NIS2 och Cyberbeveiligingswet: omfattas mitt företag?

Sedan den 15 augusti 2026 gäller cybersäkerhetslagen (Cyberbeveiligingswet) i Nederländerna. Du kanske redan har hört termen NIS2 från en kund, en leverantör eller en rådgivare. I den här artikeln får du kort veta vad lagen är, vem som omfattas och vad den betyder för ett litet företag som inte själv omfattas.

Artikeln ger en allmän förklaring och är ingen juridisk rådgivning. Aktuella regler hittar du hos NCSC och i lagtexten.

Vad är det?

NIS2 är ett europeiskt direktiv från 2022 (direktiv (EU) 2022/2555) som ska göra organisationer i viktiga sektorer mer digitalt motståndskraftiga. Varje land inför direktivet i en egen lag. I Nederländerna är det cybersäkerhetslagen (Cyberbeveiligingswet, Cbw). Lagen gäller sedan den 15 augusti 2026, utan övergångsperiod, och ersätter den tidigare lagen om säkerhet i nätverks och informationssystem (Wbni). Enligt NCSC omfattas drygt 8 000 organisationer. NCSC är kontaktpunkten.

Omfattas mitt företag?

Det beror på två frågor: din sektor och din storlek.

1. Arbetar du i en sektor som finns med i lagen?

För vissa sektorer gäller extra villkor. Alla företag som har något med livsmedel att göra omfattas alltså inte automatiskt.

2. Är du tillräckligt stor? Kort sagt omfattas medelstora och stora organisationer. Du räknas med om du:

• har 50 eller fler anställda (heltidstjänster), eller
• har färre än 50 anställda, men både din årsomsättning och din balansomslutning ligger över 10 miljoner euro.

Partnerföretag och anknutna företag räknas med. Ett företag med 20 anställda som ingår i en koncern med 200 anställda kan alltså ändå omfattas.

Undantag, oavsett storlek. Några typer av organisationer omfattas alltid, hur små de än är. Till exempel DNS-tjänsteleverantörer, register för toppdomäner, leverantörer av allmänna elektroniska kommunikationsnät och kommunikationstjänster, tillhandahållare av betrodda tjänster och offentliga organisationer. Är du utpekad enligt lagen om kritiska entiteters motståndskraft, omfattas du också av cybersäkerhetslagen.

Kontrollera själv med självutvärderingen

Den nederländska tillsynsmyndigheten för digital infrastruktur (RDI) har en kostnadsfri NIS2-självutvärdering. Du svarar på frågor om din sektor, storlek och dina tjänster och får ett resultat. Där framgår också om du är en väsentlig eller en viktig entitet. Skillnaden ligger främst i tillsynen: hos väsentliga entiteter får tillsynsmyndigheten även göra kontroller på eget initiativ, hos viktiga entiteter främst i efterhand. Ingår ditt företag i en koncern eller verkar du i flera länder? Då hjälper NCSC:s vägledning för komplexa affärsmodeller.

Vad måste du göra om du omfattas?

• Registrera dig. Du registrerar din organisation via MijnNCSC.
• Omsorgsplikt. Du gör en riskanalys och vidtar lämpliga och proportionerliga åtgärder. NCSC nämner minst tio områden, bland annat incidenthantering, säkerhetskopiering och återställning, säkerheten i din leveranskedja, utbildning, uppdateringar, åtkomsthantering, flerfaktorsautentisering eller passkeys, kryptering och test av att dina åtgärder fungerar. Ledningen godkänner åtgärderna och har tillsyn över dem.
• Rapporteringsplikt. En betydande incident rapporterar du via MijnNCSC: inom 24 timmar en första varning, inom 72 timmar en anmälan med en första bedömning av allvar och påverkan, och inom en månad en slutrapport.

Den här rapporteringen är skild från plikten att anmäla personuppgiftsincidenter enligt GDPR. Den gäller alla som behandlar personuppgifter, även den som driver enskild firma, och anmäls till Autoriteit Persoonsgegevens, den nederländska dataskyddsmyndigheten. När något är en personuppgiftsincident och om du måste anmäla den läser du i Är detta en personuppgiftsincident och måste jag anmäla den? En attack där även kunduppgifter har stulits kan alltså behöva anmälas till båda.

Omfattas du inte? Då kan kedjan ändå påverka dig

De flesta små företag omfattas inte av lagen. Då har du ingen registreringsplikt, ingen rapporteringsplikt till NCSC och ingen tillsyn. Men organisationer som omfattas måste också ta hänsyn till riskerna hos sina direkta leverantörer och tjänsteleverantörer. Enligt NCSC lägger lagen inga skyldigheter på underleverantörerna själva, men kunder får ställa krav på deras digitala säkerhet. De kraven hamnar då i ett avtal eller ett frågeformulär.

Levererar du till en större organisation, till exempel som webbutvecklare, IT-förvaltare eller redovisningsbyrå? Då kan du få frågor som: använder ni tvåstegsverifiering, vem har åtkomst till våra uppgifter, var finns säkerhetskopiorna och hur snabbt rapporterar ni en incident?

• Kraven ska vara lämpliga för risken med din tjänst. En leverantör med åtkomst till systemen får tyngre krav än bagaren som levererar lunchen.
• Det gäller direkta leverantörer. Dina leverantörers leverantörer omfattas inte.
• Lagen kräver inget certifikat. Det kan hjälpa i samtalet, men det är ingen garanti.
• Börja i tid: kartlägg vilka åtgärder du redan har och skriv ner överenskommelser med din kund.

Läs mer

• NCSC: Cybersäkerhetslagen (NIS2)
• NCSC: Omfattas min organisation av cybersäkerhetslagen?
• NCSC: Omsorgsplikt
• NCSC: Rapporteringsplikt
• NCSC: Cybersäkerhetslagen och underleverantörer
• RDI: NIS2-självutvärdering
• Lagtexten till cybersäkerhetslagen

Vill du lära dig mer? Gå den kostnadsfria kursen Säkert online för företagare, lektion 9.1 NIS2 och cybersäkerhetslagen.