Cybersäkerhetslagen
Sveriges genomförande av NIS2-direktivet. Vad lagen kräver, när kraven börjar gälla och hur ni avgör om er verksamhet omfattas. Verkar ni i ett annat EU-land? Compeas har den nationella NIS2-versionen för nio länder till.
Nu gäller alla krav
Cybersäkerhetslagen (2025:1506) och cybersäkerhetsförordningen (2025:1507) trädde i kraft den 15 januari 2026. Lagens krav har gällt sedan dess, och sedan den 1 oktober 2026 gäller också alla föreskrifter som preciserar dem.
Anmälan har varit öppen sedan den 2 februari 2026. Skyldigheten följer av lagen, och det finns inget datum då den stänger. Sedan den 1 juli 2026 tar NCSC vid FRA emot anmälan. Anmälan är verksamhetsutövarens eget ansvar — ingen myndighet pekar ut er först, och uteblir den är det en konstaterbar brist när tillsynen börjar granska. Sedan den 1 oktober 2026 gäller även föreskrifterna om säkerhetsåtgärder, ledningens utbildning och säkerhetsrevision. Så anmäler ni er, steg för steg.
Så har föreskrifterna fasats in
Datumen nedan följer NCSC:s officiella tidsplan för införandet.
Lag och förordning träder i kraft
Cybersäkerhetslagen (2025:1506) och cybersäkerhetsförordningen (2025:1507) började gälla och ersatte den tidigare NIS-regleringen.
Anmälningstjänsten öppnar
Föreskriften om anmälan och identifiering av väsentliga och viktiga verksamhetsutövare trädde i kraft. Anmälningstjänsten öppnade hos Myndigheten för civilt försvar (MCF), som den 1 januari 2026 tog över Myndigheten för samhällsskydd och beredskaps roll på området — äldre vägledningar som hänvisar till MSB avser numera MCF. Sedan den 1 juli 2026 tar NCSC vid FRA emot anmälan. Verksamheter ska anmäla sig så snart det kan ske.
Incidentrapportering börjar gälla
Föreskrifterna om incidentrapportering och informationsskyldighet trädde i kraft. Från detta datum tas anmälningar emot av NCSC vid FRA.
Säkerhetsåtgärder, ledningens utbildning och säkerhetsrevision
Två föreskrifter trädde i kraft samma dag. Den ena reglerar säkerhetsåtgärder och ledningens utbildning — riskhantering, tekniska och organisatoriska åtgärder samt ledningens kompetens och ansvar. Den andra reglerar säkerhetsrevision och säkerhetsskanning, det vill säga hur efterlevnaden ska kontrolleras och dokumenteras löpande.
Omfattas er verksamhet?
Huvudregeln utgår från sektor och storlek — men det finns viktiga undantag åt båda hållen.
- Sektor
- Verksamheten omfattas om den återfinns i någon av de 18 sektorerna i bilaga 1 eller bilaga 2 till NIS2-direktivet — bland andra energi, transport, bank och finans, hälso- och sjukvård, dricksvatten, avfall, digital infrastruktur, digitala tjänster och forskning.
- Storlek
- Medelstora och stora företag omfattas. Små företag och mikroföretag omfattas som huvudregel inte.
- Oavsett storlek
- Vissa verksamhetstyper omfattas oavsett storlek, till exempel leverantörer av betrodda tjänster, DNS-tjänster, toppdomänregister och leverantörer av allmänna elektroniska kommunikationsnät eller kommunikationstjänster, samt ensamma leverantörer av en samhällsviktig tjänst eller verksamheter med särskild nationell eller regional betydelse (1 kap. 5 § lagen).
- Offentlig sektor
- Kommuner och regioner omfattas genom sektorn offentlig förvaltning.
- Väsentlig eller viktig
- Klassningen styrs främst av organisationens storlek och av vilken bilaga verksamhetstypen återfinns i. Väsentliga verksamhetsutövare står under planlagd tillsyn och har högre sanktionstak; viktiga verksamhetsutövare står under händelsestyrd tillsyn.
- Anmälan
- Anmälan ska göras så snart det kan ske, och det finns inget datum då den stänger. Sedan den 1 juli 2026 tas anmälningar emot av Nationellt cybersäkerhetscenter (NCSC) vid FRA med ett formulär som skickas med e-post. Så anmäler ni er, steg för steg.
Vem granskar er?
Tillsynen är delad. En myndighet samordnar, sex utövar den operativa tillsynen sektorsvis.
- Samordnande
- Myndigheten för civilt försvar (MCF) ansvarar för övergripande samordning och gemensamma föreskrifter, däribland föreskriften om anmälan. Själva anmälan tas sedan den 1 juli 2026 emot av NCSC vid FRA. MCF ersätter inte sektorsmyndigheterna utan kompletterar dem.
- Sektorsvis tillsyn
- Statens energimyndighet för energi, Transportstyrelsen för transport, Finansinspektionen för bank och finans, Inspektionen för vård och omsorg för vårdgivare, Läkemedelsverket för övrig hälso- och sjukvård, Livsmedelsverket för livsmedel och dricksvatten, Post- och telestyrelsen för digital infrastruktur, digitala leverantörer, IKT-tjänster mellan företag, post- och budtjänster samt rymden, och sex länsstyrelser för offentlig förvaltning, avfall, forskning, kemikalier och delar av tillverkning.
- Incidentrapportering
- Incidenter anmäls sedan 1 juli 2026 till Nationellt cybersäkerhetscenter vid FRA — alltså inte till MCF och inte till sektorsmyndigheten. Anmälan av verksamheten går sedan samma datum också till NCSC, men i en annan process med andra tidsfrister.
Vad kraven innebär i det dagliga arbetet
Lagen beskriver vad som ska uppnås. Det här är arbetet som följer av det.
Riskhantering
Identifiera, bedöm och behandla risker systematiskt, och kunna visa hur bedömningen gjordes. Inneboende risk, vald åtgärd och kvarvarande restrisk behöver gå att följa.
Säkerhetsåtgärder med bevis
Tekniska och organisatoriska åtgärder ska vara införda, dokumenterade och möjliga att belägga — inte beskrivna i en policy som ingen följt upp.
Incidentrapportering
Rapportera incidenter som medför eller kan medföra betydande störningar. Det förutsätter att någon äger processen och att underlaget finns när det behövs.
Ledningens ansvar
Ansvaret ligger på ledningen, som också ska genomgå utbildning. Skyldigheten följer av lagen själv; sedan 1 oktober 2026 anger föreskrifterna i detalj vad den innebär.
Leverantörskedjan
Säkerheten hos leverantörer och tjänsteleverantörer omfattas. Det kräver en aktuell leverantörsförteckning och en bedömning som underhålls över tid.
Löpande, inte en gång
Tillsynen är planlagd för väsentliga verksamhetsutövare. Underlaget behöver vara aktuellt när frågan kommer, inte sammanställas i efterhand.
Ett underlag som håller när tillsynen frågar
Compeas är en europeisk GRC-plattform som samlar riskregister, policyer, kontroller och bevis på ett ställe — med data som stannar inom EU.
Läs vidare hos myndigheterna
Den här sidan är en sammanfattning och ersätter inte lagtext eller myndigheternas vägledning. Kontrollera alltid mot källan.
- NCSC — Det här är cybersäkerhetslagen
- NCSC — Tidsplan för införandet av cybersäkerhetslagen i Sverige
- NCSC — Omfattas verksamheten av cybersäkerhetslagen
- NCSC — Att anmäla en verksamhet enligt cybersäkerhetslagen
- Sveriges riksdag — Cybersäkerhetslag (2025:1506)
- Sveriges riksdag — Cybersäkerhetsförordning (2025:1507)
Nu gäller alla krav. Är ni redo?
Boka en genomgång så går vi igenom var ni står mot cybersäkerhetslagen och vad som återstår.