Cybersäkerhetslagen är här – det här behöver ditt företag veta
Den 15 januari 2026 trädde den nya cybersäkerhetslagen (2025:1506) i kraft i Sverige. Lagen genomför EU:s NIS2-direktiv i svensk rätt och ersätter den tidigare lagstiftningen om informationssäkerhet för samhällsviktiga och digitala tjänster. För många företag innebär det en helt ny verklighet: konkreta krav på riskhantering, snabb incidentrapportering och ett tydligt ansvar ända upp i styrelse och ledning. Uppskattningsvis omfattas omkring 8 000 svenska organisationer i 18 kritiska sektorer – betydligt fler än tidigare.
Den här artikeln förklarar vad lagen kräver, vem som berörs och vilka steg du bör ta nu för att undvika sanktioner och bygga en hållbar cybersäkerhet.
Vad är cybersäkerhetslagen och varför kom den?
Cybersäkerhetslagen är Sveriges genomförande av NIS2-direktivet, EU:s uppdaterade ramverk för nät- och informationssäkerhet. Syftet är att höja säkerhetsnivån i de verksamheter som samhället är beroende av – från energi och transport till hälso- och sjukvård, digital infrastruktur och offentlig förvaltning.
Bakgrunden är enkel: digitala attacker har blivit vanligare, mer professionella och mer kostsamma. När en leverantör av kritiska tjänster drabbas blir konsekvenserna sällan begränsade till det enskilda företaget. NIS2 svarar på detta genom att vidga kretsen av berörda verksamheter och ställa hårdare, mer enhetliga krav i hela EU.
Vem omfattas – väsentliga och viktiga verksamhetsutövare
Lagen delar in berörda organisationer i två kategorier: väsentliga verksamhetsutövare och viktiga verksamhetsutövare. Indelningen styr främst hur tillsynen utövas och hur höga sanktionsavgifterna kan bli. Väsentliga verksamheter står under mer aktiv tillsyn, medan viktiga verksamheter främst granskas i efterhand när något inträffat.
Vilken kategori en organisation hamnar i avgörs i huvudsak av sektor och storlek. Lagen omfattar 18 sektorer, däribland energi, transport, bank och finans, hälso- och sjukvård, dricksvatten, avlopp, digital infrastruktur, posttjänster, livsmedel, tillverkning och offentlig förvaltning. En vanlig tumregel är att medelstora och stora företag i dessa sektorer berörs, men det finns viktiga undantag – vissa mindre aktörer omfattas ändå på grund av sin kritiska roll. Att bara anta att man är för liten är därför en riskfylld slutsats.
Glöm inte leverantörskedjan
Även om ditt eget företag inte omfattas direkt kan du påverkas indirekt. Verksamheter som lyder under lagen måste ställa krav på sina leverantörer och hantera risker i hela kedjan. Är du underleverantör till en väsentlig eller viktig verksamhet kommer kraven sannolikt att nå dig genom avtal.
Konkreta krav: riskhantering, rapportering och ledningsansvar
Lagen bygger på tre huvudpelare. Den första är riskhantering. Berörda verksamheter ska vidta lämpliga och proportionerliga tekniska och organisatoriska åtgärder – exempelvis riskanalyser, incidenthantering, kontinuitetsplanering, säker hantering av leverantörer, kryptering och åtkomstkontroll.
Den andra pelaren är incidentrapportering. Vid en betydande incident gäller en flerstegsmodell: en tidig förvarning ska lämnas inom 24 timmar, en mer fullständig incidentanmälan inom 72 timmar och en slutrapport senast inom en månad. Korta tidsramar gör att processerna behöver vara på plats i förväg – mitt i en pågående attack hinner man sällan bygga rutiner.
Den tredje pelaren, och kanske den största nyheten, är ledningens ansvar. Styrelse och ledning ska godkänna och övervaka säkerhetsåtgärderna och måste själva ha tillräcklig kunskap för att förstå riskerna. Det går inte längre att delegera bort cybersäkerheten helt till IT-avdelningen.
Registrering och tillsyn
En av de första praktiska skyldigheterna är registrering. Berörda verksamheter ska anmäla sig till den centrala registreringsmyndigheten så snart som möjligt efter att lagen börjat gälla. Tillsynen är sektorsindelad: olika myndigheter ansvarar för olika branscher – exempelvis Post- och telestyrelsen (PTS) för delar av den digitala infrastrukturen och Transportstyrelsen för transportsektorn. Det första steget för varje organisation är därför att ta reda på om man omfattas, vilken kategori man tillhör och vilken tillsynsmyndighet som gäller.
Sanktionsavgifter och personligt ansvar
Konsekvenserna av att inte följa lagen kan bli kännbara. För väsentliga verksamhetsutövare kan sanktionsavgiften uppgå till det högsta av 10 miljoner euro eller 2 procent av den globala årsomsättningen. För viktiga verksamhetsutövare är motsvarande tak det högsta av 7 miljoner euro eller 1,4 procent av omsättningen.
Tillsynsmyndigheterna kan dessutom, vid upprepade och allvarliga brister, besluta om åtgärder som riktar sig mot ledningen. Sammantaget innebär det att cybersäkerhet inte längre bara är en teknisk fråga utan en fråga om regelefterlevnad och ansvar på högsta nivå.
Praktiskt exempel: ett medelstort logistikföretag
Tänk dig ett medelstort logistikföretag som transporterar gods åt flera stora kunder. Företaget har länge sett IT-säkerhet som en kostnad och förlitat sig på en extern leverantör. När cybersäkerhetslagen träder i kraft inser ledningen att verksamheten omfattas som viktig verksamhetsutövare.
I praktiken behöver företaget nu kartlägga sina system och risker, upprätta en plan för incidenthantering, säkerställa att man kan lämna en förvarning inom 24 timmar och se över avtalen med sina IT-leverantörer. Lika viktigt är att ledningen utbildas så att den kan fatta välgrundade beslut. Det som tidigare hanterades informellt måste nu dokumenteras och kunna visas upp vid tillsyn.
Vanliga misstag företag gör
Ett återkommande misstag är att anta att lagen inte gäller den egna verksamheten utan att faktiskt kontrollera saken. Eftersom kretsen av berörda har vidgats kraftigt är det fler än man tror som omfattas. Ett annat misstag är att betrakta cybersäkerhet som en ren IT-fråga och utelämna ledningen, trots att lagen uttryckligen lägger ansvaret där.
Många underskattar också leverantörskedjan och glömmer att kraven kan nå dem genom avtal. Slutligen väntar en del med att förbereda incidentrutiner till dess att något händer – men då är tidsramarna redan på väg att löpa ut.
Rekommenderade åtgärder
Börja med en avgränsningsanalys: omfattas din verksamhet, och i så fall som väsentlig eller viktig? Registrera dig hos rätt myndighet och identifiera din tillsynsmyndighet. Genomför därefter en riskanalys och åtgärda de viktigaste bristerna i tekniska och organisatoriska skyddsåtgärder.
Bygg en incidenthanteringsprocess som klarar kraven på 24, 72 timmar och en månad, och testa den. Se över avtal med leverantörer och kunder så att säkerhetskrav finns med. Säkerställ att styrelse och ledning får utbildning och löpande rapportering. Dokumentera allt – vid tillsyn är det dokumentationen som räknas.
Vanliga frågor
När började cybersäkerhetslagen gälla?
Lagen (2025:1506) trädde i kraft den 15 januari 2026 och genomför EU:s NIS2-direktiv i svensk rätt.
Hur vet jag om mitt företag omfattas?
Det avgörs i huvudsak av vilken sektor du verkar i och företagets storlek, men det finns undantag. Bedömningen bör göras noggrant – även mindre aktörer kan omfattas på grund av sin kritiska roll.
Vad är skillnaden mellan väsentlig och viktig verksamhetsutövare?
Skillnaden gäller främst tillsynens intensitet och sanktionsavgifternas maximala nivå. Väsentliga verksamheter står under mer aktiv tillsyn och har högre sanktionstak.
Vad händer om vi inte följer lagen?
Sanktionsavgifterna kan uppgå till 10 miljoner euro eller 2 procent av omsättningen för väsentliga verksamheter, och 7 miljoner euro eller 1,4 procent för viktiga. Vid allvarliga brister kan åtgärder även riktas mot ledningen.
Sammanfattning
Cybersäkerhetslagen markerar ett tydligt skifte: cybersäkerhet är nu ett krav på regelefterlevnad med ansvar ända upp i ledningen, inte bara en teknisk angelägenhet. De företag som tidigt kartlägger sin situation, registrerar sig, stärker sin riskhantering och förankrar arbetet i styrelsen kommer både att undvika sanktioner och stå starkare mot verkliga hot.
På Lawgent hjälper vi företag att förstå hur ny lagstiftning som NIS2 påverkar just deras verksamhet och att omsätta kraven i praktiska, hållbara rutiner – med stöd av både juridisk expertis och AI. Vill du veta om din verksamhet omfattas och vad du bör prioritera först? Hör av dig till oss, så hjälper vi dig att komma igång.
