– Bakgrunden till NIS2 är ett stort behov av samordning över nationsgränser, särskilt för företag med verksamhet i olika länder. Det blev tydligt att olika länder hanterade cybersäkerhet på olika sätt, säger Johanna Parikka Altenstedt, jurist och koordinator av Cybernode (EU:s nationella kompetensgemenskap inom cybersäkerhet som i Sverige är placerad hos RISE) och fortsätter: 

– För att skapa en förståelse som är större än våra nationsgränser – för skadlig kod stannar inte i ett land, den går över till grannarna också – klubbade EU igenom NIS-direktivet 2016.

Så implementeras NIS2 genom svenska Cybersäkerhetslagen

NIS2 är en utvidgning av sin föregångare NIS och stärker skyddet av samhällsviktiga tjänster, samt utökar omfånget till 18 sektorer (se faktaruta) som berörs av de nya kraven. NIS2 gäller i regel för företag som har minst 50 anställda eller omsätter minst 10 miljoner euro. Vissa verksamheter, till exempel leverantörer av internetkritisk infrastruktur, omfattas oavsett storlek. I en faktaruta längre ner i artikeln hittar du mer ”då berörs du av NIS2-fakta”.

– Det här är ett brett direktiv som spänner över så många branscher att egentligen alla företag med fler än 50 anställda bör undersöka om de berörs. Riskerna med att inte agera, när man faktiskt måste, är stora, säger Johanna Parikka Altenstedt som också är tillförordnad chef på Centrum för cybersäkerhet på RISE.

Hon förklarar varför NIS2 blev ett direktiv och inte en förordning, och varför det spelar roll.

– NIS2 är resultatet av en kompromiss mellan medlemsländerna. Det var vissa som ville att NIS2 skulle bli en förordning, vilket hade inneburit att lagen hade varit direkt bindande i alla EU-länder samtidigt. Nu blev det ett direktiv i stället, så varje land har viss flexibilitet att anpassa kraven till sina egna rättssystem, förklarar Johanna Parikka Altenstedt.

I Sverige har NIS2 implementerats genom Cybersäkerhetslagen, som började gälla den 15 januari 2026. Lagen konkretiseras i Cybersäkerhetsförordningen (inte att förväxlas med en EU-förordning) som reglerar hur tillsyn ska gå till och hur rapportering ska ske. 

När den här artikeln skrivs, i februari 2026, fastställer tillsynsmyndigheterna, Myndigheten för civilt försvar (tidigare MSB) och Post- och telestyrelsen, detaljerade föreskrifter som ytterligare konkretiserar hur lagkraven ska uppfyllas. Kort sagt, det är en trestegsraket som omvandlar NIS2 till svenska krav.

Vad är det viktigaste för att göra rätt – och var ska man börja?

– En jättebra fråga! Man behöver göra en analys av sin verksamhet och verkligen komma ner på ”nitty-gritty”-nivå. Vad är det absolut väsentligaste ni gör, som skapar samhällsnytta? Det är det ni måste skydda, säger Johanna Parikka Altenstedt. 

En riskanalys och en gap-analys (strategisk metod för att identifiera skillnaden mellan nuläge och önskat målläge) hjälper till att ringa in hoten och säkerhetsglappen. RISE kan hjälpa företag och organisationer att göra den typen av analyser.

– Alla medarbetare ska inte behöva fundera över rikets säkerhet, utan det handlar närmast om att skydda sitt eget arbete. Om du har jobbat i ett projekt i två år och odlat en samling av stora Exceltabeller, då är det inte kul om det kommer in skadlig kod. Därför är det en bra idé att ha en backup. Genom att gå ner på team- och individnivå blir det enklare att motivera medarbetarna att jobba mer cybersäkert, säger Johanna Parikka Altenstedt.

Ett ledningsansvar: går inte att delegera bort cybersäkerheten

Ledningsansvaret är en central del av NIS2 och således även av Cybersäkerhetslagen. Det går inte att delegera bort ansvaret för cybersäkerheten, eller se regelefterlevnaden som ett IT-projekt bland andra projekt. 

Om ledningen inte har beslutat om lämpliga åtgärder eller följt upp kända brister kan detta resultera i sanktionsavgifter. Personer på ledningspositioner kan dessutom hållas personligt ansvariga för regelbrott, genom tillfälliga förbud mot vd- eller styrelseuppdrag i den NIS2-omfattade verksamheten. 

RISE utbildar ledningsgrupper inom NIS2, för att hjälpa företag och dess ledningsgrupper att ta sig an de nya reglerna med en god kunskapsgrund. Nästa steg kan vara att sätta sina produkter och tjänster under lupp i RISE test- och demonstrationsmiljö Cyber Range, eller att certifiera sitt ledningssystem för informationssäkerhet. 

NIS2 och cybersäkerhet – främst en fråga om människor

Johanna Parikka Altenstedt poängterar att människor i allmänhet tänker att cybersäkerhetsfrågor främst handlar om teknik. Då missar man målet, menar hon.

– Man börjar med tekniska brandväggar, när det egentligen är mänskliga brandväggar som behövs. Jag brukar prata om de fyra hörnstenarna för cybersäkerhet. Att människor som jobbar i organisationen är kunniga i cybersäkerhetsfrågor, på sin nivå, är den första. Vissa är superexperter medan andra har basal cyberhygien – men alla har kunskapen. Här är det också viktigt att väga in cybersäkerhet när avdelningar glatt vill skapa eller beställa nya digitala produkter och lösningar, säger Johanna Parikka Altenstedt.

Den andra hörnstenen är säkerhetskulturen. Det behöver vara högt i tak, så att människor vågar prata när något blir fel. En medarbetare som är rädd för att göra fel med risk för att drabbas av sanktioner, kommer inte berätta när det väl blir fel. Och då utgör man en stor risk för hela organisationen. 

Den tredje hörnstenen är regelefterlevnad. Där kommer NIS2 och svenska Cybersäkerhetslagen in i bilden. Först därefter, som den fjärde hörnstenen, kommer tekniken. 

”Ett tydligt regelverk är mer rättvist”

Johanna Parikka Altenstedt tycker att alla som omfattas av reglerna som avhandlas i den här artikeln ska se regelverket som ett hjälpmedel för att skydda det som är skyddsvärt. 

– Vissa tycker att det kommer så mycket regler från EU att det bromsar näringslivets utveckling. Det är inte uppfattningen som vi hör på Cybernoden. Ett tydligt regelverk att förhålla sig till är bättre och mer rättvist än en oreglerad marknad, konstaterar Johanna Parikka Altenstedt.

Hon påminner också om att EU:s cybersäkerhetsregelverk till stor del bygger på samma grundprinciper: 

• Ett riskbaserat arbetssätt.
• En noggrann analys av den egna verksamheten där både IT och OT (Operational Technology) ingår.
• Ett tydligt cybersäkerhetsansvar, bland annat genom krav på leverantörer och andra som är beroende av den samhällsviktiga verksamheten.
• Ett etablerat cybersäkerhetsledningssystem med rutiner för att hantera incidenter och säkerställa fortsatt drift. 

– Har man redan gjort detta arbete, till exempel inom ramen för ISO 27000 eller IEC 62443-certifieringar, räcker det långt oavsett vilket regelverk vi pratar om, säger hon.

En babymonitor som kan styras med en app, en industrimaskin som kommunicerar med annan utrustning i produktionslinan och högtalare som kan berätta vilket väder det blir nästa vecka. Det är få elektroniska produkter som inte innehåller digitala element i dag. Det innebär att Cyber Resilience Act (CRA) träffar mycket brett – alla företag som utvecklar, tillverkar, importerar eller säljer produkter med digital teknik eller ren mjukvara på EU-marknaden omfattas. 

CRA är en förordning som syftar till att höja cybersäkerheten i produkter med digitala element, alltså hårdvara och mjukvara som kan kopplas till ett nätverk eller en annan digital enhet, på hela den europeiska marknaden. 

– Den här förordningen behövs för att öka motståndskraften och skydda europeiska medborgare och system. Vi vill inte att hackare ska kunna ta över produkterna, oavsett om det handlar om en babymonitor, en industrimaskin eller en högtalare, säger Ted Strandberg, projektledare inom cybersäkerhet och funktionssäkerhet på RISE. 

CRA blir en del av CE-märkningen

CRA antogs i december 2024 och ska stegvis tillämpas från september 2026. I slutet av 2027 förväntas CRA vara helt utrullad. Till skillnad från många andra förordningar och direktiv som EU klubbar igenom, har CRA ingen direkt föregångare. Förordningen har tagits fram för att komplettera andra regelverk inom cybersäkerhet, som NIS2 som ställer krav på organisationer och inte produkter. 

Kraven kommer att bakas in i CE-märkningen, vilket i praktiken innebär att cybersäkerhet går från ”nice to have” till obligatoriskt om man vill fortsätta sälja sin uppkopplade produkt på EU-marknaden.

Inbyggd säkerhet central del av CRA

Security by Design, eller inbyggd säkerhet, är en central del av förordningen. Det är inte längre godtagbart att addera säkerhet i efterhand, utan nu ställs krav längs hela utvecklingsfasen och fram till livscykelns slut.

– Livscykelperspektiv kanske de flesta förknippar med miljö och klimat, men här handlar det om mjukvarors livscykel. Den sträcker sig från idé och riskanalys till kravspecifikation, design, arkitektur, utveckling och testning. Efter att man har släppt mjukvaran på marknaden handlar det om underhåll och uppdateringar. Man pratar om End of Support, när tillverkaren slutar att skicka ut uppdateringar och inte längre tar ansvar för säkerheten, förklarar Ted Strandberg.

Standarder som verktyg för regelefterlevnad

Ted Strandberg leder den nationella arbetsgruppen i Sverige som utvecklar standarder kopplade till cybersäkerhet i produkter. Genom att prova produkter mot etablerade standarder, som IT-säkerhet i industriella automationssystem (EN IEC 62443) går det att bedöma om en produkt med digitala element uppfyller grundläggande cybersäkerhetskrav. Standarder kan användas som stöd för att visa efterlevnad av CRA. För vissa produkter som klassas som högrisk – till exempel operativsystem eller centrala systemkomponenter – inför CRA dessutom ett certifieringskrav.

CRA-efterlevnad extra viktigt för underleverantörer

Ett kvitto på CRA-efterlevnad i form av en ackrediterad rapport blir särskilt viktigt för underleverantörer som vill behålla och stärka sin konkurrenskraft. En underleverantör som inte kan garantera säkerheten för sina komponenter, faller bort som alternativ för kunderna som sätter den färdiga produkten på marknaden. Det är helt enkelt för mycket som står på spel.

– Bryter man mot reglerna kan man straffas med väldigt höga böter. Att ta hjälp av RISE är att dela den risken. Har man inte fått sin produkt granskad av tredjepart står man själv med risken att bli straffad. Skulle vi göra fel i granskningen har vi också ett ansvar, förklarar Ted Strandberg.

CRA-utbildning ger god kunskapsgrund

Före produktprovning, certifieringsprocess eller andra tekniska åtgärder kommer kunskapsbyggande. Med rätt kunskap blir det betydligt enklare att ta sig an CRA. 

– Ett sätt att bygga den kunskapen är att gå en kurs hos oss. Vi håller företagsspecifika kurser som ger en stabil grund. För många aktörer kommer det ta tid att göra omställningen till CRA-efterlevnad, så det går inte att vänta alltför länge med att sätta i gång, säger Ted Strandberg.

Idén om att hela samhället skulle mobiliseras i händelse av krig utvecklades i Sverige under 1900-talets andra hälft, mot bakgrund av erfarenheterna från de två världskrigen. Skyddsrum byggdes, lager av förnödenheter iordningställdes och civilbefolkningen utbildades i hur de skulle agera vid exempelvis luftangrepp eller kärnvapenhot.  

Under 1990-talet förändrades hotbilden mot Sverige och den i efterhand hårt kritiserade nedmonteringen av totalförsvaret påbörjades. Sedan 2014 pågår en återuppbyggnad – men som Länsstyrelserna konstaterar i ”Introduktion till totalförsvar” går det inte att kopiera det gamla systemet rakt av.  

– Utvecklingen av ett modernt totalförsvar bygger på andra grundläggande förutsättningar än de som gällde en gång i tiden, helt enkelt för att samhället ser annorlunda ut. För att exemplifiera har vi ett digitalt samhälle nu, där väldigt mycket innovation och utveckling inte uppstår inuti organisationer, utan mellan organisationer och verksamheter, säger Carl Heath, senior forskare och fokusledare för området digital resiliens på RISE.  

Stort behov av platser för nya samarbetsformer 

När totalförsvaret först skulle byggas upp ägde staten och kommunerna lejonparten av Sveriges samhällsviktiga verksamheter. I dag är en betydande del privatägda. Staten är med andra ord helt beroende av ett samarbete med näringslivet för att bygga upp ett fungerande totalförsvar på nytt. 

– Om offentlig och privat sektor ska klara av att lösa totalförsvarets utmaningar tillsammans behöver de kunna göra det på ett säkert sätt. Vi har sedan tidigare stor erfarenhet av att skapa säkra förutsättningar för innovation inuti en organisation, men vi har inte samma erfarenhet och vana av att bygga detta i mellanrummet, säger Carl Heath.  

– Det är ganska vanligt att innovation sker på bekostnad av säkerhet, eller tvärtom – att den höga säkerheten hämmar innovationen, tillägger Melinda From, chef på RISE enhet för Inkluderande systeminnovation.  

Plats för möten och kreativa arbetssätt 

Carl Heath och Melinda From är under 2025 båda delaktiga i en förstudie där förutsättningar och hinder för en säker innovationsmiljö i Karlstads kommun kartläggs. Kunskapen om vad som kännetecknar en säker miljö är stor – både genom rådande säkerhetsskyddslagstiftning och samlad erfarenhet. Likaså finns det en tydlig bild av vad en innovationsmiljö behöver bestå av. Men kombinationen, ja den är klurig, menar Carl Heath.  

– Vi vill ju ha en plats där vi kan mötas och jobba med kreativa arbetssätt både fysiskt och digitalt. En sak som inte sällan händer på de moderna innovationskontoren är att organisationer delar tankar med varandra, och då uppstår insikter. Om insikterna innehåller känslig information blir förmågan att skydda den särskilt viktig, säger han.  

På platsen Carl Heath ser framför sig finns det personer med kunskap om hur innovationsarbete kan drivas och faciliteras på ett säkert sätt. Den kunskapen ska inte stanna inom fyra väggar utan spridas ut till organisationerna, så att fler säkra platser för innovation uppstår organiskt.  

RISE fungerar som en sådan facilitator som hjälper till att skapa samarbeten mellan organisationer. 

– Det finns mängder av kompetenser på RISE som jobbar med transformation, innovationsledning och förnyelse på olika sätt. Vi har experter som är grymma på att facilitera komplexa sammanhang, och RISE driver redan många olika typer av test- och demonstrationsanläggningar. Men vi kan inte göra det här själva, utan behöver verkligen andra aktörer och samarbeten för att kunna skapa en gemensam plattform för säker innovation, säger Melinda From.  

Sveriges totalförsvar intresserar Nato 

Carl Heath berättar om en nyfikenhet inom Nato och EU kring den svenska approachen till totalförsvar, där alla delar från Försvarsmakten till företag, myndigheter och medborgare förväntas bidra till Sveriges motståndskraft. Många Nato-länder har ett starkare fokus på det militära och mindre på samhällsmobilisering. 

– Systemkompetensen som offentlig och privat sektor kan bygga upp tillsammans i gemensamma projekt är inte bara relevant och viktig i Sverige, utan också i en EU- och Nato-kontext, säger Carl Heath.