Omfattas vi av NIS2? Guide för små och medelstora företag
Du omfattas av NIS2, som i Sverige heter cybersäkerhetslagen, om ditt företag verkar i en av lagens 18 sektorer, är minst medelstort och är etablerat i Sverige. Små företag och mikroföretag omfattas som huvudregel inte, men det finns undantag. Lagen gäller sedan 15 januari 2026. Här går vi igenom hur du avgör om ditt företag berörs, vad lagen kräver och vad du gör först. Texten är skriven i november 2026, och reglerna och myndigheternas vägledning uppdateras, så kontrollera alltid NCSC:s sida innan du fattar beslut.
Det här är ingen juridisk rådgivning. Bedömningen av om just ditt företag omfattas ska göras och dokumenteras av dig själv. Vid tveksamhet kan du vända dig till tillsynsmyndigheten eller ett juridiskt ombud.
Vad är NIS2 och cybersäkerhetslagen?
NIS2 är EU:s direktiv (2022/2555) om cybersäkerhet. Sverige har genomfört det i cybersäkerhetslagen (2025:1506) och cybersäkerhetsförordningen (2025:1507). Lagen och förordningen trädde i kraft den 15 januari 2026 och ersätter den tidigare NIS-lagen.
Myndighetsrollerna har också ändrats. Sedan 1 juli 2026 har Nationellt cybersäkerhetscenter (NCSC) vid Försvarets radioanstalt (FRA) tagit över bland annat anmälan och incidentrapportering från Myndigheten för civilt försvar (tidigare MSB). Föreskrifterna heter fortfarande MCFFS, eftersom de utfärdades av den tidigare myndigheten.
Omfattas ditt företag? Tre frågor
1 Verkar ditt företag i en av de 18 sektorerna?
Lagen delar in sektorerna i två grupper.
2 Är ditt företag minst medelstort?
Lagen hänvisar till EU:s definition av företagsstorlek. Enligt vägledningen från den tidigare myndigheten (MCF0027, februari 2026) är ett medelstort företag ett med färre än 250 anställda och en omsättning på högst 50 miljoner euro eller en balansomslutning på högst 43 miljoner euro. Ett litet företag har färre än 50 anställda och högst 10 miljoner euro i omsättning eller balansomslutning. Som tumregel räknas ditt företag alltså som medelstort från 50 anställda, eller när både omsättning och balansomslutning ligger över 10 miljoner euro.
Storleken räknas tillsammans med anknutna företag och partnerföretag, så en koncern kan hamna över gränsen även om det enskilda bolaget är litet. En kategori ändras först när en gräns passerats två år i rad. Den exakta tolkningen finns i myndighetens vägledning.
3 Är ditt företag etablerat i Sverige?
Lagen gäller verksamhetsutövare som är etablerade i Sverige. För molntjänster, datacenter, utlokaliserad IT-drift och liknande digitala tjänster gäller att huvudsakligt etableringsställe ska finnas i Sverige.
När omfattas även små företag?
Huvudregeln är att små företag och mikroföretag inte omfattas. Några grupper omfattas ändå oavsett storlek:
- Leverantörer av allmänna elektroniska kommunikationsnät och kommunikationstjänster.
- Tillhandahållare av betrodda tjänster samt DNS-leverantörer och domännamnsregister.
- Kommuner, regioner och vissa statliga myndigheter.
- Verksamheter som är ensam leverantör av en samhällskritisk tjänst, eller som har särskild nationell eller regional betydelse.
Det finns även särskilda regler för bland annat beredskapsflygplatser, större dricksvattenproducenter och vissa kemikalietillverkare. Allt detta står i lagen och i föreskriften om anmälan och identifiering.
Väsentlig eller viktig verksamhetsutövare
Lagen skiljer på två nivåer. Kraven är i stort sett desamma, men tillsynen och sanktionerna skiljer sig.
Vad kräver lagen?
Säkerhetsåtgärder
Du ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder utifrån ett allriskperspektiv. Lagen räknar upp minst tio områden:
- Riskanalys och säkerhetsstrategi för informationssystem.
- Incidenthantering.
- Kontinuitets- och krishantering, till exempel säkerhetskopior och återställning.
- Säkerhet i leveranskedjan.
- Säkerhet vid förvärv, utveckling och underhåll av system.
- Metoder för att bedöma om åtgärderna fungerar.
- Cyberhygien och utbildning.
- Kryptografi och kryptering.
- Personalsäkerhet, åtkomstkontroll och hantering av tillgångar.
- Autentisering och säkrad kommunikation.
Detaljerna finns i föreskriften MCFFS 2026:11 om säkerhetsåtgärder och ledningens utbildning, som gäller från 1 oktober 2026.
Ledningens ansvar
Ledningen ska genomgå utbildning om säkerhetsåtgärderna. Ledningen kan också drabbas av sanktioner: vid allvarliga överträdelser av en väsentlig verksamhetsutövare kan en förvaltningsrätt förbjuda en person att inneha ledningsfunktion i ett till tre år, om uppsåt eller grov oaktsamhet föreligger och ett föreläggande inte följts.
Incidentrapportering
Tiderna räknas enligt lagen från att du fått kännedom om incidenten. Myndighetens vägledning om incidentrapportering räknar från att incidenten identifierats som betydande enligt föreskriften MCFFS 2026:8, så läs den innan du sätter rutinen. Rapporteringen sker till NCSC sedan 1 juli 2026.
Vad kostar det att strunta i lagen?
Sanktionsavgiften är lägst 5 000 kronor. Taket är det större av en procentsats av den globala årsomsättningen och ett belopp i euro, enligt tabellen ovan, och för offentliga verksamhetsutövare högst 10 miljoner kronor. Tillsynen har börjat. Transportstyrelsen meddelade till exempel den 13 oktober 2026 att de inom kort påbörjar tillsyn av säkerhetsåtgärder hos registrerade aktörer.
Anmälan och tillsyn i Västerbotten
Den som omfattas ska anmäla sin verksamhet så snart det kan ske, och ändringar ska anmälas senast 14 dagar efter att de skett. Enligt NCSC görs anmälan genom att mejla ett Excel-formulär till nis2anmalan@ncsc.se, en anmälan per juridisk person. Kontrollera NCSC:s sida för aktuell instruktion.
Vilken myndighet som har tillsyn beror på sektorn. Länsstyrelsen i Norrbottens län är tillsynsmyndighet för kommuner, regioner och verksamhetsutövare med säte i Jämtlands, Norrbottens, Västerbottens eller Västernorrlands län, men bara inom sektorerna avfall, forskning, offentlig förvaltning, kemikalier samt tillverkning av datorer, elektronik, optik, elapparatur och maskiner. Övriga sektorer har nationella tillsynsmyndigheter, till exempel Energimyndigheten, Transportstyrelsen, Finansinspektionen och Post- och telestyrelsen.
Om du inte omfattas men levererar till någon som gör det
Lagen ställer inga direkta krav på leverantörer som själva inte omfattas. Men verksamhetsutövare som omfattas ska hantera risker i sin leveranskedja, och föreskriften kräver bland annat att de värderar riskerna före förvärv och utkontraktering och försäkrar sig om att leverantören uppfyller kraven. Det betyder i praktiken att kunder kan komma att ställa säkerhetskrav i avtal och granska sina leverantörer. Det är vår slutsats av reglerna, inte något lagen uttryckligen säger om små leverantörer.
Så börjar du
1 Avgör om du omfattas och dokumentera bedömningen
Gå igenom de tre frågorna ovan och skriv ner svaren. Det finns inget generellt självtest, men NCSC:s vägledning för anmälan och identifiering beskriver bedömningen steg för steg.
2 Gör en gapanalys
Jämför ditt nuvarande säkerhetsarbete med de tio områdena och med föreskriften MCFFS 2026:11. NCSC föreslår gapanalys som första steg och pekar på Metodstödet för systematiskt informationssäkerhetsarbete.
3 Utbilda ledningen och sätt en incidentrutin
Ledningens utbildning är ett krav. Bestäm också vem som bedömer om en incident är betydande, och vem som rapporterar inom 24 och 72 timmar.
4 Använd standarder som stöd
De allmänna råden säger att ISO/IEC 27001 och 27002 bör användas som stöd. Det är ett allmänt råd och inte ett krav, och certifiering krävs inte.
Vi hjälper företag i Umeå och Skellefteå med den tekniska sidan av IT-säkerhet, bland annat Microsoft Defender, övervakning och GDPR. Läs mer på sidan om IT-säkerhet och compliance, eller börja med en site survey som visar var riskerna finns.
Vanliga frågor om NIS2
Omfattas små företag av NIS2?
Som huvudregel inte. Små företag och mikroföretag omfattas inte, men det finns undantag, till exempel leverantörer av elektroniska kommunikationsnät, betrodda tjänster och DNS samt verksamheter som är ensam leverantör av en samhällskritisk tjänst.
Vad är skillnaden mellan NIS2 och cybersäkerhetslagen?
NIS2 är EU-direktivet. Cybersäkerhetslagen (2025:1506) är den svenska lagen som genomför det, tillsammans med cybersäkerhetsförordningen (2025:1507).
När började NIS2 gälla i Sverige?
Cybersäkerhetslagen och förordningen trädde i kraft den 15 januari 2026. Föreskriften om säkerhetsåtgärder och ledningens utbildning gäller från 1 oktober 2026, och föreskriften om incidentrapportering från 1 juli 2026.
Hur snabbt ska en incident rapporteras?
En betydande incident ska ge en tidig varning senast 24 timmar efter att du fått kännedom om den, en incidentanmälan senast 72 timmar och en slutrapport senast en månad efter incidentanmälan.
Vad är högsta sanktionsavgiften?
För väsentliga verksamhetsutövare det större av 2 % av global årsomsättning och motsvarande 10 miljoner euro. För viktiga det större av 1,4 % och motsvarande 7 miljoner euro. Lägsta avgift är 5 000 kronor.
Måste vi vara ISO 27001-certifierade?
Nej. De allmänna råden säger att ISO/IEC 27001 och 27002 bör användas som stöd, men certifiering krävs inte.
Vem har tillsyn över företag i Västerbotten?
Det beror på sektorn. Länsstyrelsen i Norrbottens län har tillsyn över vissa sektorer för verksamhetsutövare i Västerbottens län, bland annat avfall, kemikalier och tillverkning av elektronik och maskiner. Övriga sektorer har nationella tillsynsmyndigheter.
Vill du ha hjälp att se var du står?
Berätta kort om verksamheten, så pratar vi om vad som behöver göras i IT-miljön och hur vi kan hjälpa till. Vi finns i Umeå och Skellefteå.
📞 010-149 65 50