Omfattas vi av NIS2? Så avgör ni det

Lagen prövas i två steg. Först sektorn. NIS2 räknar upp elva sektorer med särskilt kritisk verksamhet i bilaga 1, bland dem energi, transport, bank, hälso- och sjukvård, dricksvatten, digital infrastruktur och offentlig förvaltning, och sju andra kritiska sektorer i bilaga 2, som post, avfallshantering, livsmedel, tillverkning och forskning. Vilken sektor ni tillhör avgörs av vad ni själva gör (1 kap. 4 §).

Sedan storleken. Lagen använder EU:s definition av små och medelstora företag, rekommendation 2003/361/EG. Medelstort börjar vid 50 anställda eller en omsättning över 10 miljoner euro, stort vid 250 anställda eller över 50 miljoner euro. Definitionen har också ett test på balansomslutning som kan flytta ett gränsfall ett steg nedåt, så ligger ni nära en gräns är det värt att räkna på det också.

Mikro- och småföretag i de utpekade sektorerna omfattas alltså normalt inte. Normalt, eftersom en tillsynsmyndighet kan peka ut en mindre verksamhet individuellt.

För några verksamheter spelar storleken ingen roll för om lagen gäller (1 kap. 5 §): toppdomänregister och DNS-leverantörer, tillhandahållare av betrodda tjänster och leverantörer av allmänna elektroniska kommunikationsnät eller kommunikationstjänster. Storleken kan däremot fortfarande avgöra vilken klass de hamnar i, se avsnittet om väsentlig och viktig nedan.

Det finns också en regel för den som är ensam leverantör i Sverige av en tjänst som samhällsviktig eller ekonomisk verksamhet är beroende av. Den tar bort storlekströskeln, men bara för verksamheter i en sektor som lagen redan pekar ut, och det är normalt tillsynsmyndigheten som avgör om den gäller. Ett bolag kan inte bedöma in sig självt.

Det här är regeln en förenklad läsning missar. Storleken prövas inte på den juridiska personen ensam. Artikel 6 i EU-rekommendationen lägger ett kontrollerande moderbolags anställda och omsättning till dotterbolagets innan gränserna tillämpas, och artikel 6.3 lägger dessutom till de bolag som är knutna till moderbolaget. Systerbolagen räknas alltså med.

Två exempel. Ett dotterbolag med 20 anställda i en koncern med 4 000 anställda är ett stort företag i lagens mening, och verkar det i en sektor ur bilaga 1 är det väsentlig verksamhetsutövare. Ett holdingbolag med tre anställda som äger flera stora rörelsedrivande bolag tar på samma sätt hela koncernen över gränsen, trots att moderbolaget självt ser litet ut.

Innehav på mellan 25 och 50 procent räknas proportionellt (artikel 6.2). En ägare med 40 procent och tusen anställda tillför alltså fyrahundra till er summa. Vissa ägare räknas inte in alls. Riskkapitalfonder, universitet och mindre kommuner gör enligt artikel 3.2 att bolaget räknas som fristående även vid innehav upp till 50 procent.

Sektorn fungerar tvärtom och vandrar aldrig uppåt i en koncern. Ett servicebolag i en energikoncern blir inte energiföretag för att moderbolaget är det, och ligger er egen verksamhet utanför de arton sektorerna omfattas ni inte, hur stor koncernen än är. Kraven kan ändå nå er. Ett koncernbolag som omfattas måste säkra sina leverantörer (2 kap. 3 §), och ett gemensamt servicebolag för IT eller ekonomi är den första leverantören det tittar på. Då kommer kraven som en avtalsklausul och ett säkerhetsformulär. Någon anmälningsplikt får ni inte.

En detalj för kommunalt och regionalt ägda bolag: EU-rekommendationen säger att ett företag där offentliga organ kontrollerar 25 procent eller mer inte räknas som litet eller medelstort (artikel 3.4). Cybersäkerhetslagen sätter uttryckligen den regeln åt sidan i sin definition av medelstort företag (1 kap. 2 §), så det offentliga ägandet ändrar inte storleksklassen.

Offentliga organ når lagen genom en egen väg, 1 kap. 3 §, och den saknar storlekskrav. Den omfattar varje region, kommun och kommunalförbund. Den omfattar också statliga myndigheter med befogenhet att fatta beslut om gränsöverskridande rörlighet för personer, varor, tjänster eller kapital, till exempel inom migration, tull och bolagsregistrering.

En liten kommun omfattas alltså. Den som läser lagen som om huvudregelns storlekströskel gällde även här får svaret att kommunen ligger under gränsen, och det är fel. Vilken klass kommunen hamnar i följer däremot av storleken. 1 kap. 9 § gör en kommun eller region till väsentlig verksamhetsutövare först när den är större än ett medelstort företag, och en mindre kommun är viktig verksamhetsutövare, med samma säkerhetskrav men reaktiv tillsyn. En statlig myndighet som omfattas genom 3 § är alltid väsentlig.

Regeln utgår från vad organisationen är. En kommun som driver sitt eget vattenverk omfattas genom 3 § vilken sektor den än anser sig tillhöra. Ett kommunalt bolag är en egen juridisk person och prövas enligt huvudregeln, med sektor och storlek.

Några offentliga organ står helt utanför lagen: regeringen, Regeringskansliet, domstolarna och myndigheterna under riksdagen (1 kap. 14 §), liksom statliga myndigheter som till övervägande del bedriver säkerhetskänslig eller brottsbekämpande verksamhet (1 kap. 12 §). Cybersäkerhetsförordningen kan dessutom peka ut fler organ. Är ni en myndighet som inte passar in i någon av kategorierna, stäm av med er tillsynsmyndighet.

Säkerhetskraven är desamma i båda klasserna. Det som skiljer är tillsynen och sanktionerna. En väsentlig verksamhetsutövare står under proaktiv tillsyn, där myndigheten kan granska utan att något har hänt, och sanktionstaket är 2 procent av den globala årsomsättningen eller 10 miljoner euro. En viktig får reaktiv tillsyn och ett tak på 1,4 procent eller 7 miljoner euro. I båda fallen gäller det belopp som är högst.

Klassen avgörs av 1 kap. 9 §. Väsentliga är:

• stora företag (250 anställda eller fler, eller över 50 miljoner euro i omsättning) i en sektor ur bilaga 1
• statliga myndigheter som omfattas genom 3 §, oavsett storlek
• kommuner och regioner som är större än ett medelstort företag
• toppdomänregister, DNS-leverantörer och kvalificerade tillhandahållare av betrodda tjänster, oavsett storlek
• leverantörer av allmänna elektroniska kommunikationsnät eller kommunikationstjänster som är minst medelstora

Lagen tar också helt eller delvis bort vissa verksamheter som sektor och storlek annars hade fört in. Finansiella entiteter som omfattas av DORA är fortfarande verksamhetsutövare och ska fortfarande anmäla sig, men säkerhetsåtgärderna, ledningens utbildning och incidentrapporteringen kommer i stället från DORA, med rapportering till Finansinspektionen (1 kap. 11 §). Den som har undantagits från DORA enligt förordningens artikel 2.4 omfattas inte alls.

1 kap. 10 § gör dessutom att en annan författning med minst likvärdiga krav kan gälla i stället. Den bedömningen kräver en jämförelse av två regelverk, och den kan inget kort test göra åt er.

Den som omfattas ska anmäla sig till Nationellt cybersäkerhetscenter (NCSC) så snart det kan ske (2 kap. 2 §). Anmälningsplikten har gällt sedan den 2 februari 2026, och sedan den 1 juli är det NCSC som tar emot anmälningarna. Formulär och instruktioner finns på ncsc.se. Har ni inte anmält er ännu ligger ni efter.

Tillsynen sköts av myndigheten för er sektor, till exempel PTS för digital infrastruktur och Transportstyrelsen för transport. Stäm av med den myndigheten om ni är osäkra på bedömningen, och med NCSC om ni inte vet vem som utövar tillsyn över er.

Därefter gäller kraven i sin helhet: riskhanteringsåtgärder enligt 2 kap. 3 §, ledningens godkännande och utbildning enligt 2 kap. 4 § och rapportering av betydande incidenter inom 24 timmar, 72 timmar och en månad. Vår checklista för cybersäkerhetslagen går igenom arbetet steg för steg, och skillnaden mellan NIS2 och ISO 27001 visar krav för krav hur mycket av det ett ISMS redan täcker.

Ett nej är också värt att dokumentera. Skriv ner bedömningen med den sektor och storlek ni utgick från, och ta med koncernen. En tillsynsmyndighet kan fråga, och en verksamhet som växer eller köps upp av en större koncern kan passera gränsen utan att någon märker det.

Tänk också på kunderna. Den som omfattas måste säkra sin leveranskedja, så säljer ni till någon som omfattas kommer frågorna om riskanalys, behörigheter och incidentrutiner ändå, via avtalet. Den kostnadsfria nivån i Aquil innehåller hela NIS2-bedömningen, och den fungerar lika bra för att svara en kund som för att förbereda er inför en tillsyn.

Allt ovan följer cybersäkerhetslagen (2025:1506) och NIS2-direktivet som de lyder i oktober 2026, och det är samma regler som NIS2-testet tillämpar. Texten är vägledning för en första bedömning. I gränsfall gäller lagtexten och tillsynsmyndighetens bedömning, och då kan det vara värt att ta in juridisk hjälp.