Därför berör den nya handlingsplanen fler företag än många tror
Den 7 juli 2026 presenterade EU-kommissionen sin handlingsplan för cybersäkerhet och artificiell intelligens, den första samlade strategin för hur avancerade AI-modeller förändrar både cyberattacker och cyberförsvar. Många beslutsfattare har redan avfärdat den som Brysselstrategi för techjättar och myndigheter. Det är en felläsning. Planen riktar sig till hela näringslivet och talar om för varje företag som redan omfattas av EU:s cybersäkerhetsregler vad tillsynsmyndigheterna förväntar sig härnäst: att AI behandlas både som en angreppsrisk och som ett verktyg i det egna försvaret.
Vad är handlingsplanen för cybersäkerhet och AI?
Handlingsplanen är ett policyinstrument, inte ny lagstiftning. Den bygger på det regelverk EU har infört under de senaste åren: förordning (EU) 2024/1689 (AI-förordningen), direktiv (EU) 2022/2555 (NIS2-direktivet), förordning (EU) 2024/2847 (cyberresiliensförordningen), förordning (EU) 2022/2554 (DORA) och cybersolidaritetsförordningen. I stället för att lägga till nya skyldigheter samordnar planen hur medlemsstaterna, näringslivet och EU-organ som cybersäkerhetsbyrån Enisa ska använda befintliga resurser mot AI-drivna hot. Kommissionens verkställande vice ordförande Henna Virkkunen, med ansvar för tekniksuveränitet, säkerhet och demokrati, beskrev utgångspunkten som att AI håller på att förändra själva innebörden av cybersäkerhet och att EU måste hålla jämna steg.
Vad innehåller planen konkret?
Planen är uppbyggd kring tre kompletterande mål: att främja säker och ansvarsfull användning av avancerad AI, att förstärka EU:s cybersäkerhet och motståndskraft samt att skala upp Europas AI-förmåga på cybersäkerhetsområdet.
Säker och ansvarsfull användning av avancerad AI
AI-förordningen kräver att de mest avancerade AI-modellerna utvärderas och riskbedöms innan de släpps på EU-marknaden. Kommissionen ska därför bidra till att bygga upp en europeisk utvärderingskapacitet som stärker oberoende granskning av vad modellerna klarar, till stöd för AI-byråns tillsynsarbete. Tillsammans med Enisa ska kommissionen också ta fram en europeisk modell för strukturerad tillgång till avancerad AI för cybersäkerhetsändamål. Därtill ska Enisa och kommissionens gemensamma forskningscentrum bygga en säker plattform där organisationer i kritiska sektorer som energi, transport, hälso- och sjukvård, finans och offentlig förvaltning kan testa AI-lösningar i simulerade miljöer innan de tas i drift.
Förstärkt cybersäkerhet och motståndskraft
Det andra målet handlar om genomförande snarare än innovation. Organisationer som omfattas av NIS2-direktivet, cyberresiliensförordningen och DORA förväntas skärpa sin cyberhygien, sin riskhantering och sitt arbete med inbyggd säkerhet, och börja använda tillgängliga AI-verktyg för att hitta och åtgärda sårbarheter snabbare. Enisa ska stödja omställningen med vägledning, rekommendationer och god praxis, och kommissionen ska driva en kampanj för att säkra kritisk programvara med öppen källkod, som bär upp stora delar av Europas digitala infrastruktur.
Uppskalning av Europas AI-förmåga
Slutligen ska kommissionen lansera en europeisk innovationstävling, EU Grand Challenge, för AI inom cybersäkerhet, där företag, forskare och andra aktörer utvecklar europeiska AI-baserade säkerhetslösningar. Planen pekar också på infrastrukturen med AI-fabriker och kommande gigafabriker samt den europeiska kapitalsatsning på teknik som aviserades i paketet för tekniksuveränitet som vägar för investeringar i egen europeisk AI-förmåga.
Vad gäller fortfarande för ditt företag?
Alla skyldigheter som gällde den 6 juli gäller även i dag. NIS2-direktivet har genomförts i Sverige genom cybersäkerhetslagen (2025:1506), som trädde i kraft den 15 januari 2026 och som kräver att berörda verksamheter anmäler sig till tillsynsmyndigheten, vidtar riskbaserade säkerhetsåtgärder, utbildar ledningen och rapporterar betydande incidenter. Cyberresiliensförordningen börjar gälla stegvis, och tillverkarnas skyldighet att rapportera aktivt utnyttjade sårbarheter börjar tillämpas den 11 september 2026. AI-förordningen följer sin egen tidsplan, och den nationella marknadskontrollen av AI-system inleds den 2 augusti 2026. Handlingsplanen ändrar inga av dessa datum. Vad den ändrar är sammanhanget: myndigheterna säger nu öppet att de förväntar sig att AI-drivna hot ingår i varje seriös riskanalys.
Ett praktiskt exempel: ett regionalt energibolag
Tänk dig ett medelstort svenskt energibolag som driver elnät och använder ett AI-baserat system för att övervaka last och upptäcka avvikelser. Som väsentlig verksamhetsutövare enligt NIS2-direktivet och cybersäkerhetslagen gör bolaget redan riskanalyser och incidentrapportering. Handlingsplanen påverkar bolaget på tre konkreta sätt. Riskanalysen bör nu omfatta AI-drivna angrepp, till exempel automatiserad sårbarhetsskanning och träffsäkert nätfiske riktat mot driftpersonal. Inköpen bör ställa frågor till AI-leverantörer om hur modellerna har utvärderats och hur produkterna uppfyller cyberresiliensförordningens säkerhetskrav. Och säkerhetsteamet kan räkna med konkret stöd, bland annat vägledning från Enisa och så småningom en säker europeisk plattform för att testa AI-verktyg innan de kopplas till kritiska system.
Vanliga misstag företag gör
Det vanligaste misstaget är att betrakta planen som icke-bindande och därmed irrelevant. Handlingsplaner medför inga sanktionsavgifter, men de formar hur tillsynsmyndigheterna tolkar de bindande regler som gör det. Ett annat misstag är att utgå från att AI-säkerhet är leverantörens problem, trots att NIS2-direktivet och DORA lägger ansvaret för risker i leveranskedjan på den organisation som använder tekniken. Många företag driver dessutom AI-styrning och cybersäkerhet som separata projekt med olika ägare, fastän hoten som planen beskriver ligger exakt i skärningspunkten. Slutligen väntar en del företag på ny lagstiftning innan de agerar och förbiser de komponenter med öppen källkod som kommissionen själv pekar ut som en systemrisk.
Rekommenderade åtgärder
Börja med att kartlägga vilka AI-system verksamheten använder och vilka system som kan bli mål för AI-drivna angrepp, och uppdatera sedan den riskanalys ni redan gör enligt NIS2-direktivet eller DORA så att båda perspektiven ingår. Informera ledningen, eftersom cybersäkerhetslagen gör utbildning av ledningen till en rättslig skyldighet. Se över leverantörsavtalen och begär dokumentation från AI-leverantörer om modellutvärdering och produktsäkerhet. Följ Enisas kommande vägledning och ta ställning till om testplattformen eller EU:s innovationstävling på området kan vara relevant för er organisation. Dokumentera varje steg, eftersom en dokumenterad process är det en tillsynsmyndighet vill se.
Vanliga frågor
Skapar handlingsplanen nya skyldigheter för mitt företag?
Nej. Planen är ett policyinstrument som samordnar befintliga regler som AI-förordningen, NIS2-direktivet och cyberresiliensförordningen. Skyldigheterna följer även i fortsättningen av dessa rättsakter, men planen visar tydligt vad tillsynsmyndigheterna kommer att förvänta sig att verksamheter prioriterar.
Vilka företag bör vara mest uppmärksamma?
Verksamheter i kritiska sektorer som omfattas av NIS2-direktivet, finansiella aktörer under DORA, tillverkare av uppkopplade produkter enligt cyberresiliensförordningen och företag som använder avancerade AI-system. I praktiken når planens förväntningar på cyberhygien och AI-stött försvar de flesta företag.
När är planens åtgärder på plats?
Planen innehåller inga lagstadgade tidsfrister. Utvärderingskapaciteten, Enisas modell för tillgång och testplattformen byggs upp stegvis. Befintliga datum gäller fortfarande, bland annat marknadskontroll enligt AI-förordningen från den 2 augusti 2026 och sårbarhetsrapportering enligt cyberresiliensförordningen från den 11 september 2026.
Slutsats
EU:s handlingsplan för cybersäkerhet och AI skapar inga nya blanketter, och det är just därför den är lätt att underskatta. Den beskriver hur kommissionen, Enisa och nationella myndigheter kommer att använda de regler som redan binder ditt företag, och den höjer ribban för vad en försvarbar riskanalys innebär i en tid av AI-drivna angrepp. Företag som redan nu knyter ihop sin AI-styrning med sitt cybersäkerhetsarbete möter den kommande vägledningen från en styrkeposition. På Lawgent hjälper vi företag att föra samman AI-compliance och cybersäkerhet, från riskanalyser och leverantörsgranskning till ledningsutbildning och dokumentation. Hör av dig om du vill veta vad handlingsplanen innebär för din organisation.
