Cybersäkerhetslagen.NIS2 på svenska.
Cybersäkerhetslagen är Sveriges genomförande av EU:s NIS2-direktiv och gäller sedan 15 januari 2026. Den kräver att medelstora och stora verksamheter i utpekade sektorer anmäler sig, skyddar sina it-system, rapporterar allvarliga incidenter och utbildar ledningen. Omfattas ni inte själva ställer era kunder ändå krav på er som leverantör.
Vad regeln kräver
Det här gäller.
Vem som berörs.
Lagen gäller verksamheter i 18 sektorer, bland annat energi, transporter, dricksvatten, avfallshantering, livsmedel, post och bud samt tillverkning av elektronik, elutrustning, maskiner och fordon. Den gäller i regel från medelstora företag och uppåt. Den som omfattas är antingen väsentlig eller viktig verksamhetsutövare. Stora företag i de mest kritiska sektorerna blir väsentliga, övriga blir viktiga.
Anmälan.
Den som omfattas ska anmäla sig så snart det kan ske. Anmälan har kunnat göras sedan 2 februari 2026 och tas sedan 1 juli 2026 emot av Nationellt cybersäkerhetscenter (NCSC) vid FRA. Ändrade uppgifter ska anmälas senast 14 dagar efter ändringen.
Säkerhetsåtgärder.
Ni ska vidta lämpliga och proportionella åtgärder utifrån ett allriskperspektiv. Lagen räknar upp tio områden, bland annat riskanalys, incidenthantering, kontinuitet, säkerhet i leveranskedjan, åtkomstkontroll och utbildning. Detaljerade föreskrifter (MCFFS 2026:11) gäller från 1 oktober 2026.
Incidentrapportering.
En betydande incident ska rapporteras senast 24 timmar efter att ni fått kännedom om den. En incidentanmälan ska lämnas senast 72 timmar efter kännedom och en slutrapport senast en månad efter anmälan. Rapporten går till NCSC.
Ledningens ansvar.
Ledningen ska genomgå utbildning om säkerhetsåtgärder. Enligt de nya föreskrifterna ska ledningen också fastställa mål, avsätta resurser och få information om cybersäkerheten minst en gång per år. I väsentliga företag kan en befattningshavare förbjudas att inneha en ledningsfunktion vid allvarliga överträdelser.
Var tiden går
Tiden går åt till att veta vad ni har, vem som levererar vad och att kunna visa det när någon frågar.
Förteckningar över system och leverantörer, riskanalyser och avtal ligger ofta utspridda. När en incident inträffar ska ett underlag fram inom ett dygn. Och kunderna skickar egna frågeformulär om er säkerhet, ett i taget.
Så hjälper AI
Mindre handpåläggning. Samma krav.
Förteckningar som hålls aktuella.
AI går igenom avtal, fakturor och systemlistor i er egen miljö och föreslår en förteckning över system och leverantörer. Ni granskar och godkänner. Förändringar flaggas när nya avtal eller system dyker upp.
Incidentunderlag i tid.
När något händer samlar AI ihop loggar, tidslinje och påverkan i en mall som följer rapportstegen. Den ansvarige får ett utkast att granska före gränserna vid 24 och 72 timmar, och slutrapporten byggs på samma underlag.
Svar på kundernas säkerhetsfrågor.
Kunder som omfattas skickar frågeformulär och avtalskrav till er som leverantör. AI hämtar svaren ur era egna rutiner och tidigare svar och markerar det som saknas. Någon hos er äger och skickar svaret.
Ledningens årliga genomgång.
AI sammanställer riskbild, incidenter, leverantörsläge och öppna åtgärder till ett underlag för ledningen. Beslut och åtgärder dokumenteras och följs upp till nästa genomgång.
Frågor
Det ni brukar undra.
Vi är ett litet installationsföretag. Berörs vi?
Vem avgör om vi omfattas?
Vad händer om vi inte följer lagen?
Kan AI se till att vi följer lagen?
Berör
Källor
- Cybersäkerhetslag (2025:1506), riksdagen.se
- NCSC: Att anmäla en verksamhet
- NCSC: Rapportera en betydande incident enligt cybersäkerhetslagen
- MCFFS 2026:11 om säkerhetsåtgärder och ledningens utbildning
- NCSC: Omfattas verksamheten av cybersäkerhetslagen
Senast kontrollerad 23 september 2026. Sidan förklarar regeln i klartext och är inte juridisk rådgivning. Läs alltid källan och stäm av med er jurist.