Cybersäkerhetslagen: en checklista för NIS2

Varför: NCSC räknar 18 sektorer, bland annat energi, transport, hälso- och sjukvård, digital infrastruktur, livsmedel, tillverkning och digitala leverantörer. Lagen gäller en verksamhet som omfattas av bilaga 1 eller 2 till NIS2-direktivet (1 kap. 4 §).

Varför: Lagen gäller när verksamheten når den storlek som 1 kap. 4 § kräver. Definitionen står i 1 kap. 2 §. NCSC skriver att anknutna företag och partnerföretag räknas in, till exempel i en koncern, och att bedömningen utgår från antal anställda eller omsättning.

Varför: Vissa verksamheter omfattas även när de inte når storlekskravet, till exempel DNS-tjänster, registreringsenheter för toppdomäner och betrodda tjänster (1 kap. 5–7 §§). NCSC skriver att huvudregeln har undantag. Läs vägledningen innan du drar slutsatsen att du står utanför.

Varför: NCSC skriver att varken NCSC eller tillsynsmyndigheterna bedömer om en enskild verksamhet omfattas. Ett kort skriftligt underlag visar hur du kom fram till svaret och gör det lätt att göra om när verksamheten ändras.

Varför: Lagen säger att den som omfattas ska anmäla sig så snart det kan ske (2 kap. 2 §). NCSC skriver att anmälan sedan den 2 februari 2026 ska skickas så snart det går, och att tillsynsmyndigheten kan agera om den inte har kommit in inom 14 dagar. En ändring av det som redan anmälts ska anmälas senast 14 dagar efter ändringen (2 kap. 2 §). Formuläret skickas med e-post till NCSC.

Varför: Myndigheten för civilt försvar skriver att lagen ställer tydligare krav på att ledningen deltar. Säkerhetsåtgärderna räknas upp i 2 kap. 3 §.

Varför: De som ingår i ledningen ska genomgå utbildning om säkerhetsåtgärderna (2 kap. 4 §). Åtgärderna omfattar också grundläggande cyberhygien och utbildning i cybersäkerhet (2 kap. 3 § punkt 7). Myndigheten för civilt försvar nämner utbildning av både ledning och personal.

Varför: Praktiskt, inte ett lagkrav om en bestämd roll: någon behöver äga frågan, hålla underlaget aktuellt och vara kontakt mot myndigheter och leverantörer. En ersättare gör att det fungerar under frånvaro.

Varför: Lagen kräver strategier för riskanalys och en säkerhetsnivå som står i proportion till risken (2 kap. 3 §). Börja med det som stoppar verksamheten om det slutar fungera eller läcker: e-post, ekonomisystem, kundregister och webbplats.

Varför: Praktiskt stöd för personalsäkerhet, åtkomstkontroll och tillgångsförvaltning (2 kap. 3 § punkt 9). Ta med molntjänster, domäner och konton som borde stängas.

Varför: Lagen kräver vid behov autentisering utöver lösenordet (2 kap. 3 § punkt 10). Tvåstegsverifiering för e-post, administration och fjärråtkomst är ett konkret sätt att göra det.

Varför: Säkerhet vid förvärv, utveckling och underhåll av systemen är en av åtgärderna (2 kap. 3 § punkt 5). Bestäm hur ofta du uppdaterar och vem som kontrollerar att det blev gjort.

Varför: Kontinuitetshantering är en av åtgärderna (2 kap. 3 § punkt 3). En kopia som kan krypteras av samma angrepp skyddar inte mot utpressningsvirus. Prova en återställning så att du vet hur lång tid det tar.

Varför: Grundläggande cyberhygien ingår i åtgärderna (2 kap. 3 § punkt 7). SPF, DKIM och DMARC är ett praktiskt skydd mot mejl som ser ut att komma från dig. Lagen namnger inte just de tre posterna.

Varför: Praktiskt grundskydd för webbplatsen. Lagen kräver inte just de här rubrikerna. HTTPS och säkerhetshuvuden är enkla kontroller.

Varför: Incidenthantering är en av åtgärderna (2 kap. 3 § punkt 2). Planen ska gå att följa även när e-posten inte fungerar, så ha den också utskriven.

Varför: En tidig varning ska lämnas så snart det kan ske, dock senast 24 timmar efter kännedom (2 kap. 5 §). Incidentanmälan ska för de flesta lämnas senast 72 timmar, och för betrodda tjänster senast 24 timmar (2 kap. 6 §). Slutrapport ska lämnas senast en månad efter incidentanmälan (2 kap. 8 §). Kontrollera vad som gäller i din sektor.

Varför: Praktiskt sätt att se om incidenthanteringen fungerar. Lagen kräver incidenthantering och att du bedömer om åtgärderna fungerar (2 kap. 3 § punkterna 2 och 6). En kort genomgång visar vad som saknas: en kontaktväg, en inloggning eller vem som får fatta beslut.

Varför: Säkerhet i leveranskedjan är en av åtgärderna (2 kap. 3 § punkt 4). Börja med vem som kan logga in i dina system och vem som har dina uppgifter.

Varför: Praktiskt sätt att hantera leveranskedjan. Lagen kräver säkerhet i leveranskedjan, inte en viss avtalsmening (2 kap. 3 § punkt 4).

Varför: Praktiskt: kunder som själva omfattas ska hantera sin leveranskedja (2 kap. 3 § punkt 4), så frågorna kan komma även till den som inte själv omfattas. Listan är ett underlag för svaren, inte juridisk rådgivning.