Cybersäkerhetslagen (2025:1506)

Cybersäkerhetslagen (2025:1506) genomför NIS2-direktivet i svensk rätt. Syftet (1 kap. 1 §) är att uppnå en hög nivå av cybersäkerhet i samhället. Den trädde i kraft 15 januari 2026 och upphävde samtidigt den gamla lagen (2018:1174). Ansvarigt departement är Försvarsdepartementet.

Lagen gäller bl.a. statliga myndigheter, regioner, kommuner och kommunalförbund, samt verksamhetsutövare som omfattas av NIS2:s bilaga I eller II, är etablerade i Sverige och storleksmässigt motsvarar minst ett medelstort företag (1 kap. 4 §). Även leverantörer av allmänna elektroniska kommunikationsnät, moln-, datacenter-, DNS- och toppdomäntjänster m.fl. omfattas.

Verksamhetsutövare delas in i väsentliga och viktiga (1 kap. 9 §). Vissa undantas — bl.a. verksamhet under DORA-förordningen och övervägande säkerhetskänslig eller brottsbekämpande verksamhet.

• Anmäla sig till behörig myndighet, och anmäla ändringar inom 14 dagar (2 §).
• Säkerhetsåtgärder (3 §) ur ett allriskperspektiv — minst: riskanalys, incidenthantering, kontinuitets- och krishantering, säkerhet i leveranskedjan, säker utveckling, kryptografi/kryptering, cyberhygien och utbildning, åtkomstkontroll och vid behov multifaktorautentisering.
• Ledningen ska utbildas om säkerhetsåtgärder (4 §).
• Incidentrapportering: upplysning inom 24 timmar (5 §), incidentanmälan inom 72 timmar (24 h för betrodda tjänster, 6 §), delrapport på begäran (7 §) och slutrapport inom en månad (8 §).
• Informera mottagare vid betydande incidenter och cyberhot (9–10 §).

Tillsynsmyndigheten får begära uppgifter, få tillträde till lokaler, utföra säkerhetsrevisioner och säkerhetsskanningar, och förena förelägganden med vite. Ingripanden sker via anmärkning, föreläggande, förbud att inneha ledningsfunktion eller sanktionsavgift.

Sanktionsavgiften (4 kap. 10 §) bestäms till lägst 5 000 kr och högst:

• Väsentlig enskild verksamhetsutövare: det högsta av 2 % av global årsomsättning eller motsvarande 10 000 000 EUR.
• Viktig enskild verksamhetsutövare: det högsta av 1,4 % eller motsvarande 7 000 000 EUR.
• Offentlig verksamhetsutövare: 10 000 000 kr.

I allvarliga fall kan en ledningsperson förbjudas att inneha ledningsfunktion i 1–3 år (4 kap. 6–8 §).

Vi hjälper er kartlägga om ni omfattas, bygga in säkerhetsåtgärderna och sätta rutiner för incidentrapportering som klarar tidsgränserna. Skydda företagets data → eller planera er efterlevnad →

Den här sidan är informativ och faktagranskad mot primärkällan, men utgör inte juridisk rådgivning. För bindande bedömning av just er verksamhet — prata med oss eller ert juridiska ombud.