Aquil
Kostnadsfritt verktyg

Omfattas ni av NIS2 och cybersäkerhetslagen?

Cybersäkerhetslagen gäller sedan den 15 januari 2026. Nio frågor och ungefär två minuter ger er ett rakt besked: om ni omfattas, om ni räknas som väsentlig eller viktig verksamhetsutövare, och vad det faktiskt innebär för er.

  • Cirka två minuter
  • Inget konto, och ingen e-post krävs för resultatet
  • Kostnadsfritt, och förblir så

Fråga 1 av 9

Inom vilken sektor är ni verksamma?

NIS2 pekar ut arton sektorer. Välj den som bäst beskriver vad er organisation faktiskt gör. Passar ingen är det ett fullgott svar i sig.

Är ni ett offentligt organ?

Cybersäkerhetslagen når offentliga organ genom en egen regel, helt utan storlekskrav. Därför spelar det här roll även om ni svarade en sektor ovan i stället för offentlig förvaltning.

Cybersäkerhetslagen: datumen som gäller

Sverige genomförde NIS2 genom cybersäkerhetslagen (2025:1506). Kraven kom i etapper.

  1. 2026-01-15Lagen träder i kraft.
  2. 2026-02-02Registreringen hos NCSC öppnar. Verksamhetsutövare som omfattas registrerar sig så snart som möjligt från det här datumet, inte till en senare deadline.
  3. 2026-07-01Föreskrifterna om incidentrapportering börjar gälla. Klockorna på 24 timmar, 72 timmar och 30 dagar börjar ticka.
  4. 2026-10-01Föreskrifterna om säkerhetsåtgärder, utbildning av ledningen och säkerhetsrevision börjar gälla. Det är den milstolpe de flesta arbetar mot.

Vanliga frågor

Vilka omfattas egentligen av cybersäkerhetslagen?
Organisationer som är verksamma i någon av de arton sektorer NIS2 pekar ut och som når upp till tröskeln för medelstora företag: minst 50 anställda eller en omsättning över 10 miljoner euro. Ett fåtal verksamheter omfattas oavsett storlek, bland andra DNS- och toppdomänoperatörer, tillhandahållare av betrodda tjänster och leverantörer av allmänna elektroniska kommunikationstjänster. Siffrorna mäts på hela koncernen när ett moderbolag kontrollerar organisationen, så ett litet dotterbolag i en stor koncern räknas som stort. Tillsynsmyndigheter kan dessutom peka ut enskilda organisationer som faller utanför huvudregeln.
Gäller NIS2 för ett dotterbolag i en stor koncern?
Ofta ja, och då utifrån koncernens siffror i stället för dotterbolagets egna. NIS2 använder EU:s definition av medelstort företag, och artikel 6 i den definitionen lägger ett kontrollerande moderbolags antal anställda och omsättning till dotterbolagets innan gränsvärdena tillämpas. Artikel 6.3 lägger sedan till de bolag som är knutna till moderbolaget, så systerbolagen räknas med: ett holdingbolag med tre anställda som äger flera stora rörelsedrivande bolag för hela koncernen över gränsen trots att moderbolaget i sig är litet. Ett dotterbolag med tjugo anställda i en koncern med fyra tusen är alltså ett stort företag i lagens mening, så verkar det i någon av de arton sektorerna omfattas det, och i en sektor ur bilaga 1 är det väsentlig verksamhetsutövare. Vad moderbolaget självt sysslar med spelar ingen roll för detta: er sektor avgörs av vad ni gör, och det är bara storlekssiffrorna som vandrar uppåt i koncernen. Ett minoritetsinnehav på 25 till 50 procent räknas bara proportionellt, och vissa ägare, till exempel riskkapitalfonder, universitet och mindre kommuner, gör att bolaget ändå räknas som fristående. Ligger dotterbolagets egen verksamhet utanför de arton sektorerna omfattas det inte, men ett koncernbolag som omfattas måste säkra sina leverantörer, och det når i praktiken koncernens gemensamma servicebolag via avtalet.
Vad skiljer en väsentlig från en viktig verksamhetsutövare?
Säkerhetskraven är desamma. Tillsynen och sanktionerna är det inte. Väsentliga verksamhetsutövare står under proaktiv tillsyn och har ett sanktionstak på 2 % av den globala omsättningen eller 10 miljoner euro. Viktiga verksamhetsutövare får reaktiv tillsyn och ett tak på 1,4 % eller 7 miljoner euro. Stora organisationer i bilaga 1-sektorerna är väsentliga; de flesta andra som omfattas är viktiga.
Vilka rapporteringstider gäller?
Tidig varning inom 24 timmar från att ni fick kännedom om en betydande incident, en fylligare incidentanmälan inom 72 timmar och en slutrapport inom en månad. Vissa sektorer har snävare tider: sex timmar för statliga myndigheter enligt beredskapsförordningen och 24 timmar för tillhandahållare av betrodda tjänster.
Vad händer om vi inte gör något?
Sanktionsavgifterna går upp till 2 % av den globala årsomsättningen eller 10 miljoner euro för väsentliga verksamhetsutövare, beroende på vilket som är högst, och 1,4 % eller 7 miljoner euro för viktiga. Utöver pengarna gör NIS2 ledningen ansvarig för att godkänna och följa upp riskhanteringsåtgärderna, och det ansvaret är personligt.
Vi har redan ISO 27001. Är vi klara då?
Det är ett rejält försprång, inte en målgång. Ett ledningssystem enligt ISO 27001 täcker det mesta av vad NIS2 kräver inom riskhantering, behörighetsstyrning, kryptering och kontinuitet. Det ni inte får på köpet är registreringsskyldigheten, de lagstadgade rapporteringstiderna eller de specifika kraven på utbildning och ansvar för ledningen. De behöver läggas till medvetet.

Testet tillämpar huvudreglerna i cybersäkerhetslagen (2025:1506) och NIS2-direktivet på de svar ni gav. Det ser inte de nationella undantagen, individuella utpekanden eller sektorsspecifika regler som avgör gränsfallen, och det är inte en rättslig bedömning. Stäm av er status med er tillsynsmyndighet, eller med Nationellt cybersäkerhetscenter (NCSC) om ni är osäkra på vem som utövar tillsyn över er.