Därför berör cybersäkerhetslagen fler företag än många tror
Den 15 januari 2026 trädde den svenska cybersäkerhetslagen (SFS 2025:1506) i kraft och förde in EU:s NIS2-direktiv, direktiv (EU) 2022/2555, i svensk rätt. Många företagare utgår från att detta är en fråga för elbolag, banker och stora it-leverantörer, och att ett medelstort företag inte behöver bekymra sig. Det är missuppfattningen som är värd att räta ut tidigt. Lagen väntas beröra omkring 8 000 organisationer i arton sektorer, många av dem helt vanliga företag som aldrig har sett sig själva som samhällsviktiga, och den första skarpa tidsgränsen, anmälan senast den 30 september 2026, är bara några månader bort.
Vad är den nya cybersäkerhetslagen?
Lagen är Sveriges genomförande av NIS2, det EU-direktiv som lägger en gemensam lägstanivå för cybersäkerhet i hela unionen. Den ersätter den tidigare lagen om informationssäkerhet för samhällsviktiga och digitala tjänster (2018:1174) och breddar både kretsen av företag som omfattas och de skyldigheter de bär. Sverige var det nittonde medlemslandet att genomföra direktivet, långt efter EU:s tidsfrist den 18 oktober 2024, vilket är en del av förklaringen till att tidsplanen nu känns pressad. Vid sidan av lagen finns cybersäkerhetsförordningen (SFS 2025:1507) och en rad detaljerade föreskrifter från tillsynsmyndigheterna som fyller i de praktiska kraven.
Vilka företag omfattas?
Lagen delar in organisationer i väsentliga och viktiga verksamheter i arton sektorer, bland dem energi, transport, bank och finansmarknadsinfrastruktur, hälsa, dricks- och avloppsvatten, digital infrastruktur, offentlig förvaltning, rymd, posttjänster, avfallshantering, kemikalier, livsmedel, tillverkning, digitala leverantörer och forskning. I de flesta fall omfattas ett företag om det är verksamt i någon av dessa sektorer och är minst medelstort, vilket ungefär betyder femtio eller fler anställda eller en årsomsättning eller balansomslutning över tio miljoner euro, även om vissa leverantörer omfattas oavsett storlek.
Hela verksamheten omfattas
En egenhet i det svenska genomförandet överraskar många företag. När en organisation väl faller inom lagens tillämpningsområde på grund av en verksamhet gäller kraven för hela verksamheten, inte bara den specifika tjänst som utlöste att lagen blev tillämplig. En tillverkare med en liten omfattad logistik- eller digital del kan därför få hela sin verksamhet under regelverket, vilket gör en tidig bedömning av tillämpningsområdet mer värdefull än många väntar sig.
Vad kräver lagen?
I grunden ber lagen omfattade verksamheter att hantera cybersäkerhetsrisker på ett strukturerat sätt och att rapportera allvarliga incidenter snabbt. Åtgärderna för riskhantering omfattar bland annat policyer, incidenthantering, kontinuitet i verksamheten, säkerhet i leveranskedjan, åtkomstkontroll och utbildning av personal. Föreskrifterna om incidentrapportering och informationsskyldighet börjar gälla den 1 juli 2026, och reglerna om säkerhetsåtgärder och ledningens utbildning följer den 1 oktober 2026. Rapporteringen följer NIS2-mönstret med en tidig förvarning inom tjugofyra timmar, en fylligare anmälan inom sjuttiotvå timmar och en slutrapport inom en månad.
Ledningen har ett personligt ansvar
Lagen drar in cybersäkerheten i styrelserummet. Ledningsorganen måste godkänna riskåtgärderna, se till att de genomförs och själva delta i utbildning, och de kan hållas ansvariga om organisationen brister. Cybersäkerhet är inte längre något som tyst kan delegeras till it-avdelningen och glömmas bort.
Ett räkneexempel
Tänk dig en svensk livsmedelsproducent med omkring nittio anställda som driver en egen logistikplattform och säljer till återförsäljare i hela Norden. Livsmedelsproduktion är en av de arton sektorerna, och företaget ligger över storlekströskeln, så det är sannolikt en viktig verksamhet enligt lagen. Det måste anmäla sig via den nationella tjänsten före den 30 september 2026, införa strukturerade åtgärder för riskhantering och kunna rapportera en allvarlig incident inom tjugofyra och sjuttiotvå timmar. På grund av att hela verksamheten omfattas gäller kraven inte bara logistikplattformen utan företaget i sin helhet, och det är styrelsen, inte bara it-chefen, som bär ansvaret.
Vanliga misstag
Det vanligaste misstaget är att anta att lagen bara gäller kritisk infrastruktur eller teknikföretag, när den i praktiken når tillverkare, livsmedelsproducenter, avfallsaktörer och många andra. Ett andra misstag är att tro att ett mindre företag automatiskt är undantaget, när storlekströskeln är lägre än många tror och vissa leverantörer omfattas oavsett. Ett tredje är att behandla anmälan som mållinjen i stället för starten, eftersom de materiella säkerhets- och rapporteringskraven fasas in under 2026. Slutligen antar en del företag att eftersom Sverige genomförde direktivet sent så ligger tillsynen långt fram i tiden, när lagen redan gäller och tillsynsmyndigheterna bygger upp sin tillsyn nu.
Rekommenderade åtgärder
Börja med att ta reda på om ni omfattas genom att stämma av er sektor mot de arton som räknas upp och er storlek mot trösklarna, och kom ihåg att hela verksamheten omfattas när ni gör det. Om ni omfattas, anmäl er via den nationella anmälningstjänsten i god tid före den 30 september 2026 i stället för att vänta till de sista veckorna. Kartlägg era nuvarande säkerhetsåtgärder mot kraven på riskhantering och täpp till de tydligaste luckorna först, med särskild uppmärksamhet på upptäckt och rapportering av incidenter så att ni klarar tidsgränserna på tjugofyra och sjuttiotvå timmar. Involvera ledningsorganet tidigt, eftersom lagen nu förväntar sig att styrelsen förstår och godkänner arbetssättet. Och håll ett öga på de detaljerade föreskrifterna som börjar gälla den 1 juli och den 1 oktober 2026, för det är där de konkreta förväntningarna slås fast.
Vanliga frågor
Gäller cybersäkerhetslagen bara kritisk infrastruktur?
Nej. Den gäller väsentliga och viktiga verksamheter i arton breda sektorer, bland annat livsmedel, tillverkning, avfall och digitala tjänster. Många vanliga företag omfattas, och eftersom hela verksamheten omfattas kan reglerna nå ett helt företag, inte bara en enskild omfattad verksamhet.
När måste mitt företag anmäla sig?
Verksamheter som faller inom tillämpningsområdet måste anmäla sig via den nationella anmälningstjänsten senast den 30 september 2026. Tjänsten öppnade den 2 februari 2026, så den är tillgänglig nu, och en tidig anmälan ger tid att hantera de säkerhets- och rapporteringskrav som fasas in under 2026.
Vad händer om vi inte följer lagen?
Tillsynsmyndigheterna kan besluta om rättelse och ta ut sanktionsavgifter, som enligt direktivet kan uppgå till tio miljoner euro eller två procent av den globala årsomsättningen för väsentliga verksamheter. Ledningen kan dessutom hållas personligt ansvarig vid allvarliga brister.
Slutsats
Cybersäkerhetslagen gör cybersäkerhet till en rättslig skyldighet i stället för en teknisk ambition för tusentals företag som ännu inte ser sig själva som omfattade. Lagen gäller redan, tidsgränsen för anmälan den 30 september 2026 är nära, och de detaljerade kraven kommer under andra halvåret. På Lawgent hjälper vi företag att avgöra om de omfattas, att anmäla sig i tid och att bygga en cybersäkerhetsstyrning som uppfyller lagen utan att överväldiga verksamheten. Hör av dig för en kostnadsfri första timme så hjälper vi dig att ta reda på exakt var du står.
