Det här är cybersäkerhetslagen

Cybersäkerhetslagen ställer tydligare krav på bland annat riskanalyser och olika säkerhetsåtgärder. Direktivet ställer även ökade krav på ledningens deltagande i organisationens cybersäkerhetsarbete. Cybersäkerhetslagen innebär också att betydligt fler sektorer omfattas av lagstiftningen jämfört med NIS. Av den anledningen tillkommer fler tillsynsmyndigheter. Sanktionsavgifterna är även högre än tidigare i det fall kraven inte efterlevs.

Presentation om cybersäkerhetslagen

Vi har tagit fram en grundpresentation som exempelvis du som arbetar i en verksamhet som omfattas av cybersäkerhetslagen (NIS2) kan använda när du pratar om NIS2 i din organisation, med bilder och talmanus. Innehållet är fritt att använda och du får gärna lägga till dina egna bilder eller bara använda ett urval av dem, men vi vill inte att du ändrar i själva bilderna.

Grundpresentation cybersäkerhetslagen (ppt)

Under implementeringen av cybersäkerhetslagen sänder vi webbinarier kontinuerligt. Varje tillfälle omfattar en presentation och en frågestund där deltagarna har möjlighet att ställa frågor. Alla webbinarier har spelats in och kan ses i efterhand i textad version. 

Tidigare webbinarium

Vad är cybersäkerhetslagen?

NIS2-direktivet beslutades av EU i december 2022 och ersätter det NIS-direktiv som började gälla 2018 genom lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster (NIS).

NIS2-direktivet infördes i svensk lagstiftning genom en ny cybersäkerhetslag den 15 januari 2026. 

Cybersäkerhetslagen

Cybersäkerhetsförordningen

Ansvarsfördelning för cybersäkerhetslagen

Den som omfattas av cybersäkerhetslagen kallas verksamhetsutövare. Verksamhetsutövarna finns i 18 olika sektorer med respektive delsektorer. 

För varje sektor ansvarar en eller flera tillsynsmyndigheter för vägledning och tillsyn. 

Nationellt cybersäkerhetscenter (NCSC) har ett samordningsansvar, på nationell nivå i Sverige gentemot tillsynsmyndigheter och verksamhetsutövare, och på EU-nivå som kontaktpunkt för samarbete med andra medlemsstater. Vi har också i uppdrag att utfärda föreskrifter när det gäller de gemensamma aspekter av kravställningen för dem som omfattas.

Uppgifter om ni omfattas av cybersäkerhetslagen

Den som är verksamhetsutövare enligt cybersäkerhetslagen har i huvudsak följande uppgifter:

• Identifiera att man omfattas och anmäla sig.

• Etablera/upprätthålla ett systematiskt arbete med cybersäkerhet, införa lämpliga säkerhetsåtgärder och utbilda ledning såväl som personal.

• Rapportera in incidenter som medför eller kan medföra betydande störningar.

Verksamhetsutövaren berörs också av tillsyn från tillsynsmyndigheten för den sektor eller de sektorer där man omfattas.

Läs mer om cybersäkerhetslagen för verksamheter

Läs mer om omfattas verksamheten av cybersäkerhetslagen

Läs mer om att anmäla en verksamhet enligt cybersäkerhetslagen

Förslag till nya föreskrifter

Under 2026 ges föreskrifter enligt cybersäkerhetslagen ut. Den 1 juli 2026 flyttades cyberverksamheten från Myndigheten för civilt försvar till Nationellt cybersäkerhetscenter (NCSC) vid Försvarets radioanstalt (FRA). FRA ansvarar nu för dessa föreskrifter. Föreskrifterna kan fortfarande bära Myndigheten för civilt försvars namn tills de uppdateras vid en framtida revidering.

Beslutade föreskrifter enligt ny cybersäkerhetslag

För mer information om föreskrifterna och regleringsstrukturen läs sidan

Så ser NIS2-regleringen ut

Direktiv om kritiska entiteters motståndskraft, CER

Samtidigt som beslutet om NIS2-direktivet kom fattades även beslut om CER-direktivet, som båda är så kallade kontinuitetsdirektiv. CER-direktivet ställer krav på all annan verksamhet som måste kunna upprätthållas vid olika typer av störningar för att skapa motståndskraft i samhällsviktig verksamhet. Det kan handla om skydd av fysisk säkerhet som exempelvis lokaler och anläggningar och att rätt personer har åtkomst till dessa.

Läs mer om CER-direktivet

Kontakt

Många frågor har besvarats på vår webb.

Frågor och svar om cybersäkerhetslagen