Skillnaden mellan NIS2 och ISO 27001: krav för krav

NIS2 är EU:s direktiv om en hög gemensam cybersäkerhetsnivå. Sverige genomförde det genom cybersäkerhetslagen, som gäller sedan den 15 januari 2026. Lagen kräver riskhanteringsåtgärder (2 kap. 3 §), att ledningen godkänner dem och utbildas (2 kap. 4 §), anmälan till Nationellt cybersäkerhetscenter (NCSC) och rapportering av betydande incidenter inom fasta tidsfrister. Bakom kraven står tillsyn och sanktionsavgifter.

Kraven fasades in under året. Anmälningsplikten gäller sedan den 2 februari och incidentrapporteringen sedan den 1 juli. Den 1 oktober började föreskrifterna om säkerhetsåtgärder och ledningens utbildning att gälla. Sedan den 1 juli är det NCSC som tar emot anmälningarna.

Vet ni inte om lagen gäller er kommer den frågan först, eftersom den avgör allt annat. Vårt kostnadsfria NIS2-test tar nio frågor och visar om ni omfattas, om ni är väsentlig eller viktig verksamhetsutövare och vilka lagrum beskedet vilar på. Gränsfallen, som koncerner och kommuner, går vi igenom i omfattas vi av NIS2?

ISO/IEC 27001 är den internationella standarden för ledningssystem för informationssäkerhet (ISMS). Den är riskbaserad: ni identifierar era risker och väljer kontroller ur bilaga A (93 stycken i 2022 års version), och driver systemet enligt ledningssystemkraven i kapitel 4–10. Standarden är frivillig, men en certifiering är det etablerade sättet att visa kunder och partners att säkerhetsarbetet håller. Vi har skrivit en steg-för-steg-guide till certifieringen.

Ställda bredvid varandra skiljer de sig på fem punkter:

• Rättslig status: cybersäkerhetslagen är tvingande för dem som omfattas. ISO 27001 är ett frivilligt åtagande.
• Vem den gäller: lagen pekar ut sektorer och storleksgränser. Standarden kan vem som helst anta.
• Konsekvenser: lagen backas av tillsyn och sanktionsavgifter i miljonklassen, standarden ”bara” av förlorat certifikat och förlorade affärer.
• Incidentrapportering: lagen kräver rapportering till myndighet med fasta tidsfrister (24 timmar, 72 timmar, en månad). Standarden kräver en incidentprocess men sätter inga myndighetsfrister.
• Detaljnivå: lagen säger vad som ska uppnås. ISO 27001 ger metoden och strukturen för att driva arbetet över tid.

2 kap. 3 § cybersäkerhetslagen genomför artikel 21.2 i NIS2, som räknar upp tio områden, a till j. Listan ställer varje område mot de delar av ISO 27001 som täcker det helt eller delvis, enligt den mappning vi använder i Aquil. Med kapitel avses ledningssystemkraven i kapitel 4–10, med A. kontrollerna i bilaga A.

Vi anger bara kontrollernas nummer. Texten i ISO/IEC 27001 är upphovsrättsskyddad och säljs i Sverige av SIS, så har ni standarden slår ni upp numren där. Kommentaren efter varje rad är vår egen och beskriver var vi ser skillnaden.

• a) Riskanalys och policyer för informationssäkerhet. Motsvaras av kapitel 6.1.1, 6.1.2 och 6.1.3 samt A.5.1 och A.5.7. Riskbedömningen och riskbehandlingen i kapitel 6 täcker kärnan. Lagen lägger till allriskperspektivet: fysiska och miljömässiga hot som brand och strömavbrott ska in i samma analys som cyberhoten.
• b) Incidenthantering. Motsvaras av A.5.24, A.5.25, A.5.26, A.5.27, A.5.28, A.8.15 och A.8.16. Detektering och klassificering av incidenter täcks helt. Det som saknas är lagens definition av betydande incident, alltså tröskeln som startar rapporteringsklockan.
• c) Driftskontinuitet, säkerhetskopiering och krishantering. Motsvaras av A.5.29, A.5.30 och A.8.13. Säkerhetskopiering och återställning täcks helt. Krishanteringen är tunnare, och där behöver de flesta lägga till en krisorganisation med mandat och tydliga kriterier för när den aktiveras vid en cyberkris.
• d) Leveranskedjans säkerhet. Motsvaras av A.5.19, A.5.20, A.5.21 och A.5.22. Säkerhetskrav i avtal och uppföljning av leverantörer täcks helt. Det som tillkommer är beroendeanalysen, var en enskild leverantör är en felpunkt för hela verksamheten, och de samordnade riskbedömningar av kritiska leveranskedjor som EU gör enligt artikel 22.
• e) Säkerhet vid anskaffning, utveckling och underhåll, inklusive sårbarhetshantering. Motsvaras av A.8.8, A.8.19, A.8.25, A.8.26, A.8.27, A.8.28, A.8.29 och A.8.32. Säker utveckling och patchning finns i bilaga A. Lagen lägger mer vikt vid anskaffningsfasen och vid samordnat offentliggörande av sårbarheter, också sådana ni hittar i andras produkter.
• f) Bedömning av åtgärdernas effektivitet. Motsvaras av kapitel 9.1, 9.2, 10.1 och 10.2 samt A.5.35 och A.5.36. Här är överlappet störst. Mätning, internrevision och ständig förbättring är själva ledningssystemet, och alla tre krav i vår uppdelning är fullt täckta. Vill ni kunna visa att åtgärderna fungerar i praktiken, komplettera revisionsprogrammet med tekniska tester.
• g) Cyberhygien och utbildning. Motsvaras av A.5.10, A.5.17, A.6.3, A.8.1 och A.8.7. Medvetenhetsutbildningen för personalen täcks. Ledningens egen utbildning är ett separat krav i 2 kap. 4 § och tas upp i nästa avsnitt.
• h) Kryptografi och kryptering. Motsvaras av A.8.24. Ett område, en kontroll. Den punkt vi bedömer som delvis täckt är nyckelhanteringen genom hela livscykeln, från generering till destruktion.
• i) Personalsäkerhet, åtkomstkontroll och hantering av tillgångar. Motsvaras av A.5.9, A.5.15, A.5.16, A.5.18, A.6.1, A.6.2, A.6.5, A.8.2, A.8.3 och A.8.18. Det område bilaga A täcker mest fullständigt, med fyra av fem krav fullt täckta. Undantaget är privilegierad åtkomst, där vi rekommenderar tidsbegränsade behörigheter och loggade sessioner för administratörskonton.
• j) Flerfaktorsautentisering, säker kommunikation och nödkommunikation. Motsvaras av A.5.14, A.5.17 och A.8.5. Det svagaste området. Lagen nämner flerfaktorsautentisering uttryckligen, medan ISO 27001 lämnar valet av autentiseringsmetod åt er riskbedömning. Säkrad nödkommunikation saknar egentlig motsvarighet, och inget av de fyra kraven här bedömer vi som fullt täckt.

Räknat på mappningen ser det ut så här. Vi delar upp artikel 21.2 i 40 krav. 21 av dem bedömer vi som fullt täckta av ett kapitel eller en kontroll i ISO 27001, 17 som delvis täckta och 2, båda under punkt j, som bara närliggande. Därifrån kommer siffran 38 av 40, och den gäller bara om delvis täckt räknas som täckt. Räkna de 17 delvisa som arbete som återstår.

Tar man med hela NIS2, alltså även ledningens ansvar, incidentrapporteringen, certifiering och informationsdelning, blir det 57 krav i vår uppdelning: 22 fullt täckta, 23 delvis, 11 närliggande och 1 utan motsvarighet. Den största enskilda luckan är rapporteringen till myndighet. Inget av de sex rapporteringskraven når längre än närliggande i ISO 27001, och ett saknar motsvarighet helt.

Mappningen är vår bedömning och ingen officiell tabell från NCSC eller ISO. I Aquil visas den som information och markerar aldrig något som uppfyllt. Den bedömningen gör ni.

Ett certifikat gör er inte laguppfyllande på köpet. Fem saker kräver lagen som standarden aldrig ber om:

• Anmälan till NCSC (2 kap. 2 §). Den som omfattas ska anmäla sig så snart det kan ske, och plikten har gällt sedan den 2 februari 2026. Har ni inte anmält er ännu ligger ni redan efter.
• Rapporteringskedjan (2 kap. 5–8 §§). En betydande incident rapporteras i steg: tidig varning inom 24 timmar från att ni fick kännedom om den, incidentanmälan inom 72 timmar och slutrapport inom en månad. Vissa sektorer har snävare frister, till exempel sex timmar för statliga myndigheter enligt beredskapsförordningen. ISO 27001 kräver att ni hanterar incidenter men sätter ingen klocka mot någon myndighet.
• Ledningens godkännande och utbildning (2 kap. 4 §). Ledningsorganet ska själv godkänna riskhanteringsåtgärderna och gå utbildning i cybersäkerhet, och ledningen kan hållas personligt ansvarig. Kapitel 5 i ISO 27001 kräver ledningens engagemang, men varken utbildning av styrelsen eller ett personligt ansvar.
• Tillsyn (3 kap.). Tillsynsmyndigheten för er sektor granskar er, till exempel PTS för digital infrastruktur eller Transportstyrelsen för transport. En väsentlig verksamhetsutövare står under proaktiv tillsyn, där myndigheten kan granska utan att något har hänt. En viktig får reaktiv tillsyn, när något tyder på brister.
• Sanktioner (4 kap. 10 §). Sanktionsavgiften kan bli upp till 2 procent av den globala årsomsättningen eller 10 miljoner euro för väsentliga verksamhetsutövare och 1,4 procent eller 7 miljoner euro för viktiga, beroende på vilket som är högst.

Det är två olika granskare med olika befogenheter. En ISO 27001-certifiering granskas av ett ackrediterat certifieringsorgan som ni själva väljer och betalar. Certifikatet gäller i tre år, med en uppföljningsrevision år ett och år två och en omcertifiering år tre. Värsta utfallet är att certifikatet dras in.

Tillsynen enligt cybersäkerhetslagen utövas av en myndighet ni inte väljer. Den kan förelägga er att rätta brister och ta ut sanktionsavgift, och för en väsentlig verksamhetsutövare behöver den ingen incident som anledning. Sedan den 1 oktober finns dessutom föreskrifter om säkerhetsrevisioner och säkerhetsskanningar. Kort sagt bedömer revisorn ert ledningssystem mot en standard, och tillsynsmyndigheten bedömer om ni följer lagen.

Nej. Varken NIS2 eller cybersäkerhetslagen kräver en ISO 27001-certifiering. Lagen kräver åtgärderna, och hur ni visar dem är upp till er. Direktivet uppmuntrar samtidigt användning av europeiska och internationella standarder (artikel 25), och ett certifierat ledningssystem är det mest etablerade sättet att visa en tillsynsmyndighet att arbetet sker systematiskt.

Kravet på certifikat kommer oftare från kunderna. Upphandlingar och leverantörsavtal ställer det allt oftare, särskilt hos kunder som själva omfattas av lagen och därför måste säkra sin leveranskedja.

Ja, och det är så vi rekommenderar att ni gör. En separat NIS2-pärm bredvid ert ISMS innebär att samma arbete görs två gånger och att ingen av dem hålls aktuell. Bygg ledningssystemet enligt ISO 27001, med en riskbedömning och en Statement of Applicability, och lägg till det som är specifikt för lagen: anmälan, en rapporteringsrutin med lagens tröskel för betydande incident, ledningens utbildning och allriskperspektivet i riskanalysen.

I Aquil gör ni gap-analysen mot båda ramverken i samma verktyg, och ramverksmappningarna visar hur det som redan finns för ISO 27001 går igen i NIS2. NIS2 ingår i den kostnadsfria nivån, så den delen kan ni börja med utan att betala.

Det här är praktisk vägledning. Detaljkraven stämmer ni av mot lagtexten och er tillsynsmyndighet.