NIS2 är här – är din organisation redo?

I Sverige har NIS2 implementerats genom Cybersäkerhetslagen, som började gälla den 15 januari 2026. Lagen konkretiseras i Cybersäkerhetsförordningen (inte att förväxlas med en EU-förordning) som reglerar hur tillsyn ska gå till och hur rapportering ska ske. 

När den här artikeln skrivs, i februari 2026, fastställer tillsynsmyndigheterna, Myndigheten för civilt försvar (tidigare MSB) och Post- och telestyrelsen, detaljerade föreskrifter som ytterligare konkretiserar hur lagkraven ska uppfyllas. Kort sagt, det är en trestegsraket som omvandlar NIS2 till svenska krav.

Vad är det viktigaste för att göra rätt – och var ska man börja?

– En jättebra fråga! Man behöver göra en analys av sin verksamhet och verkligen komma ner på ”nitty-gritty”-nivå. Vad är det absolut väsentligaste ni gör, som skapar samhällsnytta? Det är det ni måste skydda, säger Johanna Parikka Altenstedt. 

En riskanalys och en gap-analys (strategisk metod för att identifiera skillnaden mellan nuläge och önskat målläge) hjälper till att ringa in hoten och säkerhetsglappen. RISE kan hjälpa företag och organisationer att göra den typen av analyser.

– Alla medarbetare ska inte behöva fundera över rikets säkerhet, utan det handlar närmast om att skydda sitt eget arbete. Om du har jobbat i ett projekt i två år och odlat en samling av stora Exceltabeller, då är det inte kul om det kommer in skadlig kod. Därför är det en bra idé att ha en backup. Genom att gå ner på team- och individnivå blir det enklare att motivera medarbetarna att jobba mer cybersäkert, säger Johanna Parikka Altenstedt.

Ett ledningsansvar: går inte att delegera bort cybersäkerheten

Ledningsansvaret är en central del av NIS2 och således även av Cybersäkerhetslagen. Det går inte att delegera bort ansvaret för cybersäkerheten, eller se regelefterlevnaden som ett IT-projekt bland andra projekt. 

Om ledningen inte har beslutat om lämpliga åtgärder eller följt upp kända brister kan detta resultera i sanktionsavgifter. Personer på ledningspositioner kan dessutom hållas personligt ansvariga för regelbrott, genom tillfälliga förbud mot vd- eller styrelseuppdrag i den NIS2-omfattade verksamheten. 

RISE utbildar ledningsgrupper inom NIS2, för att hjälpa företag och dess ledningsgrupper att ta sig an de nya reglerna med en god kunskapsgrund. Nästa steg kan vara att sätta sina produkter och tjänster under lupp i RISE test- och demonstrationsmiljö Cyber Range, eller att certifiera sitt ledningssystem för informationssäkerhet. 

NIS2 och cybersäkerhet – främst en fråga om människor

Johanna Parikka Altenstedt poängterar att människor i allmänhet tänker att cybersäkerhetsfrågor främst handlar om teknik. Då missar man målet, menar hon.

– Man börjar med tekniska brandväggar, när det egentligen är mänskliga brandväggar som behövs. Jag brukar prata om de fyra hörnstenarna för cybersäkerhet. Att människor som jobbar i organisationen är kunniga i cybersäkerhetsfrågor, på sin nivå, är den första. Vissa är superexperter medan andra har basal cyberhygien – men alla har kunskapen. Här är det också viktigt att väga in cybersäkerhet när avdelningar glatt vill skapa eller beställa nya digitala produkter och lösningar, säger Johanna Parikka Altenstedt.

Den andra hörnstenen är säkerhetskulturen. Det behöver vara högt i tak, så att människor vågar prata när något blir fel. En medarbetare som är rädd för att göra fel med risk för att drabbas av sanktioner, kommer inte berätta när det väl blir fel. Och då utgör man en stor risk för hela organisationen. 

Den tredje hörnstenen är regelefterlevnad. Där kommer NIS2 och svenska Cybersäkerhetslagen in i bilden. Först därefter, som den fjärde hörnstenen, kommer tekniken. 

”Ett tydligt regelverk är mer rättvist”

Johanna Parikka Altenstedt tycker att alla som omfattas av reglerna som avhandlas i den här artikeln ska se regelverket som ett hjälpmedel för att skydda det som är skyddsvärt. 

– Vissa tycker att det kommer så mycket regler från EU att det bromsar näringslivets utveckling. Det är inte uppfattningen som vi hör på Cybernoden. Ett tydligt regelverk att förhålla sig till är bättre och mer rättvist än en oreglerad marknad, konstaterar Johanna Parikka Altenstedt.

Hon påminner också om att EU:s cybersäkerhetsregelverk till stor del bygger på samma grundprinciper: 

• Ett riskbaserat arbetssätt.
• En noggrann analys av den egna verksamheten där både IT och OT (Operational Technology) ingår.
• Ett tydligt cybersäkerhetsansvar, bland annat genom krav på leverantörer och andra som är beroende av den samhällsviktiga verksamheten.
• Ett etablerat cybersäkerhetsledningssystem med rutiner för att hantera incidenter och säkerställa fortsatt drift. 

– Har man redan gjort detta arbete, till exempel inom ramen för ISO 27000 eller IEC 62443-certifieringar, räcker det långt oavsett vilket regelverk vi pratar om, säger hon.