Cybersäkerhetslagen och NIS2: vad betyder det för små och medelstora företag?

Den 15 januari 2026 trädde cybersäkerhetslagen (SFS 2025:1506) i kraft. Den genomför EU:s NIS2-direktiv i svensk rätt och ersätter den tidigare NIS-lagen. För många företag har frågan sedan dess varit densamma: gäller det här oss?

Svaret är oftare nej än ja för de minsta företagen – men det betyder inte att lagen saknar betydelse för dem.

Vilka omfattas?

Lagen gäller verksamheter inom ett stort antal sektorer, bland annat energi, transporter, bank och finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten och avlopp, digital infrastruktur, förvaltning av IKT-tjänster, offentlig förvaltning, post- och budtjänster, avfallshantering, kemikalier, livsmedel, tillverkning, digitala leverantörer och forskning.

Huvudregeln är att lagen träffar medelstora och stora företag inom dessa sektorer – i EU:s definition minst 50 anställda eller en årsomsättning och balansomslutning över 10 miljoner euro. Vissa verksamheter omfattas oavsett storlek, till exempel leverantörer av DNS-tjänster och vissa offentliga aktörer.

Vad kräver lagen?

För den som omfattas finns fyra huvudsakliga skyldigheter:

1. Riskhanteringsåtgärder. Lämpliga tekniska och organisatoriska åtgärder för att hantera risker mot nätverks- och informationssystem. NIS2-direktivet listar bland annat riskanalys, incidenthantering, kontinuitet och säkerhetskopiering, säkerhet i leverantörskedjan, sårbarhetshantering, grundläggande cyberhygien och utbildning, kryptering, åtkomstkontroll och flerfaktorsautentisering.
2. Incidentrapportering. Betydande incidenter ska rapporteras i flera steg. Direktivet anger en tidig varning inom 24 timmar, en incidentanmälan inom 72 timmar och en slutrapport inom en månad.
3. Ledningens ansvar. Ledningen ska godkänna och följa upp åtgärderna och själv ha tillräcklig kunskap om cybersäkerhet.
4. Registrering. Verksamheter som omfattas ska anmäla sig till tillsynsmyndigheten.

NIS2-direktivet anger att sanktionsavgifterna ska kunna uppgå till minst 10 miljoner euro eller 2 procent av den globala årsomsättningen för väsentliga verksamheter, och minst 7 miljoner euro eller 1,4 procent för viktiga verksamheter.

Varför påverkas även företag som inte omfattas?

Här blir det intressant för mindre företag. En av riskhanteringsåtgärderna är säkerhet i leverantörskedjan. Den som omfattas av lagen måste alltså ställa krav på sina leverantörer – och det märks redan i upphandlingar och avtal.

Är ni underleverantör till en kommun, en energiaktör, en vårdgivare eller ett större industriföretag kan ni räkna med frågor som:

• Hur hanterar ni sårbarheter och säkerhetsuppdateringar?
• Använder ni flerfaktorsautentisering?
• Hur skyddar ni er e-post mot förfalskning?
• Kan ni visa dokumentation över ert säkerhetsarbete?

Företag som kan svara tydligt – med underlag – har en fördel.

Fem saker att göra nu

1. Inventera. Vilka domäner, webbplatser och tjänster har ni? Vem ansvarar för dem? En aktuell tillgångsförteckning är grunden för all riskhantering.
2. Inför flerfaktorsautentisering för e-post, administratörskonton och fjärråtkomst.
3. Säkra er e-post med SPF, DKIM och DMARC – se vår guide SPF, DKIM och DMARC förklarat.
4. Bevaka det som syns utifrån. Certifikat, säkerhetsinställningar och exponerade konton förändras över tid. Kontinuerlig övervakning fångar förändringar innan de blir incidenter.
5. Dokumentera. Skriv ner vad ni kontrollerar, vad ni hittar och vad ni gör åt det. Dokumentationen är ofta det som avgör en granskning.

Hur Värn kan hjälpa till

Värn ersätter inte en riskanalys eller ett ledningssystem, men ger er underlag för flera av punkterna ovan: en tillgångsförteckning över verifierade domäner, kontinuerlig kontroll av extern konfiguration, prioriterade fynd med åtgärdsförslag och rapporter med tidsstämplar som visar vad som gjorts. Rapporterna innehåller en vägledande koppling till NIS2, GDPR och ISO/IEC 27001.