Modul 9 · 9.1
NIS2 och cybersäkerhetslagen
Modul 9: Regler och organisation · Lästid: 11 minuter
Lärandemål: Efter den här lektionen kan du förklara vad NIS2-regelverket innebär, vem det gäller för och vad det via leverantörskedjan kan betyda för små företag.
Nyckelbegrepp: NIS2, cybersäkerhetslagen (2025:1506), väsentlig och viktig verksamhetsutövare, sektor, storlek, aktsamhetskrav, anmälningsplikt (24 timmar, 72 timmar, 1 månad), registreringsplikt, leverantörskedja, egenbedömning
Från EU-direktiv till nationell lag
NIS2 är ett EU-direktiv från 2022 (direktiv (EU) 2022/2555) som ska stärka den digitala motståndskraften hos viktiga organisationer i hela EU. Ett direktiv gäller inte direkt: varje land omsätter det i en egen lag. I Nederländerna heter den lagen cybersäkerhetslagen (Cbw). Den nederländska lagen trädde i kraft den 15 augusti 2026, samtidigt med den nederländska lagen om motståndskraftiga kritiska entiteter och en kompletterande förordning som utvecklar reglerna ytterligare. Den tidigare nederländska lagen om säkerhet i nätverk och informationssystem (Wbni) upphävdes då. Det finns ingen övergångsperiod i Nederländerna: den som omfattas måste uppfylla kraven direkt.
Enligt det nederländska NCSC omfattas drygt 8 000 organisationer i Nederländerna av lagen där. Det är en liten del av alla företag. I Sverige har NIS2 genomförts genom cybersäkerhetslagen (2025:1506), som gäller sedan den 15 januari 2026. För de flesta småföretag är den viktigaste frågan därför inte "vad måste jag göra för lagen?", utan "vad kräver mina kunder av mig eftersom de omfattas av lagen?". Det kommer vi till längre fram.
I Sverige är tillsynsmyndigheten den myndighet som utsetts för respektive sektor, med stöd av det nationella cybersäkerhetscentrumet (NCSC, https://www.ncsc.se/) och CERT-SE (https://www.cert.se/).
Omfattas du? Sektor och storlek
Om en organisation omfattas av cybersäkerhetslagen beror på två frågor.
1. Verkar du i en sektor som omfattas av lagen? Lagen har två bilagor.
| Bilaga 1 (11 sektorer) | Bilaga 2 (7 sektorer) |
|---|---|
| energi, transport, bankverksamhet, dricksvatten, digital infrastruktur, hantering av IKT-tjänster, rymden, infrastruktur för finansmarknaden, hälso- och sjukvård, avloppsvatten, offentlig förvaltning | leverantörer av digitala tjänster, post- och kurirtjänster, avfallshantering, livsmedel, kemikalier, forskning, tillverkningsindustri |
För vissa sektorer gäller extra villkor som det ansvariga ministeriet eller den ansvariga myndigheten bestämmer. Inte varje organisation som gör något med "livsmedel" omfattas alltså automatiskt.
2. Är du stor nog? Din organisation räknas som omfattad om du:
- har 50 eller fler medarbetare (heltidsanställda), eller
- har färre än 50 medarbetare, men din årsomsättning och balansomslutning båda överstiger 10 miljoner euro.
Partnerföretag och anknutna företag räknas med. Ett företag med 20 medarbetare som tillhör en koncern på 200 kan alltså ändå omfattas.
Undantag: oavsett storlek. Vissa typer av organisationer omfattas alltid, hur små de än är: DNS-tjänsteleverantörer, register för toppdomäner, leverantörer av allmänna elektroniska kommunikationsnät och kommunikationstjänster, tillhandahållare av betrodda tjänster och myndigheter. Även leverantörer av domännamnsregistreringstjänster måste registrera sig.
Väsentlig eller viktig
Organisationer som omfattas av lagen är väsentliga eller viktiga verksamhetsutövare. Grovt sett: stora organisationer i sektorerna i bilaga 1 och några typer som alltid pekas ut oavsett storlek räknas som väsentliga; resten räknas som viktiga. Skillnaden ligger främst i tillsynen: hos väsentliga verksamhetsutövare får tillsynsmyndigheten även kontrollera på eget initiativ, till exempel med inspektioner och granskningar; hos viktiga verksamhetsutövare agerar den främst i efterhand, om det finns tecken på att något inte stämmer. Skyldigheterna i sig är till stor del desamma. Om du räknas som väsentlig eller viktig avgör du med egenbedömningen nedan.
Ta reda på det själv
I Nederländerna har Rijksinspectie Digitale Infrastructuur (RDI) en kostnadsfri NIS2-egenbedömning (nederländsk källa) på https://regelhulpenvoorbedrijven.nl/NIS-2-NL/. Där besvarar du en rad frågor om sektor, storlek och tjänster och får ett resultat. I Sverige kan du vända dig till tillsynsmyndigheten för din sektor eller till NCSC (https://www.ncsc.se/) för vägledning. Är du osäker, till exempel för att ditt företag tillhör en koncern eller verkar i flera länder, kan det nederländska NCSC:s vägledning för komplexa affärsmodeller ändå vara till hjälp som bakgrund.
Vad lagen kräver
Om din organisation omfattas gäller tre skyldigheter.
Registreringsplikt
Du registrerar din organisation hos tillsynsmyndigheten. Så vet myndigheterna vilka som omfattas och kan nå dig vid ett hot.
Aktsamhetskrav
Du gör en riskanalys och vidtar utifrån den lämpliga och proportionerliga åtgärder för säkerheten i dina nätverks- och informationssystem. Det nederländska NCSC nämner minst tio områden, som du har stött på genomgående i den här kursen:
- riskanalys (lektion 1.1 och 9.3);
- incidenthantering med en incidentplan (lektion 8.1);
- förberedelse inför driftstörningar: säkerhetskopior, återställningsplaner, krishantering (modul 6);
- säkerhet i leverantörskedjan, inklusive leverantörsrisker (lektion 7.2);
- cyberhygien och utbildning (lektion 9.2);
- säker upphandling, utveckling och underhåll av system, inklusive uppdateringar (lektion 5.1);
- personal, åtkomstpolicy och hantering av utrustning och programvara (lektion 7.1);
- passkeys eller flerfaktorsautentisering och säker kommunikation (modul 2);
- en policy för kryptografi (kryptering);
- bedömning av om åtgärderna fungerar, till exempel genom återkommande tester (lektion 6.3 och 9.3).
Styrelsen/ledningen är ansvarig: den godkänner åtgärderna och övervakar genomförandet. Enligt EU-direktivet ska ledande befattningshavare även gå en utbildning om cyberrisker. Cybersäkerhet är alltså inte längre en syssla du kan lägga på IT-ansvarig och glömma bort.
Anmälningsplikt
En betydande incident anmäler du till tillsynsmyndigheten. Det är en incident som allvarligt stör din tjänst, orsakar ekonomisk skada eller kan orsaka stor skada för andra; de exakta tröskelvärdena skiljer sig åt mellan sektorer. I Nederländerna gäller följande tidsfrister från det att organisationen får kännedom om incidenten, vilket illustrerar hur NIS2 brukar tillämpas:
| Tidsfrist | Vad du skickar |
|---|---|
| Inom 24 timmar | Tidig varning: är det troligen illvilligt, finns det gränsöverskridande konsekvenser, vem är kontaktperson |
| Inom 72 timmar | Incidentanmälan: en uppdatering med en första bedömning av allvarlighetsgrad och konsekvenser |
| Inom 1 månad efter anmälan | Slutrapport: vad som hände, orsaken och åtgärderna (pågår incidenten längre: en lägesrapport) |
I Nederländerna når en enda anmälan via MijnNCSC både CSIRT (teamet som hjälper till vid incidenten) och tillsynsmyndigheten. I Sverige anmäler du till den tillsynsmyndighet som gäller för din sektor. Dessutom ska du enligt direktivet vid behov informera mottagarna av dina tjänster om betydande incidenter som kan påverka dem.
Anmälan enligt cybersäkerhetslagen och anmälan enligt GDPR: två olika saker
Det liknar anmälningsplikten för personuppgiftsincidenter enligt GDPR (lektion 8.2), och "72 timmar" förekommer i båda. Ändå är det två separata skyldigheter.
| Cybersäkerhetslagen | GDPR (personuppgiftsincident) | |
|---|---|---|
| För vem | Organisationer som omfattas av cybersäkerhetslagen | Alla som behandlar personuppgifter, även en enskild näringsidkare |
| Om vad | Betydande incidenter som rör din tjänst | Intrång i säkerheten för personuppgifter |
| Till vem | Tillsynsmyndigheten (i Nederländerna: NCSC via MijnNCSC) | Integritetsskyddsmyndigheten (IMY) |
| Tidsfrister | 24 timmar, 72 timmar, 1 månad | Utan onödigt dröjsmål, om möjligt inom 72 timmar |
En ransomwareattack hos en organisation som omfattas av cybersäkerhetslagen, där även kunduppgifter stulits, måste alltså anmälas till båda instanserna. Och ett litet företag som inte omfattas av cybersäkerhetslagen har ändå anmälningsplikt enligt GDPR om personuppgifter läcker.
Omfattas du inte: leverantörskedjan
För de flesta läsare av den här kursen är svaret på den första frågan: nej, mitt företag omfattas inte av cybersäkerhetslagen. Bageriet med tolv anställda, redovisningsbyrån med fem, webbutvecklaren som jobbar ensam. Då har du inga lagstadgade skyldigheter enligt cybersäkerhetslagen: ingen registrering, ingen anmälningsplikt till tillsynsmyndigheten, ingen tillsyn.
Men lagen kan ändå nå dig via dina kunder. Organisationer som omfattas av cybersäkerhetslagen måste säkra sin leverantörskedja: de måste ta hänsyn till sårbarheterna hos sina direkta leverantörer och tjänsteleverantörer. Det nederländska NCSC skriver att lagen i Nederländerna inte lägger några skyldigheter direkt på underleverantörerna själva, men att organisationer som omfattas kan ställa krav på den digitala säkerheten hos sina leverantörer. De kraven hamnar då i ditt avtal eller i ett frågeformulär.
Ett exempel. Ett litet IT-företag med sex medarbetare sköter datorerna och nätverket åt ett medelstort transportföretag med 140 medarbetare. Transportföretaget omfattas av cybersäkerhetslagen (transport, tillräckligt stort). IT-företaget gör det inte självt: "hantering av IKT-tjänster" finns visserligen med i bilaga 1, men företaget är för litet. Ändå får det ett frågeformulär: har ni tvåfaktorsautentisering (2FA) på administrationsverktygen, vem har åtkomst till våra system, hur snabbt anmäler ni en incident till oss, var finns säkerhetskopiorna?
Vad det nederländska NCSC säger om detta, och vad det betyder för dig:
- Kraven ska vara proportionerliga. En kund bör se till den risk som din tjänst innebär för dem. En leverantör med åtkomst till systemen får strängare krav än bagaren som levererar lunchen.
- Det handlar om direkta leverantörer. Dina leverantörers leverantörer faller utanför lagen.
- Ett certifikat är inte obligatoriskt. Cybersäkerhetslagen föreskriver inget kvalitetsmärke. Ett certifikat kan göra samtalet enklare, men det är ingen garanti och inget lagkrav.
- Börja samtalet tidigt. Kartlägg vilka åtgärder du redan har på de ställen där du berörs av kundens krav, och dokumentera överenskommelserna.
Överdriv alltså inte. Cybersäkerhetslagen gör inte automatiskt ett litet företag till en "NIS2-skyldig" organisation, och en rådgivare som påstår det för att sälja en dyr certifiering berättar bara en del av historien. Men underskatta det inte heller: den som levererar till större organisationer måste allt oftare kunna visa att grunderna är på plats. De grundläggande åtgärderna i den här kursen är precis vad ett sådant frågeformulär oftast efterfrågar.
Den här lektionen ger allmän information och är inte juridisk rådgivning. Du hittar aktuella regler om den nederländska lagen (nederländsk källa) på https://www.ncsc.nl/cyberbeveiligingswet-nis2 och lagtexten (nederländsk källa) på https://wetten.overheid.nl/BWBR0052872/2026-08-15/0.
Sammanfattning
- I Nederländerna heter den nationella omsättningen av NIS2 cybersäkerhetslagen (Cbw), och den trädde i kraft den 15 augusti 2026, utan övergångsperiod. I Sverige gäller den svenska cybersäkerhetslagen (2025:1506) sedan den 15 januari 2026.
- Du omfattas vid en sektor från bilaga 1 eller 2 och 50 eller fler heltidsanställda, eller om årsomsättningen och balansomslutningen båda överstiger 10 miljoner euro; vissa typer (som DNS-tjänsteleverantörer och myndigheter) oavsett storlek.
- Skyldigheter: registrering hos tillsynsmyndigheten, aktsamhetskrav med riskanalys och lämpliga åtgärder under ledningens ansvar, samt anmälan av betydande incidenter inom 24 timmar, 72 timmar och 1 månad.
- Anmälan enligt cybersäkerhetslagen är fristående från anmälan av personuppgiftsincidenter till IMY enligt GDPR; ibland krävs båda.
- Ett litet företag omfattas oftast inte självt, men kan via kunder som omfattas få krav på lämpliga säkerhetsåtgärder.
Quiz
Uppgift
Uppgift A9.1: Omfattas det av cybersäkerhetslagen (2025:1506)? Du får sex korta beskrivningar av organisationer (sektor, antal medarbetare, omsättning, balansomslutning, eventuellt en koncern eller en stor kund). Bedöm för varje organisation: omfattas, omfattas inte men får sannolikt krav via en kund, eller omfattas inte alls. Programmet rättar och visar för varje organisation stegen i beslutsträdet.
Läs mer
Om den nederländska cybersäkerhetslagen finns ännu ingen artikel i WebOkés kunskapsbank; använd de officiella källorna nedan.
- Nederländska NCSC, cybersäkerhetslagen (NIS2), nederländsk källa: https://www.ncsc.nl/cyberbeveiligingswet-nis2
- Nederländska NCSC, Omfattas min organisation av cybersäkerhetslagen (NIS2)?, nederländsk källa: https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- Nederländska NCSC, Aktsamhetskrav, nederländsk källa: https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- Nederländska NCSC, Anmälningsplikt, nederländsk källa: https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- Nederländska NCSC, Cybersäkerhetslagen och underleverantörer, nederländsk källa: https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- RDI, NIS2-egenbedömning, nederländsk källa: https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
- Lagtext, nederländska cybersäkerhetslagen, nederländsk källa: https://wetten.overheid.nl/BWBR0052872/2026-08-15/0