Checklistan: sex steg mot efterlevnad
Så här strukturerar ni arbetet, i den ordning som ger effekt snabbast:
- 1. Avgör om ni omfattas och anmäl er. Gör en dokumenterad tillämplighetsbedömning och anmäl verksamheten till Nationellt cybersäkerhetscentret (NCSC) om ni träffas av lagen. Anmälningstjänsten har varit öppen sedan den 2 februari 2026.
- 2. Förankra ansvaret i ledningen. Ledningsorganet ska godkänna riskhanteringsåtgärderna och genomgå utbildning. Ansvaret kan inte delegeras bort till IT, och kraven träder i kraft den 1 oktober 2026.
- 3. Gör en riskanalys och en gap-analys. Jämför ert nuläge mot lagens riskhanteringsåtgärder: policyer för riskanalys, incidenthantering, kontinuitet och krishantering, leverantörskedjans säkerhet, säker utveckling och drift, kryptografi, cyberhygien och utbildning, personalsäkerhet, åtkomstkontroll och multifaktorautentisering.
- 4. Etablera en incidentrapporteringsprocess. Betydande incidenter ska rapporteras i steg: tidig varning inom 24 timmar, incidentanmälan inom 72 timmar och en slutrapport inom en månad. Kraven gäller sedan den 1 juli 2026, och de kräver att ni kan upptäcka, klassificera och eskalera incidenter. I praktiken en övad rutin, inte ett dokument.
- 5. Dokumentera allt i ett levande ledningssystem. Kraven förutsätter dokumenterade policyer, processer och bevis. Ett ISMS enligt ISO 27001 är den etablerade ryggraden. Bygger ni det ordentligt får ni det mesta av cybersäkerhetslagens riskhanteringskrav på köpet. Så hänger NIS2 och ISO 27001 ihop.
- 6. Håll det aktuellt. Schemalägg granskningar och interna revisioner, mät att åtgärderna fungerar och uppdatera när verksamheten förändras. Tillsynen tittar på hur systemet levde förra året, inte hur pärmen såg ut vid certifieringen.
Vad händer om man inte agerar?
Cybersäkerhetslagen ger tillsynsmyndigheterna skarpa verktyg: förelägganden och sanktionsavgifter som för väsentliga verksamhetsutövare kan uppgå till 10 miljoner euro eller 2 procent av den globala årsomsättningen; för viktiga verksamhetsutövare 7 miljoner euro eller 1,4 procent. Till det kommer ledningens personliga ansvar och den affärsmässiga skadan av en illa hanterad incident.
Kostnaden för att komma igång är i de flesta fall en bråkdel av detta. Att vänta är det som blir dyrt.
Så hjälper Aquil
Aquil är byggt för exakt det här arbetssättet: AI-stödd generering av policyer och rutiner anpassade till er verksamhet, gap-analys mot ramverk som NIS2, ISO 27001 och GDPR, processer som faktiskt går att köra och följa upp, och revisionsplanering som håller ledningssystemet levande mellan tillsynerna. Ni svarar på frågor om er organisation. Plattformen gör skrivarbetet och håller strukturen.
Observera att detta är praktisk vägledning, inte juridisk rådgivning. Stäm alltid av tillämpligheten och detaljkraven mot lagtexten, er sektorsmyndighet och vid behov juridisk expertis.