Därför berör cybersäkerhetslagen fler företag än många tror
Den 15 januari 2026 trädde den svenska cybersäkerhetslagen (SFS 2025:1506) i kraft och införlivade EU:s NIS2-direktiv, direktiv (EU) 2022/2555, i svensk lagstiftning. Många företagare antar att detta är en fråga för elbolag, banker och stora IT-leverantörer, och att medelstora företag inte behöver oroa sig. Det är en missuppfattning som är värd att rätta till tidigt. Lagen förväntas beröra omkring 8 000 organisationer inom arton sektorer, varav många är helt vanliga företag som aldrig har sett sig själva som samhällsviktiga, och den första skarpa tidsgränsen, anmälan senast den 30 september 2026, är bara några månader bort.
Vad är den nya cybersäkerhetslagen?
Lagen är Sveriges implementering av NIS2, EU-direktivet som etablerar en gemensam miniminivå för cybersäkerhet i hela unionen. Den ersätter den tidigare lagen om informationssäkerhet för samhällsviktiga och digitala tjänster (2018:1174) och utökar både kretsen av företag som omfattas och deras skyldigheter. Sverige var det nittonde medlemslandet att implementera direktivet, långt efter EU:s tidsfrist den 18 oktober 2024, vilket delvis förklarar den pressade tidsplanen nu. Vid sidan av lagen finns cybersäkerhetsförordningen (SFS 2025:1507) och en rad detaljerade föreskrifter från tillsynsmyndigheterna som specificerar de praktiska kraven.
Vilka företag omfattas?
Lagen delar in organisationer i väsentliga och viktiga verksamheter i arton sektorer, bland dem energi, transport, bank och finansmarknadsinfrastruktur, hälsa, dricks- och avloppsvatten, digital infrastruktur, offentlig förvaltning, rymd, posttjänster, avfallshantering, kemikalier, livsmedel, tillverkning, digitala leverantörer och forskning. I de flesta fall omfattas ett företag om det är verksamt i någon av dessa sektorer och är minst medelstort, vilket ungefär betyder femtio eller fler anställda eller en årsomsättning eller balansomslutning över tio miljoner euro, även om vissa leverantörer omfattas oavsett storlek.
Hela verksamheten omfattas
En särart i det svenska genomförandet överraskar många företag. När en organisation väl faller inom lagens tillämpningsområde på grund av en verksamhet gäller kraven för hela verksamheten, inte bara den specifika tjänst som utlöste att lagen blev tillämplig. En tillverkare med en liten omfattad logistik- eller digital del kan därför få hela sin verksamhet under regelverket, vilket gör en tidig bedömning av tillämpningsområdet mer värdefull än många förväntar sig.
Vad kräver lagen?
I grunden kräver lagen att omfattade verksamheter hanterar cybersäkerhetsrisker strukturerat och snabbt rapporterar allvarliga incidenter. Åtgärderna för riskhantering inkluderar bland annat policyer, incidenthantering, verksamhetskontinuitet, leveranskedjans säkerhet, åtkomstkontroll och personalutbildning. Föreskrifterna om incidentrapportering och informationsplikt träder i kraft den 1 juli 2026, och reglerna om säkerhetsåtgärder och ledningsutbildning följer den 1 oktober 2026. Rapporteringen följer NIS2-mönstret med en tidig varning inom tjugofyra timmar, en mer detaljerad anmälan inom sjuttiotvå timmar och en slutrapport inom en månad.
Ledningen har ett personligt ansvar
Lagen flyttar in cybersäkerheten i styrelserummet. Ledningsorganen måste godkänna riskåtgärder, säkerställa att de implementeras och själva delta i utbildning, och de kan hållas ansvariga om organisationen brister. Cybersäkerhet är inte längre något som t.
Ett räkneexempel
Föreställ dig en svensk livsmedelsproducent med cirka nittio anställda som driver en egen logistikplattform och säljer till återförsäljare i hela Norden. Livsmedelsproduktion är en av de arton sektorerna och företaget överskrider storlekströskeln, vilket gör det sannolikt till en viktig verksamhet enligt lagen. Det måste registrera sig via den nationella tjänsten senast den 30 september 2026, implementera strukturerade åtgärder för riskhantering och kunna rapportera en allvarlig incident inom tjugofyra till sjuttiotvå timmar. Eftersom hela verksamheten omfattas gäller kraven inte bara logistikplattformen utan hela företaget, och det är styrelsen, inte bara IT-chefen, som har ansvaret.
Vanliga misstag
Det vanligaste misstaget är att anta att lagen bara gäller kritisk infrastruktur eller teknikföretag, när den i praktiken når tillverkare, livsmedelsproducenter, avfallsaktörer och många andra. Ett andra misstag är att tro att ett mindre företag automatiskt är undantaget, när storlekströskeln är lägre än många tror och vissa leverantörer omfattas oavsett. Ett tredje är att behandla anmälan som mållinjen i stället för starten, eftersom de materiella säkerhets- och rapporteringskraven fasas in under 2026. Slutligen antar en del företag att eftersom Sverige genomförde direktivet sent så ligger tillsynen långt fram i tiden, när lagen redan gäller och tillsynsmyndigheterna bygger upp sin tillsyn nu.
Rekommenderade åtgärder
Börja med att ta reda på om ni omfattas genom att stämma av er sektor mot de arton som räknas upp och er storlek mot trösklarna, och kom ihåg att hela verksamheten omfattas när ni gör det. Om ni omfattas, anmäl er via den nationella anmälningstjänsten i god tid före den 30 september 2026 i stället för att vänta till de sista veckorna. Kartlägg era nuvarande säkerhetsåtgärder mot kraven på riskhantering och täpp till de tydligaste luckorna först, med särskild uppmärksamhet på upptäckt och rapportering av incidenter så att ni klarar tidsgränserna på tjugofyra och sjuttiotvå timmar. Involvera ledningsorganet tidigt, eftersom lagen nu förväntar sig att styrelsen förstår och godkänner arbetssättet. Och håll ett öga på de detaljerade föreskrifterna som börjar gälla den 1 juli och den 1 oktober 2026, för det är där de konkreta förväntningarna slås fast.
Vanliga frågor
Nej, cybersäkerhetslagen gäller inte bara kritisk infrastruktur. Den omfattar även andra typer av organisationer och sektorer.
Nej. Den gäller väsentliga och viktiga verksamheter inom arton breda sektorer, inklusive livsmedel, tillverkning, avfall och digitala tjänster. Många vanliga företag omfattas, och eftersom hela verksamheten omfattas kan reglerna nå ett helt företag, inte bara en enskild omfattad verksamhet.
När måste mitt företag registreras?
Verksamheter som omfattas av regelverket måste anmäla sig via den nationella anmälningsportalen senast den 30 september 2026. Portalen öppnade den 2 februari 2026, så den är redan tillgänglig. En tidig anmälan ger tid att hantera de säkerhets- och rapporteringskrav som införs gradvis under 2026.
Vad händer om vi inte följer lagen?
Tillsynsmyndigheterna kan besluta om rättelse och ta ut sanktionsavgifter, som enligt direktivet kan uppgå till tio miljoner euro eller två procent av den globala årsomsättningen för väsentliga verksamheter. Ledningen kan dessutom hållas personligt ansvarig vid allvarliga brister.
Slutsats
Cybersäkerhetslagen gör cybersäkerhet till en rättslig skyldighet istället för en teknisk ambition för tusentals företag som ännu inte ser sig själva som omfattade. Lagen gäller redan, tidsfristen för anmälan den 30 september 2026 närmar sig, och de detaljerade kraven kommer under andra halvåret. På Lawgent hjälper vi företag att avgöra om de omfattas, att anmäla sig i tid och att bygga en cybersäkerhetsstyrning som uppfyller lagen utan att överväldiga verksamheten. Hör av dig för en kostnadsfri första timme så hjälper vi dig att ta reda på exakt var du står.
