Text: Gibon

Imorgon den 15 januari 2026 börjar EU:s uppdaterade cybersäkerhetsdirektiv NIS2 gälla i Sverige genom den nya cybersäkerhetslagen. Syftet är att höja den digitala motståndskraften i hela samhället, inte bara hos de mest kritiska aktörerna. Här är tre saker du behöver ha koll på och vad som faktiskt kan hända om du inte följer reglerna.

📌 Fler organisationer omfattas än det tidigare direktivet

NIS2 riktar sig till en betydligt bredare grupp än tidigare. Det handlar inte längre bara om elbolag, sjukhus och vattenleverantörer. Nu inkluderas även:

medelstora och stora företag inom IT, digital infrastruktur, transport, avfallshantering, tillverkning, livsmedel, post- och budtjänster

leverantörer och underleverantörer som är viktiga för driften

företag som hanterar kritiska tjänster åt andra, även om de själva inte är samhällskritiska

Det innebär att många verksamheter som tidigare inte behövt tänka på NIS nu behöver göra en ordentlig analys av om de omfattas och vad det innebär. För många organisationer blir det därför första gången cybersäkerhet blir en reglerad fråga, vilket gör det extra viktigt att börja i tid.

🛡️ Skärpta krav på säkerhetsåtgärder

NIS2 ställer krav på både tekniska, organisatoriska och administrativa åtgärder. Det räcker alltså inte att ha ett antivirusprogram och en brandvägg. Organisationer måste kunna visa att de arbetar systematiskt och riskbaserat.

Det innebär bland annat:

att göra regelbundna riskanalyser

att ha dokumenterade rutiner för incidenthantering

att arbeta med kontinuitetsplanering och återställning

att säkerställa säkerhet i leverantörskedjan

att utbilda personalen i säkerhetsmedvetenhet

att rapportera allvarliga incidenter inom 24 timmar

Det här är inte en engångsinsats utan ett löpande arbete som ska följas upp, mätas och förbättras. NIS2 gör det tydligt att cybersäkerhet är en del av verksamhetsstyrningen snarare än en teknisk detalj.

🎯 Ledningen har ett tydligt ansvar

En av de största förändringarna i NIS2 är att ledningen får ett uttryckligt ansvar. Det innebär att styrelse och VD måste:

förstå riskerna

fatta beslut om säkerhetsåtgärder

följa upp att arbetet faktiskt genomförs

säkerställa att organisationen har rätt kompetens

Ledningen alltså måste kunna påvisa att de har kontroll och att de agerat när risker uppstått. Det här skapar en helt ny nivå av ansvarstagande och transparens.

⚠️ Vad händer om man inte följer NIS2?

Konsekvenserna att inte följa direktivet är betydligt skarpare än tidigare, och de är utformade för att få organisationer att ta frågan på allvar. EU signalerar alltså tydligt att cybersäkerhet inte är valfritt att prioritera. Så, hur ser effekterna av att inte följa NIS2-direktivet ut?

💸 Höga sanktionsavgifter
Böter kan bli mycket kännbara. NIS2 öppnar för sanktionsavgifter som kan uppgå till miljonbelopp, beroende på verksamhetens storlek och hur allvarliga bristerna är.

📝 Förelägganden och krav på åtgärder
Tillsynsmyndigheter kan kräva att organisationen omedelbart vidtar åtgärder – ibland omfattande sådana.
Det kan handla om allt från att införa nya rutiner till att bygga om delar av IT‑miljön.
Det kan bli både tidskrävande och kostsamt om man ligger efter.

👤 Personligt ansvar för ledningen
Ledningen kan hållas ansvarig vid allvarliga brister vilket innebär att styrelse och VD måste kunna visa att de har gjort sitt jobb, annars kan det få konsekvenser för dem personligen. Det här är en av de mest omtalade delarna av NIS2, eftersom den skapar ett helt nytt tryck på styrning och uppföljning.

🛑 Risk för verksamhetsstörningar
Vid allvarliga brister kan myndigheter begränsa eller stoppa verksamheten tills säkerheten är tillräcklig. Det är ett kraftfullt verktyg som visar hur viktigt EU anser att digital robusthet är för samhällets funktion.

Om er verksamhet ännu inte kommit igång med NIS-arbetet brinner det lite i knutarna. Men misströsta inte, det går snabbt när vi väl sätter igång! Oavsett var ni befinner er så hjälper vi er att säkerställa det ni behöver för att vara säker inför NIS2-direktivet.

BIld: Kiều Trường