Om du arbetar med IT, säkerhet eller regelefterlevnad i Sverige har du förmodligen redan sett budskapen: ”NIS2 börjar gälla den 1 oktober.” ”Förberedelseperioden är över.” ”Bristande efterlevnad kan nu kosta miljoner.”
En del av detta stämmer. En del gör det inte, och skillnaden spelar roll. Om du tror att lagen ”börjar” gälla den 1 oktober kan du redan ligga efter med skyldigheter som har gällt sedan januari.
Här är vad som faktiskt händer och vad du behöver göra, oavsett om du har förberett dig sedan dag ett eller först nu börjar uppmärksamma frågan.
Viktiga slutsatser
• NIS2 började inte gälla den 1 oktober. Sveriges cybersäkerhetslag trädde i kraft den 15 januari 2026. Organisationer som omfattas har sedan dess redan behövt registrera sig hos Myndigheten för civilt försvar (MCF) och kunna visa att de arbetar med riskhantering.
• Det som faktiskt händer den 1 oktober 2026 är att MCF:s kompletterande föreskrifter om säkerhetsåtgärder, utbildning för ledningen, säkerhetsrevisioner och säkerhetsskanning börjar gälla. Därmed omvandlas lagens allmänna krav till mer specifika och kontrollerbara krav.
• NIS2 omfattar 18 sektorer och gäller generellt för medelstora och stora organisationer, ungefär 50 eller fler anställda eller en årsomsättning på minst 10 miljoner euro. Organisationerna delas in i ”väsentliga” och ”viktiga” verksamhetsutövare med olika nivåer av tillsyn.
• Sanktionsavgifterna kan uppgå till 10 miljoner euro eller 2 procent av den globala årsomsättningen för väsentliga verksamhetsutövare, och 7 miljoner euro eller 1,4 procent för viktiga verksamhetsutövare, beroende på vilket belopp som är högst. Avgiften kan tillämpas per överträdelse.
• De flesta verkliga intrång börjar fortfarande med ett e-postmeddelande. Nätfiske och kapning av företagsmejl är fortfarande de vanligaste sätten för angripare att få sitt första fotfäste. Det är precis därför NIS2:s riskhanteringsåtgärder lägger så stor vikt vid åtkomstkontroll, incidenthantering och personalutbildning.
• Efterlevnad som enbart byggs för att klara en revision tenderar att fallera på samma sätt som verkliga attacker lyckas. Organisationer som klarar både tillsynsmyndighetens granskning och ett faktiskt angrepp behandlar detta som en operativ förmåga, inte som en administrativ övning.
1. NIS2 började inte gälla den 1 oktober. Här är den verkliga tidslinjen
Ta en regional vårdgivare eller en medelstor kommunal IT-avdelning som exempel. Om de identifierade sig som omfattade tidigare i år har deras år i praktiken sett ut så här
| Datum | Vad som hände / händer |
| 11 december 2025 | Sveriges cybersäkerhetslag (2025:1506) antas av riksdagen |
| 15 januari 2026 | Lagen träder i kraft. NIS2-skyldigheterna blir rättsligt bindande i Sverige |
| 16 februari 2026 | Sista dag för verksamhetsutövare som omfattas att registrera eller anmäla sig till MCF eller relevant sektorsmyndighet |
| 1 juli 2026 | Föreskrifter om incidentrapportering, med tidslinjen 24 timmar, 72 timmar och en månad, börjar gälla. MCF:s cyberansvar överförs till det nya Nationella cybersäkerhetscentret (NCSC) vid Försvarets radioanstalt (FRA) |
| 1 oktober 2026 | Föreskrifter om säkerhetsåtgärder, utbildning för ledningen, säkerhetsrevisioner och säkerhetsskanning börjar gälla |
Senast i februari borde vårdgivaren eller kommunen redan ha registrerat sig och genomfört en inledande riskbedömning. Det den 1 oktober tillför är tydlighet. MCF:s nya föreskrifter beskriver mycket mer konkret hur en godtagbar incidenthanteringsplan ska se ut, vad som räknas som tillräcklig utbildning för ledningen och vad en säkerhetsrevision eller skanning behöver omfatta. Före den 1 oktober var ”lämpliga och proportionerliga åtgärder” en allmän rättslig standard. Efter den 1 oktober finns ett mer specifikt regelverk att bedömas mot.
Det är en verklig och betydelsefull tidsfrist, men det är inte då NIS2 ”börjar”. Det är då det finstilta slutar vara otydligt.
2. Vilka måste faktiskt följa NIS2?
NIS2 gäller inom 18 sektorer och omfattar generellt organisationer med 50 eller fler anställda eller en årsomsättning på över 10 miljoner euro. Vissa mindre organisationer kan ändå omfattas om de anses vara kritiska för sin sektor, till exempel om de är den enda regionala tjänsteleverantören.
Organisationer som omfattas klassificeras som antingen:
• Väsentliga verksamhetsutövare, i stora drag större organisationer i sektorer med högst kritikalitet, däribland energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, förvaltning av IKT-tjänster mellan företag, offentlig förvaltning och rymdverksamhet. Kvalificerade betrodda tjänsteleverantörer, register över toppdomäner och DNS-leverantörer räknas som väsentliga oavsett storlek. Det gör även, ovanligt nog, medelstora leverantörer av allmänna elektroniska kommunikationsnät eller kommunikationstjänster, som inte behandlas enligt principen ”medelstor = viktig” på samma sätt som i de flesta andra sektorer.
• Viktiga verksamhetsutövare, i stora drag medelstora organisationer inom samma sektorer samt organisationer inom områden som post- och budtjänster, avfallshantering, kemikalier, livsmedelsproduktion, tillverkning, digitala marknadsplatser och forskning.
Den exakta klassificeringen beror både på sektor och storlek och påverkar direkt hur stora sanktionsavgifter ni kan utsättas för. Mer om det nedan. Därför är det klokt att göra en korrekt bedömning i stället för att gissa. [LÄNK: gap-analys / compliance-hubb]
Det är också viktigt att komma ihåg att NIS2 sträcker sig längre än till direkt reglerade organisationer. Om ni levererar digitala tjänster, IT eller andra kritiska insatsvaror till en verksamhetsutövare som omfattas kan ni påverkas av deras krav på leverantörskedjans säkerhet även om ni inte själva omfattas direkt.
3. Vad ni redan borde ha gjort och vad som förändras den 1 oktober
4. Var den verkliga risken finns: Hur organisationer faktiskt utsätts för intrång
Oavsett regulatoriska tidsfrister finns NIS2:s säkerhetskrav eftersom organisationer faktiskt utsätts för intrång, och e-post är fortfarande den vanligaste vägen in. Uppskattningarna varierar beroende på metod och källa, men siffror på 68–90 procent eller mer för cyberattacker som börjar via e-post eller nätfiske återkommer i rapportering från både branschen och myndigheter. Kapning av företagsmejl är särskilt farligt eftersom det ofta inte kräver någon skadlig kod. En trovärdig imitation av en vd, leverantör eller kollega kan vara tillräcklig.
Det är inte den enda risk som NIS2 kräver att organisationer hanterar. Angrepp via leverantörskedjan, oskyddade eller exponerade system, stulna inloggningsuppgifter och ransomware förekommer också ofta i incidentstatistiken. Men det förklarar varför så stor del av riskhanteringsramverket i artikel 21 fokuserar på sådant som åtkomstkontroll, multifaktorautentisering, incidenthantering och utbildning i cyberhygien. Regleringen efterfrågar inte säkerhetsteater. Den kräver att organisationer stänger den lucka som angripare oftast utnyttjar.
5. Vad händer om ni inte följer reglerna?
Två nyanser är värda att lyfta eftersom de ofta förenklas för mycket i marknadsföringsmaterial: sanktionsavgifter beräknas per överträdelse, inte som ett enda generellt årligt tak, och det tillfälliga förbudet för chefer gäller specifikt väsentliga verksamhetsutövare, inte alla organisationer som omfattas.
6. Bygg NIS2-efterlevnad som faktiskt håller
Artikel 21 i NIS2-direktivet anger tio minimiområden som varje organisation som omfattas behöver hantera. De är avsiktligt resultatbaserade. Lagen beskriver vad ni ska uppnå, inte vilken specifik produkt ni ska köpa:
| Åtgärd | I praktiken | |
| 1 | Riskanalys och säkerhetspolicy | Dokumenterad och uppdaterad, inte en engångsinsats |
| 2 | Incidenthantering | Upptäckt, respons och rapportering i linje med tidsfristerna 24 timmar, 72 timmar och en månad |
| 3 | Kontinuitet i verksamheten | Säkerhetskopiering, katastrofåterställning och krishantering |
| 4 | Säkerhet i leverantörskedjan | Bedömning och hantering av risker från direkta leverantörer och tjänsteleverantörer |
| 5 | Säkra systeminköp och säker utveckling | Säkerhet inbyggd i inköp och utveckling, inklusive sårbarhetshantering |
| 6 | Bedömning av effektivitet | Granskning av om åtgärderna faktiskt fungerar, inte bara att de finns |
| 7 | Cyberhygien och utbildning | Medvetandehöjande utbildning för både personal och ledning |
| 8 | Kryptografi och kryptering | Policyer för när och hur kryptering ska användas |
| 9 | HR-säkerhet, åtkomstkontroll och tillgångshantering | Vem som har tillgång till vad och varför |
| 10 | Multifaktorautentisering och säker kommunikation | MFA och säkra kanaler för tal, video och text |
De organisationer som klarar både en myndighetsgranskning och ett verkligt angrepp är de som behandlar detta som ett löpande operativt program med kontinuerlig övervakning, testade responsplaner och personal som faktiskt har utbildats, i stället för att bara skicka ut ett policydokument eller samla dokument i en mapp en gång om året.
7. Slutsats
Den 1 oktober 2026 är inte dagen då NIS2 börjar gälla för svenska organisationer. Det är dagen då ”vi arbetar på det” slutar vara ett tillräckligt svar på en tillsynsmyndighets fråga. Lagen har gällt sedan januari. Registrering har krävts sedan februari. Det som förändras den 1 oktober är att den specifika måttstocken för säkerhetsåtgärder, utbildning, revisioner och skanning blir lag. Det innebär att brister som tidigare var en tolkningsfråga blir tydliga iakttagelser.
Om ni ännu inte är säkra på var er organisation står är det rätt fråga att besvara före oktober, inte efter. [LÄNK: Få en NIS2-gap-analys / Prata med vårt team]
Vanliga frågor
Gäller NIS2 för oss om vi inte verkar inom en uppenbart ”kritisk” sektor?
Möjligen. NIS2 omfattar 18 sektorer, och vissa av dem, som tillverkning, livsmedelsproduktion, digitala tjänster och forskning, betraktas inte traditionellt som kritisk infrastruktur. Storlekströsklarna, 50 eller fler anställda eller en omsättning på minst 10 miljoner euro, gör att många medelstora organisationer omfattas även utanför sektorer som energi och hälso- och sjukvård.
Vi är redan ISO 27001-certifierade. Betyder det att vi följer NIS2?
Certifieringen täcker en betydande del, men inte allt. ISO 27001 överlappar i hög grad med riskhanteringsåtgärderna i artikel 21, men NIS2 lägger till specifika skyldigheter, bland annat tidsfrister för incidentrapportering, personligt ansvar för ledningsorganet och krav på säkerhet i leverantörskedjan. Dessa täcks inte automatiskt enbart genom certifieringen.
Beräknas sanktionsavgifterna per år eller per incident?
Inget av alternativen är helt korrekt. Sanktionsavgifterna fastställs per överträdelse av de relevanta skyldigheterna, alltså säkerhetsåtgärder eller rapporteringsskyldigheter. Det innebär att en och samma organisation kan få flera sanktioner om flera skyldigheter överträds, inte bara en avgift med ett fast årligt tak.
Vilken är nästa tidsfrist efter den 1 oktober?
Nationella föreskrifter enligt cybersäkerhetslagen utfärdas fortfarande stegvis under 2026, och ytterligare vägledning från MCF väntas. Organisationer som redan omfattas bör behandla efterlevnad som ett löpande program, inte som en engångstidsfrist som bara ska passeras.
Källor
• Sveriges cybersäkerhetslag och cybersäkerhetsförordning, Regeringskansliet / Riksdagen
• Myndigheten för civilt försvars (MCF) officiella vägledning om cybersäkerhetslagen
• Direktiv (EU) 2022/2555 (NIS2), EUR-Lex
• Europeiska kommissionen, Shaping Europe’s Digital Future, översikt över cybersäkerhetspolitiken
This post is also available in:
English