Cybersäkerhets­lagen och NIS2: vad kunden och leverantören måste göra

01Utgångsläget hösten 2026

NIS 2-direktivet (öppnar en extern webbplats), direktiv (EU) 2022/2555, publicerades i Europeiska unionens officiella tidning 27 december 2022 och trädde i kraft 16 januari 2023. Senast 17 oktober 2024 skulle medlemsstaterna ha antagit och offentliggjort sina nationella regler, som skulle tillämpas från 18 oktober 2024. Samma dag upphävdes det första NIS-direktivet.

Ett direktiv binder inte organisationerna direkt; det gör den nationella lagen. I Finland är det cybersäkerhetslagen (124/2025), som trädde i kraft 8 april 2025. De aktörer som omfattas skulle göra sin anmälan till tillsynsmyndigheten senast 8 maj 2025. Tillsynen är uppdelad på sektorsmyndigheter, bland dem Transport- och kommunikationsverket Traficom, Energimyndigheten, Säkerhets- och kemikalieverket och Tillstånds- och tillsynsverket, som började sin verksamhet vid ingången av 2026. Cybersäkerhetscentret vid Traficom är gemensam kontaktpunkt, och Traficoms CSIRT-enhet är organisatoriskt skild från tillsynen.

I övriga medlemsstater har genomförandet gått i olika takt. En del tillämpade sina lagar i tid, andra först 2025 eller 2026, och kommissionen har inlett överträdelseförfaranden mot de medlemsstater som inte höll tidsfristen. För en organisation med verksamhet i flera länder ser registreringen, kanalerna för rapportering och tillsynsmyndigheterna därför olika ut.

02Vilka som omfattas

NIS2 gäller offentliga och privata entiteter i sektorerna i bilaga I, de högkritiska: energi, transporter, bank, finansmarknadens infrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, förvaltning av IKT-tjänster, offentlig förvaltning och rymden. Därtill kommer de andra kritiska sektorerna i bilaga II: post och bud, avfall, kemikalier, livsmedel, tillverkning, digitala leverantörer och forskning. I regel omfattas medelstora och stora organisationer. Vissa omfattas oberoende av storlek, bland dem tillhandahållare av betrodda tjänster, DNS-leverantörer och statliga förvaltningsmyndigheter.

Organisationerna delas sedan in i två grupper enligt artikel 3:

• Väsentliga entiteter: framför allt stora organisationer i sektorerna i bilaga I, och sådana som alltid räknas som väsentliga, till exempel kvalificerade tillhandahållare av betrodda tjänster, registreringsenheter för toppdomäner, DNS-leverantörer och statliga förvaltningsmyndigheter. Tillsynen sker i förväg och kan innefatta revisioner och inspektioner på plats.
• Viktiga entiteter: de övriga organisationerna i bilagorna I och II. Tillsynen sker i efterhand, när det finns tecken på att kraven inte följs.

Grundkraven är desamma för båda grupperna: åtgärder för riskhantering (artikel 21), rapportering av incidenter (artikel 23) och ledningens ansvar (artikel 20). Skillnaden gäller tillsynen och sanktionsavgifterna. För brott mot artikel 21 eller 23 ska den högsta avgiften enligt nationell lag vara minst 10 miljoner euro eller 2 % av den globala årsomsättningen för väsentliga entiteter, och minst 7 miljoner euro eller 1,4 % för viktiga entiteter, beroende på vilket belopp som är störst. Medlemsstaterna bestämmer själva om, och hur långt, avgifter kan tas ut av den offentliga förvaltningen.

Kan programvaru­leverantören själv omfattas?

Att utveckla programvara är inte i sig en NIS2-sektor. Leverantören kan ändå omfattas direkt. Bilaga I nämner leverantörer av hanterade tjänster, och definitionen är vid: den som installerar, förvaltar, driver eller underhåller IKT-produkter, nät, infrastruktur eller applikationer åt kunder, på plats eller på distans. En medelstor eller större leverantör som driver eller underhåller kundernas applikationer kan alltså omfattas av NIS2 på egen hand, precis som moln- och datacenterleverantörer. För dem preciseras de tekniska kraven i genomförandeförordning (EU) 2024/2690 (öppnar en extern webbplats).

De flesta programvaruleverantörer möter dock NIS2 via sina kunder, som omvandlar sin egen skyldighet för leveranskedjan till avtalsvillkor, frågeformulär och revisioner. Programvaruprodukter omfattas därtill av cyberresiliensförordningen (öppnar en extern webbplats), förordning (EU) 2024/2847: skyldigheten att rapportera aktivt utnyttjade sårbarheter och allvarliga incidenter gäller från 11 september 2026, och resten av förordningen från 11 december 2027.

03Tio minimiåtgärder enligt artikel 21

Artikel 21 kräver tekniska, operativa och organisatoriska åtgärder som är lämpliga och proportionella och som tar hänsyn till alla slags risker. De ska följa den senaste tekniken och relevanta europeiska och internationella standarder, och anpassas till hur utsatt entiteten är, hur stor den är och hur allvarliga incidenter kan bli. Som minimum ingår:

1. 01policyer för riskanalys och säkerhet i informationssystemen;
2. 02hantering av incidenter;
3. 03kontinuitet, till exempel säkerhetskopiering och återställning efter katastrofer, och krishantering;
4. 04säkerhet i leveranskedjan, också säkerheten i relationerna med direkta leverantörer och tjänsteleverantörer;
5. 05säkerhet när nätverks- och informationssystem anskaffas, utvecklas och underhålls, inklusive hantering och offentliggörande av sårbarheter;
6. 06policyer och rutiner för att bedöma om åtgärderna fungerar;
7. 07grundläggande cyberhygien och utbildning i cybersäkerhet;
8. 08policyer och rutiner för kryptografi och, där det behövs, kryptering;
9. 09personalsäkerhet, åtkomstpolicyer och hantering av tillgångar;
10. 10flerfaktorsautentisering eller kontinuerlig autentisering och skyddad kommunikation via röst, video och text samt nödkommunikation, där det behövs.

Det är i punkterna 4 och 5 som leverantörerna kommer in. Enligt artikel 21.3 ska entiteten beakta varje direkt leverantörs specifika sårbarheter, den allmänna kvaliteten på leverantörens produkter och cybersäkerhetsrutiner och hur leverantören arbetar med säker utveckling. Kunden förväntas alltså granska hur programvaran byggs, inte bara slutprodukten.

04Ledningen godkänner och bär ansvaret

Enligt artikel 20 ska ledningsorganen i väsentliga och viktiga entiteter godkänna åtgärderna för att hantera cybersäkerhetsrisker, följa upp hur de genomförs och kunna hållas ansvariga om reglerna bryts. Ledamöterna ska utbildas, och entiteterna uppmanas att utbilda också personalen regelbundet. För ämbetsverk, välfärdsområden och kommuner gäller de nationella reglerna om ansvar för offentliga organisationer och tjänsteinnehavare som tidigare.

Det förändrar samtalet med leverantörerna. En styrelse eller ledningsgrupp som ska godkänna åtgärderna vill se underlag som går att följa: vilken leverantör som stöder vilken tjänst, vilka risker som kvarstår och vad som faktiskt har prövats.

05Rapportering: ett dygn, tre dygn, en månad

Artikel 23 kräver att betydande incidenter rapporteras till CSIRT-enheten eller den behöriga myndigheten. En incident är betydande om den har orsakat eller kan orsaka allvarliga störningar i verksamheten eller ekonomiska förluster för entiteten, eller betydande materiell eller immateriell skada för andra. I Finland finns CSIRT-enheten vid Traficom. Rapporteringen sker stegvis:

När det behövs ska entiteten också utan onödigt dröjsmål informera mottagarna av sina tjänster om betydande incidenter som sannolikt påverkar dem. Nationell lag kan ha egna blanketter och kanaler.

Tiden räknas från det att entiteten får vetskap om incidenten. Börjar den i en leverantörs system klarar kunden fristen på ett dygn bara om leverantören upptäcker incidenten, förstår vad den är och skickar vidare informationen inom några timmar. Därför hör upptäckt, loggning och en överenskommen kanal för anmälan hemma i avtalet och är inte bara tekniska detaljer.

06Vad en kund under cybersäkerhets­lagen kommer att kräva av sin leverantör

I praktiken översätts artikel 21 till åtgärder och underlag som en leverantör ska kunna visa upp utan att först starta ett projekt. De vanligaste kraven:

• Säker utveckling. Hotmodellering inför större ändringar, granskning av kolleger, automatiska säkerhetstester och kontroll av beroenden i pipelinen, signerade byggen och en programvaruförteckning (SBOM) för varje version.
• Hantering av sårbarheter. En publicerad väg för att rapportera sårbarheter, svarstider som beror på allvarlighetsgrad och besked till kunden när en sårbarhet berör kundens miljö.
• Behörigheter för leverantörens personal. Personliga konton, flerfaktorsautentisering, så små behörigheter som möjligt, tidsbegränsad utökad åtkomst och logg över varje administrativ åtgärd i kundens miljö.
• Loggar och underlag vid incidenter. Säkerhetsrelevanta händelser loggas med tillförlitliga tidsstämplar, sparas den tid man kommit överens om och kan exporteras, så att kunden kan svara på frågorna i den tidiga varningen och i slutrapporten.
• Samarbete vid incidenter. En utsedd kontaktperson och kanal, en tid för anmälan som ryms med god marginal inom kundens 24 timmar och hjälp med att utreda grundorsaken.
• Kontinuitet och återställning. Säkerhetskopior som har prövats genom faktisk återställning, mål för återställningen som stämmer med kundens och en inövad rutin.
• Dokumentation av leveranskedjan. En aktuell lista över underleverantörer och driftsplatser och över de viktigaste komponenterna och tjänsterna från tredje part som lösningen är beroende av.
• En exitplan. Export av data i användbara format, dokumentation och hjälp vid överlämningen, så att kunden kan byta leverantör och ändå behålla kontrollen över tjänsten.

Inget av detta är nytt för ett moget utvecklingsteam. Det nya är att kunden måste kunna visa det för sin tillsynsmyndighet. På sidan Förtroende och regelefterlevnad beskriver vi hur vi arbetar som leverantör, bland annat ledningssystemet för informationssäkerhet som är certifierat enligt ISO/IEC 27001.

07Checklista för avtal och upphandling

1. 01Knyt leverantörerna till tjänsterna. Anteckna vilka leverantörer som stöder vilka tjänster som omfattas och vilka som har åtkomst till organisationens system eller data.
2. 02Dela in efter hur kritiska de är. De strängaste kraven gäller leverantörer som driver eller kan ändra kritiska system.
3. 03Skriv in åtgärderna i avtalet. Säkerhetskrav, tid och kanal för incidentanmälan, hantering av sårbarheter, loggning och lagringstid, rätt till revision eller underlag, regler för underleverantörer och platser. En upphandlande enhet tar in kraven redan i anbudsförfrågan och upphandlingsdokumenten.
4. 04Kräv belägg, inte försäkringar. Certifikat med omfattning, testresultat, en SBOM och datum för det senaste återställningstestet.
5. 05Kom överens om exit från början. Återlämnande av data, hjälp vid övergången och hur länge leverantören håller tjänsten igång.
6. 06Öva tillsammans. Gör en incidentövning med de kritiska leverantörerna, där den tidiga varningen inom 24 timmar ingår.
7. 07Följ upp regelbundet. Leverantörer, tjänster och hot ändras; ett leverantörsregister som uppdateras en gång om året är inaktuellt större delen av tiden.

08Detaljerna avgörs i nationell lag

Registrering, kanaler för rapportering, blanketter, behörig myndighet och eventuella tilläggskrav följer av den nationella lagen. I Finland gäller cybersäkerhetslagen (124/2025) och sektorsmyndigheternas anvisningar, och Cybersäkerhetscentret vid Traficom är gemensam kontaktpunkt. Vissa medlemsstater kopplar åtgärderna i artikel 21 till ett nationellt ramverk eller en certifiering. Huvudregeln är att en entitet lyder under den medlemsstat där den är etablerad. Artikel 26 gör undantag: leverantörer av allmänna elektroniska kommunikationstjänster lyder under varje land där de levererar tjänster, leverantörer av molntjänster, datacentraltjänster och hanterade tjänster samt flera andra digitala leverantörer under landet där de har sitt huvudsakliga etableringsställe, och den offentliga förvaltningens entiteter under den stat som inrättat dem. För en finländsk koncern med dotterbolag i Sverige eller Baltikum gäller alltså respektive lands lag för bolagen där.

09Att följa under de kommande månaderna

• Sektorsmyndigheternas anvisningar enligt cybersäkerhetslagen och, för koncerner med bolag utomlands, lagstiftningen i de länderna.
• Kommissionens förslag till digital omnibus (öppnar en extern webbplats) från 19 november 2025, COM(2025) 837, enligt vilket incidentrapporter enligt NIS2, dataskyddsförordningen, DORA och andra rättsakter skulle gå via en gemensam ingång hos Enisa. I oktober 2026 var förslaget fortfarande under behandling i Europaparlamentet (öppnar en extern webbplats)); tills det har antagits och börjat tillämpas gäller nuvarande kanaler och tidsfrister.
• Samordnade riskbedömningar på EU-nivå av kritiska leveranskedjor för IKT enligt artikel 22, som entiteterna ska ta hänsyn till när de bestämmer vad de kräver av sina leverantörer.
• Tidsplanen för cyberresiliensförordningen, som ska tillämpas fullt ut på programvaruprodukter från 11 december 2027.

För finansiella entiteter ersätter DORA-förordningen NIS2-reglerna om IKT-riskhantering, incidentrapportering och tillsyn; läs mer i vår artikel om DORA och IKT-leverantörer. Kommissionen samlar NIS2 och genomförandeakterna på sin sida om NIS2 (öppnar en extern webbplats).