TL;DRCybersäkerhetslagen gäller sedan den 15 januari 2026 och bygger på EU:s NIS2-direktiv. Den omfattar betydligt fler sektorer än tidigare, i regel verksamheter av minst medelstor storlek. Omfattade verksamheter ska registrera sig hos Myndigheten för civilt försvar, arbeta systematiskt med säkerhet och rapportera allvarliga incidenter.
Vad är nytt?
Den nya lagen ersätter den tidigare NIS-lagen. Antalet sektorer har ökat från 7 till 18, och kraven på riskanalys, åtgärder och ledningens ansvar har skärpts. Det betyder att många verksamheter som tidigare inte berördes nu behöver ta ställning till om de omfattas.
Vilka omfattas?
Lagen gäller verksamheter i utpekade sektorer som är av minst medelstor storlek, vilket enligt EU:s definition i regel innebär minst 50 anställda eller en årsomsättning och balansomslutning över 10 miljoner euro. Vissa verksamheter omfattas oavsett storlek, till exempel om de är ensamma om att leverera en samhällsviktig tjänst. Även offentlig förvaltning kan omfattas.
| Exempel på sektorer |
|---|
| Energi, transporter, bank och finansmarknadsinfrastruktur |
| Hälso- och sjukvård, dricksvatten och avloppsvatten |
| Digital infrastruktur och förvaltning av IKT-tjänster |
| Post- och budtjänster, avfallshantering och livsmedel |
| Tillverkning av bland annat kemikalier, datorer, elektronik och maskiner |
| Digitala leverantörer, forskning och offentlig förvaltning |
Förenklad vägledning. Gränsen på 10 miljoner euro har räknats om till ungefär 110 miljoner kronor. Den slutliga bedömningen gör ni själva, med stöd av Myndigheten för civilt försvar och tillsynsmyndigheten för er sektor.
Vad kräver lagen?
- RegistreringOmfattade verksamheter ska själva bedöma att de omfattas och registrera sig hos Myndigheten för civilt försvar.
- Riskanalys och säkerhetsåtgärderArbetet ska vara systematiskt och riskbaserat, med åtgärder som står i proportion till riskerna.
- UtbildningBåde ledning och personal ska utbildas i cybersäkerhet.
- IncidentrapporteringIncidenter som orsakar eller kan orsaka betydande störningar ska rapporteras. NIS2-direktivet anger en tidig varning inom 24 timmar och en incidentanmälan inom 72 timmar.
- TillsynVarje sektor har en tillsynsmyndighet som kan granska arbetet och besluta om sanktioner.
Även för den som inte omfattas är lagens krav en bra checklista: veta vilka system som är viktigast, ha tvåstegsverifiering, fungerande backup och en plan för vad som händer vid en incident.
Vanliga frågor
Vad hände med MSB?
Myndigheten för samhällsskydd och beredskap bytte den 1 januari 2026 namn till Myndigheten för civilt försvar, MCF. Det är dit registreringen görs.
Gäller lagen enskilda firmor?
Mycket små verksamheter omfattas i regel inte direkt, men kan påverkas indirekt som leverantörer till verksamheter som omfattas.