Cybersäkerhetslagen, NIS 2 och dina it-leverantörer: vad båda parter ska göra

01Läget för NIS 2 i Sverige hösten 2026

NIS 2-direktivet (öppnar en extern webbplats), direktiv (EU) 2022/2555, publicerades i Europeiska unionens officiella tidning den 27 december 2022 och trädde i kraft den 16 januari 2023. Medlemsstaterna skulle anta och offentliggöra sina nationella bestämmelser senast den 17 oktober 2024 och tillämpa dem från den 18 oktober 2024, samma dag som det första NIS-direktivet upphävdes.

Eftersom NIS 2 är ett direktiv är det den nationella lagen som binder en organisation. Genomförandet har varit ojämnt, och kommissionen har inlett överträdelseförfaranden mot medlemsstater som missade tidsfristen. Sverige genomförde direktivet med cybersäkerhetslagen (2025:1506) och cybersäkerhetsförordningen (2025:1507), som gäller sedan den 15 januari 2026 och ersätter lag (2018:1174). Föreskrifterna om säkerhetsåtgärder gäller sedan den 1 oktober 2026. Registrering, rapportering och tillsyn skiljer sig därför mellan länderna.

02Väsentliga och viktiga verksamhetsutövare

NIS 2 gäller offentliga och privata verksamheter i sektorerna i bilaga I (högkritiska sektorer: energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, förvaltning av IKT-tjänster, offentlig förvaltning och rymden) och bilaga II (andra kritiska sektorer: post- och budtjänster, avfallshantering, kemikalier, livsmedel, tillverkning, digitala leverantörer och forskning). Som huvudregel omfattas medelstora och stora organisationer. Vissa omfattas oavsett storlek, som tillhandahållare av betrodda tjänster, leverantörer av DNS-tjänster och centrala statliga förvaltningar. I Sverige omfattar cybersäkerhetslagen också offentlig förvaltning, med kommuner och regioner.

Artikel 3 delar sedan in organisationerna i två kategorier:

• Väsentliga verksamhetsutövare: främst stora organisationer i sektorerna i bilaga I, och verksamheter som är väsentliga oavsett storlek, som kvalificerade tillhandahållare av betrodda tjänster, registreringsenheter för toppdomäner, leverantörer av DNS-tjänster och centrala statliga förvaltningar. Tillsynen är proaktiv och kan omfatta revisioner och inspektioner på plats.
• Viktiga verksamhetsutövare: övriga organisationer som omfattas av bilaga I och II. Tillsynen sker i efterhand: myndigheten agerar när det finns tecken på att verksamheten inte följer reglerna.

Båda kategorierna har samma kärnskyldigheter: riskhanteringsåtgärder (artikel 21), incidentrapportering (artikel 23) och ledningens ansvar (artikel 20). Skillnaden ligger i tillsynen och i sanktionerna. För överträdelser av artiklarna 21 eller 23 ska den nationella lagen tillåta sanktionsavgifter på högst 10 miljoner euro eller 2 procent av den globala årsomsättningen för väsentliga verksamhetsutövare, och högst 7 miljoner euro eller 1,4 procent för viktiga verksamhetsutövare, beroende på vilket belopp som är högst. Medlemsstaterna bestämmer om, och i vilken utsträckning, sanktionsavgifter gäller offentlig förvaltning.

Omfattas din it-leverantör själv?

Att skriva programvara är i sig ingen sektor enligt NIS 2. En leverantör kan ändå omfattas direkt. Bilaga I tar upp leverantörer av hanterade tjänster, och NIS 2 definierar dem brett: verksamheter som installerar, förvaltar, driver eller underhåller IKT-produkter, nätverk, infrastruktur eller applikationer åt kunder, på plats eller på distans. En medelstor eller större leverantör som driver eller underhåller applikationer åt sina kunder kan därför omfattas i egen rätt, liksom leverantörer av molntjänster och datacentertjänster. I Sverige är Post- och telestyrelsen (PTS) tillsynsmyndighet för förvaltning av IKT-tjänster mellan företag och för digital infrastruktur, och från den 1 januari 2027 Digitaliseringsmyndigheten. För dessa leverantörer anger genomförandeförordning (EU) 2024/2690 (öppnar en extern webbplats) de tekniska kraven i detalj.

De flesta it-leverantörer möter ändå NIS 2 genom sina kunder, som gör sitt eget ansvar för leverantörskedjan till avtalsklausuler, frågeformulär och revisioner. Programvaruprodukter omfattas dessutom av cyberresiliensförordningen (öppnar en extern webbplats), förordning (EU) 2024/2847: rapporteringsskyldigheterna för aktivt utnyttjade sårbarheter och allvarliga incidenter gäller från den 11 september 2026, och övriga skyldigheter från den 11 december 2027.

03De tio minimiåtgärderna i artikel 21

Artikel 21 kräver lämpliga och proportionella tekniska, operativa och organisatoriska åtgärder som bygger på en ansats som omfattar alla risker. De ska spegla den senaste tekniken och relevanta europeiska och internationella standarder, och stå i proportion till verksamhetens exponering för risker, dess storlek och hur allvarliga incidenterna sannolikt blir. Som minimum omfattar de:

1. 01policyer för riskanalys och informationssystemens säkerhet;
2. 02incidenthantering;
3. 03kontinuitet, som hantering av säkerhetskopior och katastrofåterställning, och krishantering;
4. 04säkerhet i leveranskedjan, inklusive säkerhetsaspekterna i förhållandet till direkta leverantörer och tjänsteleverantörer;
5. 05säkerhet vid förvärv, utveckling och underhåll av nätverks- och informationssystem, inklusive hantering och offentliggörande av sårbarheter;
6. 06policyer och förfaranden för att bedöma om åtgärderna är effektiva;
7. 07grundläggande cyberhygien och utbildning i cybersäkerhet;
8. 08policyer och förfaranden för kryptografi och, där det är lämpligt, kryptering;
9. 09personalsäkerhet, policyer för åtkomstkontroll och hantering av tillgångar;
10. 10flerfaktorsautentisering eller kontinuerlig autentisering, och säker röst-, video- och textkommunikation och nödkommunikation, där det är lämpligt.

Punkterna 4 och 5 är där leverantörerna kommer in. Enligt artikel 21.3 ska verksamheterna beakta de sårbarheter som är specifika för varje direkt leverantör, den övergripande kvaliteten på dess produkter och cybersäkerhetsrutiner och dess förfaranden för säker utveckling. Dina kunder förväntas granska hur du bygger programvara, inte bara vad du levererar.

04Ledningen godkänner, följer upp och svarar

Enligt artikel 20 ska ledningsorganen hos väsentliga och viktiga verksamhetsutövare godkänna åtgärderna för hantering av cybersäkerhetsrisker, följa upp genomförandet och kan hållas ansvariga för överträdelser. Ledamöterna ska gå utbildning, och verksamheterna uppmuntras att också utbilda sina anställda regelbundet. För offentliga aktörer gäller nationella regler om ansvar för offentliga institutioner och tjänstemän som tidigare.

Det ändrar samtalet med leverantörerna. En ledning som ska godkänna åtgärderna vill ha underlag som den kan följa: vilka leverantörer som stöder vilka tjänster, vilka risker som kvarstår och vad som faktiskt har testats.

05Incidentrapportering: 24 timmar, 72 timmar, en månad

Artikel 23 kräver att verksamheterna rapporterar betydande incidenter till sin CSIRT-enhet eller behöriga myndighet. I Sverige rapporteras incidenter till CSIRT-enheten vid Försvarets radioanstalt (FRA). En incident är betydande om den har orsakat, eller kan orsaka, allvarliga driftstörningar eller ekonomiska förluster för verksamheten, eller betydande materiell eller immateriell skada för andra. Rapporteringen sker i steg:

Där det är lämpligt ska verksamheterna också utan onödigt dröjsmål informera mottagarna av sina tjänster om betydande incidenter som sannolikt påverkar tjänsterna. När en incident också är en personuppgiftsincident samarbetar tillsynsmyndigheten med Integritetsskyddsmyndigheten (IMY).

Klockan börjar gå när verksamheten får kännedom om incidenten. Om incidenten börjar i en leverantörs system kan kunden bara hålla tidsfristen på 24 timmar om leverantören upptäcker den, förstår den och för den vidare inom några timmar. Upptäckt, loggning och en överenskommen kanal för underrättelser är därför avtalsvillkor, inte bara tekniska detaljer.

06Vad en kund som omfattas av cybersäkerhets­lagen begär av sin it-leverantör

I praktiken blir artikel 21 tekniska åtgärder och underlag som en leverantör bör kunna visa utan att starta ett projekt. De vi oftast ser:

• En säker utvecklingsprocess. Hotmodellering vid större ändringar, kodgranskning, automatiska säkerhetstester och skanning av beroenden i pipelinen, signerade byggen och en programvaruförteckning (SBOM) för varje release.
• Hantering och offentliggörande av sårbarheter. Ett publicerat sätt att rapportera sårbarheter, svarstider som är överenskomna efter allvarlighetsgrad och ett meddelande till kunden när en sårbarhet påverkar kundens miljö.
• Åtkomstkontroll för leverantörens personal. Personliga konton, flerfaktorsautentisering, minsta möjliga behörighet, tidsbegränsad förhöjd åtkomst och en logg över varje administrativ åtgärd i kundens miljö.
• Loggning och underlag vid incidenter. Säkerhetsrelevanta händelser loggas med tillförlitliga tidsstämplar, sparas under en överenskommen tid och kan exporteras, så att kunden kan besvara frågorna i den tidiga varningen och i slutrapporten.
• Samarbete vid incidenter. En namngiven kontakt och kanal, en tid för underrättelse som ligger väl inom kundens 24 timmar och stöd vid analysen av grundorsaken.
• Kontinuitet och återställning. Säkerhetskopior som har verifierats genom återläsning, återställningsmål som stämmer med kundens och ett inövat förfarande.
• Dokumentation av leverantörskedjan. En aktuell lista över underleverantörer och driftplatser, och över de viktigaste tredjepartskomponenterna och tjänsterna som lösningen är beroende av.
• En exitplan. Export av data i användbara format, dokumentation och stöd vid överlämning, så att kunden kan byta leverantör utan att förlora kontrollen över tjänsten.

Inget av detta är nytt för mogna utvecklingsteam. Det som ändras med NIS 2 är att kunden måste kunna visa det. Vår sida om förtroende och regelefterlevnad beskriver hur vi arbetar som leverantör, bland annat med vårt ledningssystem för informationssäkerhet, certifierat enligt ISO/IEC 27001.

07En checklista för avtal och upphandling

1. 01Koppla leverantörer till tjänster. Skriv ned vilka leverantörer som stöder vilka tjänster som omfattas, och vilka som har åtkomst till dina system eller data.
2. 02Klassa efter kritikalitet. Ställ de tyngsta kraven på leverantörer som driver eller kan ändra kritiska system.
3. 03Skriv in åtgärderna i avtalet. Säkerhetskrav, tid och kanal för underrättelse vid incidenter, hantering av sårbarheter, loggning och lagringstid, rätt till revision eller underlag, regler för underleverantörer och driftplatser. I en upphandling enligt LOU hör kraven hemma i upphandlingsdokumenten.
4. 04Be om underlag, inte försäkringar. Certifikat med sitt omfång, testresultat, en SBOM och datumet för det senaste återställningstestet.
5. 05Kom överens om exit från början. Återlämnande av data, stöd vid övergången och den period då leverantören håller tjänsten igång.
6. 06Öva tillsammans. Genomför en incidentövning med dina kritiska leverantörer, inklusive den tidiga varningen inom 24 timmar.
7. 07Följ upp regelbundet. Leverantörer, tjänster och hot förändras; ett leverantörsregister som uppdateras en gång om året är inaktuellt större delen av året.

08Svensk lag avgör detaljerna

Registrering, rapportering, formulär, behörig myndighet och eventuella ytterligare krav kommer från nationell lag. I Sverige utövar sektorsvisa tillsynsmyndigheter tillsyn enligt cybersäkerhetsförordningen: bland andra Statens energimyndighet för energi, Transportstyrelsen för transport, Finansinspektionen för bank och finansmarknadsinfrastruktur, Inspektionen för vård och omsorg för vårdgivare, Läkemedelsverket för övriga hälso- och sjukvårdssektorn, Livsmedelsverket för dricksvatten och avloppsvatten, PTS för digital infrastruktur och digitala leverantörer (från den 1 januari 2027 Digitaliseringsmyndigheten), och sex länsstyrelser för bland annat offentlig förvaltning, med kommuner och regioner. FRA är gemensam kontaktpunkt och CSIRT-enhet. Som huvudregel lyder en verksamhet under den medlemsstat där den är etablerad. Artikel 26 gör undantag: leverantörer av allmänna elektroniska kommunikationstjänster lyder under varje land där de tillhandahåller tjänster, leverantörer av molntjänster, datacenter och hanterade tjänster och flera andra digitala leverantörer under landet för sitt huvudsakliga etableringsställe, och offentliga förvaltningar under den stat som inrättade dem.

09Att bevaka de kommande månaderna

• Föreskrifterna och vägledningen från din tillsynsmyndighet och från FRA, och att PTS:s uppgifter går över till Digitaliseringsmyndigheten den 1 januari 2027.
• Kommissionens förslag till ett digitalt omnibuspaket (öppnar en extern webbplats) av den 19 november 2025, COM(2025) 837, som skulle leda incidentrapporter enligt NIS 2, dataskyddsförordningen (GDPR), Dora och andra lagar genom en gemensam ingång som drivs av Enisa. I oktober 2026 låg det fortfarande hos Europaparlamentet (öppnar en extern webbplats)); tills det har antagits och börjar gälla gäller nuvarande kanaler och tidsfrister.
• Samordnade riskbedömningar på EU-nivå av kritiska leveranskedjor för IKT enligt artikel 22, som verksamheterna ska beakta när de väljer åtgärder för sina leverantörer.
• Tidplanen för cyberresiliensförordningen för programvaruprodukter, som gäller fullt ut från den 11 december 2027.

För finansiella företag ersätter Dora reglerna i NIS 2 om hantering av IKT-risker, incidentrapportering och tillsyn; läs vår artikel om Dora och IKT-tredjepartsleverantörer. Kommissionen har en översikt över NIS 2 och dess genomförandeakter på sin sida om NIS 2-direktivet (öppnar en extern webbplats).