Cybersäkerhet: Sverige (2026)
Sverige antog cybersäkerhetslagen (SFS 2025:1506) den 10 december 2025, med ikraftträdande den 15 januari 2026, genom vilken EU:s NIS2-direktiv införlivas och 2018 års informationssäkerhetslag ersätts. Lagen utvidgar de obligatoriska skyldigheterna avseende riskhantering och incidentrapportering inom 18 sektorer till att omfatta både väsentliga och viktiga enheter, med krav på anmälan av säkerhetsöverträdelser inom 24 timmar. En nationell cybersäkerhetsstrategi för 2025–2029, som offentliggjordes i februari 2026, ligger till grund för en samhällsomfattande strategi för ”totalförsvar”.
Grundläggande ramverk
Cybersäkerhetslagen (SFS 2025:1506), som genomför EU:s NIS2-direktiv (2022/2555), träder i kraft den 15 januari 2026; nationell samordnare och EU:s gemensamma kontaktpunkt: MCF (Myndigheten för civilt försvar, tidigare MSB); sektorsspecifika tillsynsmyndigheter för respektive sektor; NCSC samordnas av FRA (Försvarets radioanstalt)
Viktiga punkter
Införlivande av NIS2 (försenat)
Sverige missade EU:s tidsfrist den 17 oktober 2024; Europeiska kommissionen inledde ett överträdelseförfarande och utfärdade ett motiverat yttrande den 7 maj 2025. Riksdagen antog cybersäkerhetslagen (SFS 2025:1506) den 10 december 2025 och den trädde i kraft den 15 januari 2026, vilket formellt fullbordade införlivandet.
Omfattning och branschtäckning
Lagen omfattar enheter inom 18 sektorer (en ökning från 7 enligt den tidigare lagen), däribland energi, transport, bankväsende, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, förvaltning av IKT-tjänster (B2B), offentlig förvaltning och rymdsektorn. Tröskelvärden: minst 50 anställda eller 10 miljoner euro i årsomsättning/balansomsättning; nästan alla offentliga organ omfattas oavsett storlek.
Skyldigheter att rapportera incidenter
Berörda enheter måste lämna in en första anmälan till MCF inom 24 timmar efter att de fått kännedom om en allvarlig händelse, en fullständig händelserapport inom 72 timmar och en slutrapport inom en månad. MCF lanserade en särskild anmälningsportal den 2 februari 2026; enheterna hade fram till den 16 februari 2026 på sig att registrera sin verksamhet.
Tillsynsmyndigheter
MCF (tidigare MSB) är den nationella samordnaren och EU:s gemensamma kontaktpunkt. Sektorsspecifika myndigheter, däribland PTS för telekommunikation och digitala tjänster, utövar tillsyn inom sina respektive områden. NCSC, som håller på att omorganiseras under underrättelsetjänsten FRA, samordnar den nationella underrättelseverksamheten om cyberhot; CERT-SE föreslås överföras till NCSC år 2026.
Påföljder och verkställighet
Förvaltningsböterna varierar mellan 5 000 och 10 000 000 SEK som inhemskt tak, med maximibelopp anpassade till NIS2 på upp till 10 miljoner euro eller 2 % av den globala årsomsättningen för väsentliga enheter och 7 miljoner euro eller 1,4 % för viktiga enheter. Tillsynsmyndigheterna kan även utfärda förelägganden, tillrättavisningar och förbud mot att inneha ledande befattningar vid upprepad bristande efterlevnad.
Nationell strategi för cybersäkerhet 2025–2029
Strategin, som publicerades i februari 2026 av Civilförsvarsdepartementet, vilar på tre pelare: ett systematiskt arbete med cybersäkerhet, utveckling av kunskap och kompetens samt kapacitet för förebyggande och hantering av incidenter. Offentliga satsningar på cirka 300–400 miljoner kronor under perioden 2026–2028 stödjer NCSC, CERT-SE, kommuner och regioner inom ramen för Sveriges ”totala försvar”-koncept.
Denna sida är en översättning som tillhandahålls för att underlätta läsningen; den engelska versionen är den giltiga och utgör inte juridisk rådgivning.