NIS2 och cybersäkerhetslagen: omfattas ditt företag?
Sedan den 15 augusti 2026 gäller Cyberbeveiligingswet (den nederländska cybersäkerhetslagen) i Nederländerna. Du har kanske redan hört termen NIS2 från en kund, en leverantör eller en rådgivare. I den här artikeln läser du kort vad lagen är, vem som omfattas av den och vad den betyder för ett litet företag som inte själv omfattas av den.
Den här artikeln ger en allmän förklaring och utgör inte juridisk rådgivning. De aktuella reglerna finns hos NCSC (det nederländska nationella cybersäkerhetscentret) och i lagtexten.
Vad är det?
NIS2 är ett EU-direktiv från 2022 (direktiv (EU) 2022/2555) som ska göra organisationer i viktiga sektorer mer digitalt motståndskraftiga. Varje land omsätter direktivet till en egen lag. I Nederländerna är det Cyberbeveiligingswet (Cbw). Lagen gäller sedan den 15 augusti 2026, utan övergångsperiod, och ersätter den tidigare lagen om säkerhet för nätverk och informationssystem (Wbni). Enligt NCSC omfattas över 8 000 organisationer av lagen. NCSC är kontaktpunkten.
Omfattas mitt företag av lagen?
Det beror på två frågor: din bransch och din storlek.
1. Verkar du inom en bransch som nämns i lagen?
| Bilaga 1 | Bilaga 2 |
|---|---|
| Energi, transport, bankväsende, infrastruktur för finansmarknaden, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, hantering av IT-tjänster, offentlig förvaltning, rymdfart | Post- och kurirtjänster, avfallshantering, kemikalier, livsmedel, tillverkningsindustri, digitala tjänsteleverantörer, forskning |
För vissa sektorer gäller ytterligare villkor. Inte alla företag som har med livsmedel att göra omfattas alltså automatiskt.
2. Är du stor nog? Kort sagt omfattas medelstora och stora organisationer. Du räknas med om du:
- har 50 eller fler anställda (heltidsekvivalenter), eller
- har färre än 50 anställda, men din årsomsättning och din balansomslutning båda överstiger 10 miljoner euro.
Partnerföretag och anknutna företag räknas med. Ett företag med 20 anställda som ingår i en koncern med 200 anställda kan alltså ändå omfattas.
Undantag, oavsett storlek. Några typer av organisationer omfattas alltid, oavsett hur små de är. Det gäller till exempel DNS-tjänsteleverantörer, register för toppdomäner, leverantörer av allmänt tillgängliga elektroniska kommunikationsnät och kommunikationstjänster, leverantörer av betrodda tjänster och statliga organisationer. Om du är utsedd enligt lagen om motståndskraft hos kritiska entiteter omfattas du också av Cyberbeveiligingswet.
Kontrollera själv med egenutvärderingen
Den nederländska myndigheten för digital infrastruktur (RDI) har en gratis NIS2-egenutvärdering. Du svarar på frågor om din bransch, storlek och tjänster och får ett resultat. Det visar också om du är en väsentlig eller en viktig entitet. Skillnaden ligger främst i tillsynen: för väsentliga entiteter får tillsynsmyndigheten också göra kontroller på eget initiativ, för viktiga entiteter sker det främst i efterhand. Hör ditt företag till en koncern eller verkar du i flera länder? Då kan NCSC:s vägledning för komplexa affärsmodeller hjälpa dig.
Vad behöver du göra om du omfattas?
- Registrera dig. Du anmäler din organisation via MijnNCSC.
- Omsorgsplikt. Du gör en riskanalys och vidtar lämpliga och proportionerliga åtgärder. NCSC nämner minst tio områden, bland annat incidenthantering, säkerhetskopior och återställning, säkerhet i din leveranskedja, utbildning, uppdateringar, åtkomsthantering, multifaktorautentisering eller passkeys, kryptering och att testa om dina åtgärder fungerar. Styrelsen godkänner åtgärderna och utövar tillsyn.
- Anmälningsplikt. En betydande incident anmäler du via MijnNCSC: inom 24 timmar en första varning, inom 72 timmar en anmälan med en första bedömning av allvarlighetsgrad och konsekvenser, och inom en månad en slutrapport.
Den här anmälan är fristående från anmälningsplikten för dataintrång enligt GDPR. Den gäller för alla som behandlar personuppgifter, även för en enskild näringsidkare, och anmäls till Autoriteit Persoonsgegevens (den nederländska dataskyddsmyndigheten). En attack där även kunduppgifter har stulits kan alltså behöva anmälas på båda ställena.
Omfattas du inte? Då kan leveranskedjan ändå påverka dig
De flesta småföretag omfattas inte av lagen. Då har du ingen registreringsplikt, ingen anmälningsplikt till NCSC och ingen tillsyn. Men organisationer som omfattas måste också ta hänsyn till riskerna hos sina direkta leverantörer och tjänsteleverantörer. Enligt NCSC ålägger lagen i sig inte leverantörer några skyldigheter, men kunder får ställa krav på deras digitala säkerhet. Dessa krav hamnar då i ett avtal eller i ett frågeformulär.
Levererar du till en större organisation, till exempel som webbyggare, IT-förvaltare eller redovisningsbyrå? Då kan du få frågor som: använder ni tvåstegsverifiering, vem har tillgång till våra uppgifter, var finns säkerhetskopiorna och hur snabbt anmäler ni en incident?
- Kraven bör vara proportionerliga i förhållande till risken med din tjänst. En leverantör med tillgång till systemen får strängare krav än bagaren som levererar lunchen.
- Det handlar om direkta leverantörer. Dina leverantörers egna leverantörer omfattas inte.
- Ett certifikat krävs inte enligt lagen. Det kan underlätta samtalet, men det är ingen garanti.
- Börja i tid: kartlägg vilka åtgärder du redan har och dokumentera överenskommelser med din kund.