Kostnadsfri kontroll på två minuter
NIS2-kollen: omfattas ni?
Sverige 2025:1506Finland 124/2025Ingen registrering
Laddas inte verktyget? Öppna verktyget i en ny flik. Byt till svenska genom att välja SV högst upp i verktyget.
Omfattas ni av NIS2-direktivet? Så avgör du det enligt cybersäkerhetslagen
Omfattas ni av NIS2-direktivet? I Sverige och Finland avgörs det av tre tester: om verksamheten finns i någon av direktivets 18 sektorer, om den är minst medelstor och var den är etablerad.
Sverige har genomfört NIS2-direktivet genom cybersäkerhetslagen (2025:1506), som trädde i kraft den 15 januari 2026. I Finland gäller kyberturvallisuuslaki (124/2025), vars skyldigheter började gälla den 8 april 2025. Båda lagarna kräver att verksamheten själv bedömer om den omfattas, så ”myndigheten har inte hört av sig” är inget svar.
Vilka omfattas av NIS2-direktivet: tre tester
Som huvudregel omfattas ett privat företag av NIS2 när alla tre villkoren är uppfyllda:
Sektor. Företaget bedriver en verksamhet som anges i bilaga I eller bilaga II till direktivet.
Storlek. Företaget är minst ett medelstort företag enligt EU:s definition av små och medelstora företag.
Etablering. Företaget är etablerat i Sverige eller Finland (eller, för vissa digitala tjänster, har sitt huvudsakliga driftställe där).
Det finns viktiga undantag där storleken inte spelar någon roll, och de beskrivs nedan. NCSC är tydligt med att verksamheter själva måste bedöma om de omfattas, genom att gå igenom typ av verksamhet, storlek och jurisdiktion i tur och ordning.
Test 1: Finns ni i en NIS2-sektor?
NIS2 räknar upp 18 sektorer i två bilagor. Bilaga I innehåller sektorer med hög kritikalitet och bilaga II andra kritiska sektorer. Bilagan spelar roll senare, eftersom den påverkar om ni är väsentlig eller viktig.
Bilaga I, sektorer med hög kritikalitet. Energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, förvaltning av IKT-tjänster (mellan företag), offentlig förvaltning och rymden.
Bilaga II, andra kritiska sektorer. Post- och budtjänster, avfallshantering, kemikalier, produktion, bearbetning och distribution av livsmedel, tillverkning (bland annat medicintekniska produkter, elektronik, elutrustning, maskiner och fordon), digitala leverantörer (onlinemarknadsplatser, sökmotorer och sociala nätverk) samt forskning.
Läs bilagorna på verksamhetsnivå, inte utifrån branschetiketten. En tillverkare av maskiner omfattas; ett företag som bara använder maskiner gör det inte, om det inte fångas av någon annan verksamhet.
Test 2: Är ni minst ett medelstort företag?
NIS2 gäller som huvudregel medelstora och stora företag. Både Sverige och Finland använder EU-definitionen i kommissionens rekommendation 2003/361/EG:
Litet (som regel utanför). Färre än 50 anställda, och årsomsättning eller balansomslutning på högst 10 miljoner euro.
Medelstort (omfattas). 50 till 249 anställda, eller både omsättning och balansomslutning över 10 miljoner euro, så länge gränserna för stora företag inte överskrids.
Stort. Minst 250 anställda, eller omsättning över 50 miljoner euro och balansomslutning över 43 miljoner euro.
Räkna inte bara ert eget bolag. Enligt NCSC måste anknutna företag och partnerföretag tas med, så ett litet dotterbolag i en stor koncern kan vara medelstort eller stort i NIS2-mening.
Vissa verksamheter omfattas oavsett storlek. Cybersäkerhetslagen omfattar regioner och kommuner oavsett storlek, och toppdomänregister och DNS-leverantörer räknas som väsentliga. I Finland nämner Traficom även leverantörer av allmänna elektroniska kommunikationsnät eller kommunikationstjänster, tillhandahållare av betrodda tjänster och verksamheter som utsetts som kritiska enligt CER-direktivet.
Test 3: Var är ni etablerade?
Huvudregeln är att ni omfattas av lagen i det land där ni är etablerade. Ett svenskt bolag följer den svenska cybersäkerhetslagen och ett finskt bolag den finska. Vissa digitala tjänster, som molntjänster och onlinemarknadsplatser, hanteras i stället där de har sitt huvudsakliga driftställe.
För nordiska koncerner får det en praktisk följd: varje dotterbolag bedöms i sitt eget land, enligt egen lag och egen tillsynsmyndighet. En koncern med bolag i Stockholm och Helsingfors kan ha två anmälningar, två tillsynsmyndigheter och två tidsplaner.
Väsentlig eller viktig verksamhetsutövare?
Alla som omfattas är antingen väsentliga eller viktiga verksamhetsutövare. Cybersäkerhetslagen (1 kap. 9 §) anger vilka som är väsentliga och slår fast att verksamhetsutövare som inte är väsentliga är viktiga. I praktiken, enligt NCSC:
Väsentlig. Stora företag i sektorer i bilaga I, samt särskilda fall som kvalificerade tillhandahållare av betrodda tjänster, toppdomänregister, DNS-leverantörer och vissa offentliga aktörer.
Viktig. Medelstora företag i sektorer i bilaga I, samt medelstora och stora företag i sektorer i bilaga II.
Skyldigheterna är i stort sett desamma. Skillnaden ligger i tillsyn och sanktioner. Väsentliga verksamhetsutövare har planlagd tillsyn; viktiga får tillsyn främst efter en händelse, till exempel en incident. Sanktionsavgiften kan enligt 4 kap. 10 § uppgå till det högsta av 10 miljoner euro eller 2 procent av den globala årsomsättningen för väsentliga och 7 miljoner euro eller 1,4 procent för viktiga verksamhetsutövare. Den finska lagen har samma maxbelopp.
Sverige och Finland sida vid sida
Sverige: cybersäkerhetslag 2025:1506. I kraft sedan 15 januari 2026. Verksamhetsutövare ska anmäla sig ”så snart det kan ske” och anmäla förändringar senast 14 dagar efter att de skett (2 kap. 2 §). Anmälan görs till den gemensamma kontaktpunkten, som enligt cybersäkerhetsförordningen (2025:1507) är Försvarets radioanstalt. Tillsynen är sektorsvis, till exempel Finansinspektionen, Energimyndigheten, Transportstyrelsen, IVO, Läkemedelsverket, Livsmedelsverket, PTS och sex länsstyrelser.
Finland: kyberturvallisuuslaki 124/2025. Skyldigheterna gäller sedan 8 april 2025. Verksamheter registrerar sig i den förteckning som sektorns tillsynsmyndighet för; för dem som omfattades från start var tidsfristen 8 maj 2025, och modellen för riskhantering inom cybersäkerhet skulle vara klar senast 8 juli 2025. Tillsynen är sektorsvis, till exempel Traficom, Finanssivalvonta, Energiavirasto, Valvira, Fimea, Tukes och Ruokavirasto.
Incidentrapporteringen följer direktivets rytm. Cybersäkerhetslagen kräver att en betydande incident anmäls senast inom 24 timmar, att en incidentanmälan görs inom 72 timmar och att en slutrapport lämnas senast en månad efter incidentanmälan (2 kap. 5–8 §§).
Vad NIS2-direktivet kräver av ledningen
NIS2 lägger cybersäkerheten på styrelsens och ledningens bord. Cybersäkerhetslagen säger rakt ut att de personer som ingår i ledningen för en verksamhetsutövare ska genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §). Den finska lagen kräver att ledningen godkänner modellen för riskhantering, övervakar genomförandet och har tillräcklig kunskap om riskhantering inom cybersäkerhet.
NIS2 kräver inte en utbildning för varje anställd. Lagen kräver utbildning för ledningen och anger grundläggande praxis för cyberhygien och utbildning i cybersäkerhet bland säkerhetsåtgärderna (2 kap. 3 §), vilket lämnar omfattning och form för personalens utbildning till ett riskbaserat beslut.
Skillnaden spelar roll när ni planerar. Ledningens utbildning är en personlig skyldighet som börjar vid tillträdet. Personalens medvetenhet är en del av säkerhetsåtgärderna och dimensioneras efter riskerna. Vår guide om säkerhetsmedvetenhetsutbildning i Norden går igenom båda mer i detalj.
Om ni omfattas: första stegen
Dokumentera bedömningen. Skriv ner vilken verksamhet i bilagorna som gäller, er storleksberäkning inklusive anknutna företag och partnerföretag, och om ni är väsentliga eller viktiga. Spara den med styrelsehandlingarna.
Anmäl er. I Sverige till den gemensamma kontaktpunkten, i Finland till sektorns tillsynsmyndighet. Om ni är sena, anmäl nu i stället för att vänta.
Utbilda ledningen. Planera och dokumentera utbildning för alla i ledningen, och upprepa den när sammansättningen ändras.
Inför säkerhetsåtgärderna. Bland annat incidenthantering, kontinuitet, säkerhet i leverantörskedjan, åtkomstkontroll samt cyberhygien och utbildning.
Förbered incidentrapporteringen. Bestäm vem som kan göra en anmälan inom 24 timmar en söndagskväll, och testa det.
Om ni inte omfattas: leverantörskedjan
Att stå utanför NIS2 betyder inte att ni inte påverkas. Verksamheter som omfattas måste hantera säkerheten i sin leverantörskedja, så deras krav förs vidare till leverantörer genom avtal och frågeformulär. NCSC påpekar att leverantörer till verksamheter som omfattas kan behöva se över lagens krav även om de själva inte omfattas.
Gör om bedömningen när något förändras: en ny verksamhetsgren, ett förvärv, 50 anställda eller 10 miljoner euro i både omsättning och balansomslutning. Omfattningen är inget engångsbeslut.
Kontrollera er verksamhet nu: NIS2 Applicability Checker tar ungefär två minuter, kräver ingen registrering och täcker både den svenska och den finska lagen.
Vanliga frågor
Vilka omfattas av NIS2-direktivet?
Medelstora och stora verksamheter som bedriver en verksamhet i bilaga I eller II till direktivet och är etablerade i ett EU-land, samt vissa verksamheter oavsett storlek, som tillhandahållare av betrodda tjänster, DNS-leverantörer, regioner och kommuner.
Omfattas små företag av NIS2?
Som huvudregel inte. Företag med färre än 50 anställda och en omsättning eller balansomslutning på högst 10 miljoner euro står utanför, om de inte hör till en grupp som omfattas oavsett storlek. Räkna med anknutna företag och partnerföretag innan ni drar slutsatsen att ni är små.
Vad är skillnaden mellan väsentliga och viktiga verksamhetsutövare?
Främst tillsyn och sanktioner. Väsentliga har planlagd tillsyn och sanktionsavgifter upp till 10 miljoner euro eller 2 procent av den globala omsättningen; viktiga får tillsyn främst efter en händelse och avgifter upp till 7 miljoner euro eller 1,4 procent.
När började NIS2 gälla i Sverige och Finland?
Cybersäkerhetslagen trädde i kraft i Sverige den 15 januari 2026. I Finland började kyberturvallisuuslakis skyldigheter gälla den 8 april 2025.
Måste vi anmäla oss enligt cybersäkerhetslagen?
Ja, om ni omfattas. Anmälan görs så snart det kan ske till den gemensamma kontaktpunkten hos Försvarets radioanstalt, och förändringar ska anmälas senast 14 dagar efter att de skett. I Finland registrerar man sig hos sektorns tillsynsmyndighet.
Kräver NIS2 cybersäkerhetsutbildning för alla anställda?
Nej. Lagen kräver utbildning för ledningen och anger cyberhygien och utbildning i cybersäkerhet som en säkerhetsåtgärd, utan att föreskriva en kurs för varje anställd. De flesta väljer ändå bred medvetenhetsutbildning som en del av sina riskbaserade åtgärder.
Hur gäller NIS2 för en koncern med bolag i Sverige och Finland?
Varje bolag bedöms och anmäls i det land där det är etablerat, enligt det landets lag och tillsynsmyndighet. Koncernens storlek påverkar bedömningen av varje bolag, eftersom anknutna företag räknas med.
Hur höga är sanktionsavgifterna enligt cybersäkerhetslagen?
Upp till det högsta av 10 miljoner euro eller 2 procent av den globala årsomsättningen för väsentliga och 7 miljoner euro eller 1,4 procent för viktiga verksamhetsutövare. I allvarliga fall kan en person dessutom förbjudas att ha en ledningsfunktion hos en väsentlig verksamhetsutövare.
Källor och vidare läsning
- Cybersäkerhetslag (2025:1506) – Sveriges riksdag
- Cybersäkerhetsförordning (2025:1507) – Sveriges riksdag: anmälan och tillsynsmyndigheter
- Omfattas verksamheten av cybersäkerhetslagen? – NCSC: självbedömning, storlek, väsentlig och viktig
- Direktiv (EU) 2022/2555 (NIS2) – EUR-Lex: tillämpningsområde, bilaga I och II
- Kommissionens rekommendation 2003/361/EG – EUR-Lex: definition av mikroföretag samt små och medelstora företag
- Kyberturvallisuuslaki 124/2025 – Finlex: Finlands cybersäkerhetslag
- Kyberturvallisuuslain keskeiset velvoitteet – Traficom: storleksgränser, registreringsfrist och tillsynsmyndigheter i Finland
- Säkerhetsmedvetenhetsutbildning i Norden – Datafisher