Varför den nya cybersäkerhetslagen berör fler företag än de gamla reglerna
I många år var cybersäkerhetsreglering i Sverige något som främst sysselsatte aktörer inom uppenbart kritisk infrastruktur och en avgränsad grupp leverantörer av digitala tjänster. Den nya cybersäkerhetslagen ändrar den bilden. Genom att genomföra EU:s NIS2-direktiv har Sverige vidgat kretsen av organisationer som måste ta informationssäkerhet på allvar som en rättslig skyldighet, inte bara som god sed. Uppskattningar pekar på att omkring 8 000 organisationer inom ett artontal sektorer nu omfattas, varav många aldrig tidigare betraktat sig som reglerade verksamheter.
Skiftet är viktigt eftersom skyldigheterna är verkliga och tidsfristerna konkreta. Lagen trädde i kraft i början av 2026 och ersätter den tidigare lagen om informationssäkerhet för samhällsviktiga och digitala tjänster. Den här artikeln förklarar vem som omfattas, vad reglerna faktiskt kräver, registreringsfristen ni inte bör missa och riskerna med att behandla det nya regelverket som någon annans problem.
Vad cybersäkerhetslagen är och varifrån den kommer
Cybersäkerhetslagen är Sveriges nationella genomförande av NIS2-direktivet, EU:s uppdaterade ramverk för nätverks- och informationssäkerhet. NIS2 utformades för att åtgärda svagheter i det ursprungliga NIS-direktivet: för få sektorer omfattades, tillsynen var ojämn mellan medlemsstaterna och många organisationer ignorerade helt enkelt skyldigheterna. Den svenska lagen översätter den ambitionen till nationell rätt, med tillsyn och sanktioner därtill.
I stället för att samla tillsynen hos en enda myndighet har Sverige valt en decentraliserad modell. En samordnande nationell myndighet arbetar vid sidan av sektorsspecifika tillsynsmyndigheter, så att till exempel elektronisk kommunikation, finanssektorn och energisektorn var och en övervakas av den myndighet som står närmast. För ett företag är den praktiska följden att ni behöver veta vilken tillsynsmyndighet som ansvarar för er sektor.
Omfattas ert företag?
Den första fråga varje verksamhet bör besvara är om den över huvud taget omfattas. Lagen gäller organisationer som är verksamma inom en rad viktiga och väsentliga sektorer, och som huvudregel når den företag som når en viss storlek, typiskt sådana med minst femtio anställda eller en årsomsättning eller balansomslutning över ett definierat tröskelvärde i storleksordningen tio miljoner euro.
Sektorer som omfattas
Sektorerna som omfattas är breda. Hit hör energi, transport, bank och finansmarknadsinfrastruktur, hälsa, dricks- och avloppsvatten, digital infrastruktur, offentlig förvaltning och rymd, vid sidan av sektorer som posttjänster, avfallshantering, tillverkning av vissa produkter, livsmedelsproduktion och distribution samt leverantörer av digitala tjänster. Bredden är avsiktlig: NIS2 speglar insikten att moderna leveranskedjor gör betydligt fler organisationer till en del av säkerhetsbilden än de gamla reglerna erkände.
Storlekströsklar och undantagen
Storlekströsklarna spelar roll, men de är inte hela historien. Vissa organisationer omfattas oavsett storlek på grund av den kritiska roll de spelar, till exempel när de är ensam leverantör av en tjänst som är väsentlig för samhället. Ett litet företag bör därför inte anta att det automatiskt faller utanför bara för att det har få anställda. Det säkrare angreppssättet är att kontrollera både sektorn och den roll företaget spelar innan man drar någon slutsats.
Vad lagen kräver
För de verksamheter som omfattas anger lagen skyldigheter inom några breda områden. Det första är riskhantering. Organisationer måste vidta lämpliga och proportionerliga tekniska och organisatoriska åtgärder för att hantera riskerna för sina nätverk och informationssystem, vilket täcker frågor som åtkomstkontroll, incidenthantering, kontinuitet i verksamheten, säkerhet i leveranskedjan och användning av kryptering där det är lämpligt.
Det andra området är incidentrapportering. Betydande incidenter måste rapporteras till berörd myndighet inom snäva tidsramar, typiskt en tidig anmälan inom ett dygn följd av en mer fullständig rapport kort därefter. Syftet är att ge myndigheterna en realtidsbild av hoten och att säkerställa att allvarliga incidenter inte i tysthet absorberas och glöms bort.
Det tredje området, och ett som lätt underskattas, är ledningens ansvar. Enligt NIS2 läggs ansvaret för cybersäkerhet uttryckligen på styrelse- och ledningsnivå. Ledningen förväntas godkänna och övervaka säkerhetsåtgärderna och kan hållas ansvarig för brister. Cybersäkerhet är inte längre något som helt kan delegeras till IT-funktionen och glömmas bort i styrelserummet.
Fristen ni inte bör missa: registreringen
En konkret skyldighet förtjänar särskild uppmärksamhet eftersom den har ett tidigt och fast datum. Organisationer som faller under cybersäkerhetslagen är skyldiga att registrera sig hos berörd myndighet, och fristen för det infaller under hösten 2026. Registreringen är inte en formalitet att skjuta på; det är så tillsynssystemet vet vem som omfattas, och att missa den är i sig en överträdelse.
Den praktiska svårigheten är att ett företag först måste avgöra om det omfattas innan det kan registrera sig, och just den bedömningen är det steg många organisationer ännu inte tagit. Följden är en reell risk att verksamheter nära fristen upptäcker både att de omfattas och att de inte är redo. Att inleda bedömningen i god tid är därför det enskilt mest användbara ett företag kan göra.
Praktiskt exempel: leverantören som blev ett mål
Tänk er ett medelstort företag som tillverkar komponenter till energisektorn. Det ser sig inte som kritisk infrastruktur; det gör delar och skickar dem. Dess större kunder ligger dock mitt i cybersäkerhetslagens tillämpningsområde, och NIS2 lägger verklig vikt vid säkerhet i leveranskedjan.
Som följd märker företaget att dess kunder ställer detaljerade frågor om de egna säkerhetsåtgärderna, incidentrutinerna och styrningen, och i vissa fall gör avtal villkorade av tillfredsställande svar. Företaget kan också omfattas i egen rätt, beroende på storlek och roll. Hur som helst når regelverket det: direkt genom de egna skyldigheterna, eller indirekt genom de krav kunderna nu måste föra vidare nedåt i kedjan. Verksamheten som behandlade cybersäkerhet som en rent intern IT-fråga upptäcker plötsligt att det är ett kommersiellt och rättsligt villkor för att få göra affärer.
Vanliga misstag som företag gör
Det första misstaget är att anta att reglerna bara gäller stora eller uppenbart kritiska organisationer. Den vidgade omfattningen i NIS2 är just poängen; många medelstora företag i oväntade sektorer omfattas nu, och trycket i leveranskedjan drar in andra som inte formellt omfattas.
Det andra misstaget är att behandla efterlevnaden som ett tekniskt projekt enbart för IT-avdelningen. Lagen lägger ansvaret på ledningen, och ett säkerhetsprogram som styrelsen aldrig granskat uppfyller inte de styrningskrav lagen ställer.
Det tredje misstaget är att lämna bedömningen för sent. Eftersom registrering och konkreta säkerhetsåtgärder tar tid, och eftersom att avgöra omfattningen i sig inte är trivialt, riskerar företag som väntar att missa registreringsfristen och möta en myndighet med lite att visa upp.
Juridiska risker
Sverige har genomfört direktivet med sanktioner i den övre delen av vad NIS2 tillåter. Väsentliga entiteter kan möta administrativa sanktionsavgifter som når upp i miljontals euro eller en andel av den globala årsomsättningen, beroende på vilket som är högst, med något lägre tak för kategorin viktiga entiteter. Cybersäkerhet ramas med andra ord nu in som en finansiell risk i toppskiktet snarare än en valfri kostnad.
Utöver avgifter har tillsynsmyndigheter befogenheter att utfärda bindande förelägganden, genomföra revisioner och, i allvarliga fall, påverka ansvariga personers möjlighet i ledningen att utföra sina uppgifter. Lägg till det den kommersiella exponering som redan beskrivits, där kunder som omfattas kräver garantier från sina leverantörer, och kostnaden för passivitet blir både regulatorisk och kommersiell.
Rekommenderade åtgärder
Börja med att avgöra om ni omfattas. Jämför er sektor mot listan över täckta områden, kontrollera storlekströsklarna och överväg om er roll gör er omfattade oavsett storlek. Det enda steget löser den viktigaste osäkerheten och säger er om registreringsfristen gäller er.
Om ni omfattas, registrera er i tid och bygg det underliggande programmet parallellt: ett dokumenterat angreppssätt för riskhantering, rutiner för incidenthantering och rapportering som klarar de snäva tidsfristerna, och säkerhetskrav i leveranskedjan för era egna leverantörer. Ta in ledningen i processen i stället för att lämna den hos IT, eftersom lagen kräver ledningsansvar. Även företag som drar slutsatsen att de inte direkt omfattas bör förbereda sig för kunders due diligence-frågor och dokumentera sin säkerhetsnivå. Behandla slutligen detta som ett löpande program, inte en engångsåtgärd, eftersom både hoten och tillsynsförväntningarna kommer att fortsätta utvecklas.
Vanliga frågor om cybersäkerhetslagen och NIS2
Hur vet vi om vårt företag omfattas?
Kontrollera tre saker: om ni verkar inom en av de sektorer lagen listar, om ni når storlekströsklarna på ungefär femtio anställda eller en omsättning eller balansomslutning kring tio miljoner euro, och om er roll är tillräckligt kritisk för att dra in er oavsett storlek. Om något av detta pekar mot att ni omfattas bör ni betrakta er som omfattade tills en ordentlig bedömning säger annat.
Vad är registreringsfristen?
Organisationer som omfattas måste registrera sig hos ansvarig myndighet under 2026, med fristen under hösten. Eftersom ni först måste bekräfta att ni omfattas är det klokt att inleda bedömningen i god tid före det datumet snarare än i sista stund.
Påverkar detta bara IT-avdelningen?
Nej. Ett kännetecken för NIS2 är att ansvaret för cybersäkerhet läggs på ledningen och styrelsen. Ledningen förväntas godkänna och övervaka säkerhetsåtgärderna, så skyldigheterna sträcker sig långt bortom IT-funktionen in i styrning och beslutsfattande i toppen av företaget.
Vi är en liten leverantör, inte kritisk infrastruktur. Påverkas vi?
Möjligen på två sätt. Ni kan omfattas direkt om er roll är kritisk trots er storlek. Även om inte, måste kunder som omfattas hantera säkerhet i leveranskedjan, så de kommer i allt högre grad att be er visa sunda säkerhetsrutiner som villkor för att göra affärer.
Vad händer om vi inte gör något?
Bristande efterlevnad kan leda till betydande administrativa sanktionsavgifter, bindande förelägganden från tillsynsmyndigheter och konsekvenser för ansvariga chefer, vid sidan av den kommersiella risken att förlora kunder som kräver garantier. Kombinationen gör passivitet till ett dyrt val.
Sammanfattning
Den nya cybersäkerhetslagen förvandlar informationssäkerhet från en rekommendation till en rättslig skyldighet för ett betydligt bredare urval av svenska företag än de gamla reglerna någonsin gjorde. Utmaningen för de flesta organisationer är inte ovilja utan osäkerhet: många har helt enkelt ännu inte rett ut om de omfattas, vad reglerna kräver av dem och vilken frist som gäller. De som klargör sin omfattning tidigt, registrerar sig i tid och bygger ett styrt säkerhetsprogram står väl rustade, och slipper den stress som uppstår när en frist, en myndighet eller en stor kund börjar ställa skarpa frågor.
Lawgent hjälper företag att avgöra om de faller under cybersäkerhetslagen, uppfylla registrerings- och rapporteringsskyldigheterna och bygga en säkerhets- och styrningsstruktur som tillfredsställer både tillsynsmyndigheter och kunder. Vi kombinerar erfaren affärsjuridisk rådgivning med AI-driven effektivitet, så att ni når trygg och dokumenterad efterlevnad snabbare och mer kostnadseffektivt än hos en traditionell byrå. Osäkra på om NIS2 gäller er? Kontakta Lawgent för en bedömning av era skyldigheter enligt cybersäkerhetslagen.
