NIS2-direktivet – Vad svenska företag måste veta 2026

NIS2-direktivet – Den nya standarden för cybersäkerhet i EU

NIS2 (Network and Information Security Directive 2) är EU:s uppdaterade cybersäkerhetsdirektiv som markant utökar kraven på företag och organisationer i hela unionen. För svenska företag innebär detta nya skyldigheter kring riskhantering, incidentrapportering och leverantörssäkerhet som måste vara på plats.

Vilka företag berörs av NIS2?

NIS2 utökar kraftigt antalet sektorer och organisationer som omfattas jämfört med det ursprungliga NIS-direktivet. Direktivet gör skillnad mellan väsentliga entiteter och viktiga entiteter, där kraven och sanktionerna varierar.

Väsentliga entiteter (Essential entities)

• Energi – Elproducenter, distributörer, fjärrvärme
• Transport – Flyg, järnväg, sjöfart, vägtransport
• Bank & finans – Kreditinstitut, handelsplatser
• Hälso- och sjukvård – Sjukhus, laboratorier, läkemedelstillverkare
• Dricksvatten & avlopp – Vattenförsörjning och avfallshantering
• Digital infrastruktur – DNS-tjänster, molntjänster, datacenter
• Offentlig förvaltning – Centrala myndigheter

Viktiga entiteter (Important entities)

• Post- och budtjänster
• Avfallshantering
• Kemikalier – Tillverkning och distribution
• Livsmedel – Produktion och distribution
• Tillverkning – Medicintekniska produkter, elektronik, fordon
• Digitala tjänster – Sökmotorer, sociala plattformar, marknadsplatser
• Forskning – Forskningsorganisationer

De viktigaste kraven i NIS2

1. Riskhantering och säkerhetsåtgärder

Företag måste implementera tekniska, operativa och organisatoriska åtgärder för att hantera risker mot nätverks- och informationssystem. Detta inkluderar:

• Riskanalys och informationssäkerhetspolicyer
• Incidenthantering och kontinuitetsplanering
• Säkerhet i leverantörskedjan
• Kryptering och åtkomstkontroll
• Multifaktorautentisering (MFA)
• Utbildning i cybersäkerhet för personal

2. Incidentrapportering

NIS2 inför strikta tidsramar för rapportering av betydande säkerhetsincidenter:

• Inom 24 timmar – Tidig varning till behörig myndighet
• Inom 72 timmar – Fullständig incidentrapport med initial bedömning
• Inom 1 månad – Slutrapport med rotorsaksanalys och åtgärder

3. Ledningsansvar

En av de mest betydelsefulla förändringarna i NIS2 är att ledningen hålls personligt ansvarig för att säkerställa efterlevnad. Styrelseledamöter och C-suite måste genomgå utbildning i cybersäkerhet och kan vid allvarliga brister stängas av från ledande befattningar.

Så förbereder du ditt företag – 5 steg

Steg 1: Kartlägg om ni omfattas

Analysera er verksamhet mot NIS2:s sektorslistor och storlekskriterier. Företag med fler än 50 anställda eller en omsättning över 10 miljoner euro i berörda sektorer omfattas generellt.

Steg 2: Genomför en GAP-analys

Jämför er nuvarande säkerhetsnivå med NIS2:s krav. Identifiera brister i riskhantering, incidentprocesser, leverantörskontroller och personalutbildning.

Steg 3: Upprätta en handlingsplan

Prioritera åtgärder baserat på riskbedömning. Fokusera på de mest kritiska bristerna först – incidentrapporteringsprocesser och grundläggande säkerhetshygien.

Steg 4: Implementera tekniska åtgärder

Investera i grundläggande IT-säkerhet inklusive endpoint protection, nätverkssegmentering, MFA och krypterade kommunikationer. Säkerställ att ni har verktyg för loggning och övervakning.

Steg 5: Utbilda och testa

Genomför regelbundna cybersäkerhetsutbildningar för all personal, inklusive ledningen. Testa er incidenthantering med simulerade cyberattacker.

NIS2 och leverantörskedjan

NIS2 ställer särskilda krav på supply chain security. Företag måste säkerställa att deras leverantörer och tjänsteleverantörer uppfyller grundläggande säkerhetskrav. Detta innebär:

• Riskbedömning av alla kritiska leverantörer
• Säkerhetskrav i avtal och upphandlingar
• Kontinuerlig uppföljning av leverantörernas säkerhetsnivå
• Incidentrapportering genom hela leverantörskedjan

Som IT-tjänsteleverantör arbetar Techgruppen proaktivt med att uppfylla NIS2-kraven och stödja våra kunder i deras compliance-arbete.

Sammanfattning

NIS2 representerar en fundamental förändring av cybersäkerhetslandskapet i EU. Svenska företag bör agera nu för att säkerställa efterlevnad och undvika kostsamma sanktioner. Genom att investera i rätt säkerhetsåtgärder stärker ni inte bara er compliance – ni skyddar er verksamhet mot de allt mer sofistikerade cyberhoten.