NIS2-direktivet: vad svenska företag måste göra 2026

NIS2 (Network and Information Security Directive 2) är EU:s uppdaterade cybersäkerhetsdirektiv och gäller i Sverige via Cybersäkerhetslagen. Många fler företag omfattas nu jämfört med NIS1 — och sanktionerna är kraftigt höjda.

Vilka omfattas? Alla medelstora och stora företag (över 50 anställda eller 10 MEUR omsättning) inom sektorer som energi, transport, hälsa, dricksvatten, digital infrastruktur, offentlig förvaltning, post, avfall, kemi, livsmedel, tillverkning av kritiska produkter, digitala tjänster och forskning. Även mindre företag kan omfattas om de är kritiska underleverantörer.

Kraven i korthet: dokumenterad riskhantering, incidenthantering med 24-timmars rapportering till MSB, säkerhet i leveranskedjan, kryptering, MFA, kontinuitetsplaner, sårbarhetshantering, ledningens ansvar och regelbunden säkerhetsutbildning för personalen.

Sanktioner: upp till 10 MEUR eller 2 % av global omsättning för viktiga entiteter, och styrelseledamöter kan hållas personligt ansvariga. Det är en av anledningarna till att NIS2 nu prioriteras även i bolag där IT-säkerhet tidigare var en delegerad fråga.

Konkret checklista för att komma igång: 1) Kartlägg om ni omfattas — direkt eller som underleverantör. 2) Genomför riskanalys och gap-analys mot NIS2-kraven. 3) Implementera MFA överallt, minst Microsoft 365 Business Premium eller motsvarande. 4) Sätt upp EDR/XDR (Defender for Business, SentinelOne eller liknande). 5) Dokumentera incidenthanteringsprocessen med 24-timmars rapportering. 6) Utbilda ledningen — de bär ansvaret enligt lagen. 7) Kravställ era leverantörer skriftligt.

Vår erfarenhet: de flesta svenska SMB-företag har grunden på plats men saknar dokumentation och formell process. En genomgång på 4–6 veckor räcker för att komma i mål. Vi hjälper med gap-analys, teknisk implementation och löpande efterlevnad — kontakta oss för en kostnadsfri första bedömning.