Cybersäkerhetslagen: NIS2-checklista inför 1 oktober
Den 1 oktober 2026 träder cybersäkerhetslagens föreskrifter om säkerhetsåtgärder och ledningens utbildning i kraft, tillsammans med föreskrifterna om säkerhetsrevisioner och säkerhetsskanningar. Det är den sista stora milstolpen i årets infasning, och den som kräver mest förarbete. Själva lagen, den svenska implementeringen av EU:s NIS2-direktiv, gäller sedan den 15 januari 2026, och jämfört med den gamla NIS-lagen breddas tillämpningsområdet kraftigt: fler sektorer, fler verksamheter och tydligare krav på att ledningen tar ansvar för informationssäkerheten.
För många organisationer är det här första gången informationssäkerhet blir en uttrycklig lagfråga snarare än en IT-fråga. Den goda nyheten: kraven är inte mystiska. De handlar om systematiskt riskarbete och dokumenterade rutiner, och om förmågan att upptäcka och rapportera incidenter, alltså sådant ett fungerande ledningssystem redan gör.
Cybersäkerhetslagens datum 2026
Infasningen i korthet, enligt Nationellt cybersäkerhetscentrets (NCSC) tidsplan:
- 15 januari 2026: cybersäkerhetslagen och cybersäkerhetsförordningen träder i kraft.
- 2 februari 2026: anmälningsplikten börjar gälla och anmälningstjänsten öppnar. Anmälan ska göras så snart det kan ske.
- 1 juli 2026: föreskrifterna om incidentrapportering och informationsskyldighet träder i kraft. Från samma datum tar NCSC emot anmälningarna.
- 1 oktober 2026: föreskrifterna om säkerhetsåtgärder och ledningens utbildning träder i kraft, liksom föreskrifterna om säkerhetsrevisioner och säkerhetsskanningar.
Omfattas ni av cybersäkerhetslagen?
Lagen pekar ut ett stort antal sektorer, bland annat energi, transport, hälso- och sjukvård, dricksvatten, digital infrastruktur, offentlig förvaltning, post, avfallshantering, livsmedel och delar av tillverkningsindustrin. Verksamheterna delas in i väsentliga och viktiga verksamhetsutövare, med något olika tillsyn men i grunden samma säkerhetskrav.
Huvudregeln är att medelstora och större verksamheter i de utpekade sektorerna omfattas (i regel från 50 anställda eller cirka 10 miljoner euro i omsättning), men vissa verksamheter omfattas oavsett storlek. Verksamheter som omfattas ska också anmäla sig till Nationellt cybersäkerhetscentret (NCSC), som har tagit över anmälningarna från MSB.
Vill ni ha ett första besked på ett par minuter: gör vårt kostnadsfria NIS2-test. Sju frågor, inget konto, och ni får tillbaka om ni omfattas, om ni räknas som väsentlig eller viktig verksamhetsutövare och vilka krav det utlöser, med hänvisning till de regler bedömningen bygger på. Testet ersätter inte en juridisk bedömning: kontrollera mot lagtexten och er sektorsmyndighet, och dokumentera bedömningen oavsett utfall.
Checklistan: sex steg mot efterlevnad
Så här strukturerar ni arbetet, i den ordning som ger effekt snabbast:
- 1. Avgör om ni omfattas och anmäl er. Gör en dokumenterad tillämplighetsbedömning (NIS2-testet ger er utgångspunkten på två minuter) och anmäl verksamheten till Nationellt cybersäkerhetscentret (NCSC) om ni träffas av lagen. Anmälan skulle göras så snart det kunde ske efter den 2 februari 2026, så en verksamhet som omfattas men ännu inte anmält sig ligger redan efter.
- 2. Förankra ansvaret i ledningen. Ledningsorganet ska godkänna riskhanteringsåtgärderna och genomgå utbildning. Ansvaret kan inte delegeras bort till IT, och kraven träder i kraft den 1 oktober 2026.
- 3. Gör en riskanalys och en gap-analys. Jämför ert nuläge mot lagens riskhanteringsåtgärder: policyer för riskanalys, incidenthantering, kontinuitet och krishantering, leverantörskedjans säkerhet, säker utveckling och drift, kryptografi, cyberhygien och utbildning, personalsäkerhet, åtkomstkontroll och multifaktorautentisering.
- 4. Etablera en incidentrapporteringsprocess. Betydande incidenter ska rapporteras i steg: tidig varning inom 24 timmar, incidentanmälan inom 72 timmar och en slutrapport inom en månad. Kraven gäller sedan den 1 juli 2026, och de kräver att ni kan upptäcka, klassificera och eskalera incidenter. I praktiken en övad rutin, inte ett dokument.
- 5. Dokumentera allt i ett levande ledningssystem. Kraven förutsätter dokumenterade policyer, processer och bevis. Ett ISMS enligt ISO 27001 är den etablerade ryggraden. Bygger ni det ordentligt får ni det mesta av cybersäkerhetslagens riskhanteringskrav på köpet. Så hänger NIS2 och ISO 27001 ihop. Siktar ni även på certifikatet: så blir ni ISO 27001-certifierade.
- 6. Håll det aktuellt. Schemalägg granskningar och interna revisioner, mät att åtgärderna fungerar och uppdatera när verksamheten förändras. Tillsynen tittar på hur systemet levde förra året, inte hur pärmen såg ut vid certifieringen.
Vad händer om man inte agerar?
Cybersäkerhetslagen ger tillsynsmyndigheterna skarpa verktyg: förelägganden och sanktionsavgifter som för väsentliga verksamhetsutövare kan uppgå till 10 miljoner euro eller 2 procent av den globala årsomsättningen; för viktiga verksamhetsutövare 7 miljoner euro eller 1,4 procent. Till det kommer ledningens personliga ansvar och den affärsmässiga skadan av en illa hanterad incident.
Kostnaden för att komma igång är i de flesta fall en bråkdel av detta. Att vänta är det som blir dyrt.
Så hjälper Aquil
Aquil är byggt för exakt det här arbetssättet: AI-stödd generering av policyer och rutiner anpassade till er verksamhet, gap-analys mot ramverk som NIS2, ISO 27001 och GDPR, processer som faktiskt går att köra och följa upp, och revisionsplanering som håller ledningssystemet levande mellan tillsynerna. Ni svarar på frågor om er organisation. Plattformen gör skrivarbetet och håller strukturen.
Observera att detta är praktisk vägledning, inte juridisk rådgivning. Stäm alltid av tillämpligheten och detaljkraven mot lagtexten, er sektorsmyndighet och vid behov juridisk expertis.