NIS2 och cybersäkerhetslagen
Senast uppdaterad:
Cybersäkerhetslagen genomför NIS2-direktivet i Sverige och gäller sedan 15 januari 2026. Varje sektor har en eller flera tillsynsmyndigheter, och sedan 1 juli 2026 samordnar NCSC vid FRA arbetet nationellt. Lagen omfattar 18 sektorer och kräver dokumenterad riskanalys, riskhanteringsåtgärder och incidentrapportering. Den mandaterar inte kameror eller annan specifik säkerhetsteknik.
Vad lagen kräver
Dokumenterad riskanalys, riskhanteringsåtgärder, kontinuitetsplanering och incidentrapportering. Lagen pekar inte ut specifik säkerhetsteknik.
Vilka som omfattas
18 sektorer, däribland avfallshantering, dricksvatten, avloppsvatten, energi, transport, livsmedel och tillverkning.
Anmälningsplikt gäller nu
Anmälan ska göras så snart det kan ske. Sedan 1 juli 2026 tar NCSC vid FRA emot anmälningarna.
Tillsyn
Varje sektor har en eller flera tillsynsmyndigheter. Sedan 1 juli 2026 tar NCSC vid FRA emot incidentrapporterna och samordnar arbetet.
Söker du kraven på fysiskt skydd?
NIS2 handlar om cybersäkerhet. Det fysiska skyddet av lokaler och kritisk infrastruktur behandlas i stället i förslaget till CER-lag, som har en egen tidplan.
Se även ordlistans definitioner av cybersäkerhetslagen och CER-lagen.
CER-lagen och kravet på fysiskt skydd föreslås träda i kraft 1 januari 2027Fysisk säkerhet under NIS2 och CER
Oavsett om ni omfattas av cybersäkerhetslagen, CER-lagen eller båda behöver den fysiska säkerheten samma grund:
- Kontroll över vem och vad som får tillträde till era anläggningar.
- Loggning och spårbarhet, så att ni kan visa vad som hänt och när.
- Detektion i realtid, inte bara inspelning för granskning i efterhand.
- Krav även på leverantörer, vilket gör var data lagras och behandlas till en fråga.
Sitewatch samlar passage, kameror, sensorer och larm i en plattform med full loggning. Ingen säkerhetsdata lämnar EU. Drift och lagring sker hos svensk hostingleverantör. Logiken bakom hur händelser hanteras beskriver vi i artikeln om eventbaserad säkerhet.
Ladda ner guiden om NIS2 och CER
En kort, praktisk genomgång av vad regelverken betyder för er säkerhet, vilka åtgärder ni behöver kunna visa upp och hur ni kommer igång. Guiden är fritt nedladdningsbar, inget formulär krävs.
- Vad cybersäkerhetslagen kräver av riskanalys och rapportering
- Vilka verksamheter som omfattas
- Tidslinje och anmälningsplikt
- Checklista för fysiska säkerhetsåtgärder
Källor
- NCSC, "Det här är cybersäkerhetslagen" (2026)
- Riksdagen, Svensk författningssamling, cybersäkerhetslagen (2026)
- Regeringen, Proposition om genomförande av NIS2-direktivet i svensk rätt (2025)
- EUR-Lex, Direktiv (EU) 2022/2555 (NIS2) (2022)
Läs också
- CER-lagen och fysiskt skyddFörslaget till systerlag om fysisk motståndskraft från 1 januari 2027.
- Regelefterlevnad i plattformenLoggning, åtkomststyrning och rapportering samlat.
- Ordlista: cybersäkerhetslagenKort definition av lagen och dess tillämpning.
- Svensk säkerhetsplattformDatasuveränitet, drift i Sverige och jurisdiktion.
Relaterat innehåll
- Datasuveränitet för svensk säkerhetsdataVar data lagras, vem som har åtkomst och varför det spelar roll.
- Svensk säkerhetsplattform, ingen säkerhetsdata lämnar EUVarför datasuveränitet påverkar val av säkerhetsplattform.
- VA-anläggningar: fysiskt skydd enligt LIVSFS 2008:13Skydd av vattenverk och pumpstationer med dokumenterad åtkomst.
- CER-lagen och kravet på fysiskt skyddVad lagförslaget kräver av kritiska verksamhetsutövare från 2027.
Begrepp som används på den här sidan förklaras i ordlistan: cybersäkerhetslagen och datasuveränitet.