NIS2 compliance-programvara hjälper svenska organisationer att uppfylla kraven i NIS2-direktivet (direktiv (EU) 2022/2555): riskhantering, incidentrapportering inom fastställda frister, styrning på ledningsnivå och kontroll av leverantörskedjan. För ett svenskt företag som omfattas är rätt verktyg 2026 en plattform som dokumenterar tekniska och organisatoriska säkerhetsåtgärder, stödjer incidentrapportering till rätt mottagare och håller ett aktuellt register över risker och leverantörer – till en årskostnad om typiskt 30 000 till 200 000 kronor. Den här guiden förklarar de svenska kraven, vilka kriterier som avgör valet och hur NIS2-verktyg skiljer sig från renodlad GDPR-programvara.
NIS2 i Sverige: vad gäller?
NIS2 ersätter det tidigare NIS-direktivet och vidgar kraftigt kretsen av organisationer som omfattas. Direktivet skiljer mellan väsentliga entiteter (bland annat energi, transport, bank, hälso- och sjukvård, digital infrastruktur) och viktiga entiteter (bland annat livsmedel, tillverkning, digitala leverantörer). Tröskeln är i regel medelstora företag och uppåt, men vissa sektorer omfattas oavsett storlek.
Sveriges cybersäkerhetslag (2025:1506) gäller sedan den 15 januari 2026. Tillsynen fördelas mellan sektorsmyndigheter enligt cybersäkerhetsförordningen (2025:1507). I den aktuella förordningen är Försvarets radioanstalt (FRA) gemensam kontaktpunkt och CSIRT-enhet; incidentrapporter lämnas till CSIRT-enheten. Skilj därför rapporteringsmottagaren från er tillsynsmyndighet när verktyget konfigureras. Kontrollera verksamhetens omfattning och tillämpliga undantag enligt lagen innan ni bestämmer arbetsflödet.
Sanktioner. NIS2 föreskriver kännbara avgifter: för väsentliga entiteter upp till 10 miljoner euro eller 2 procent av den globala årsomsättningen, och för viktiga entiteter upp till 7 miljoner euro eller 1,4 procent. Direktivet inför dessutom personligt ansvar för ledningen, som ska godkänna och övervaka riskhanteringsåtgärderna.
Vilka krav ska programvaran täcka?
| Krav (NIS2) | Vad det innebär | Vad verktyget ska göra |
|---|---|---|
| Riskhantering (art. 21) | Tekniska och organisatoriska åtgärder | Strukturerad riskanalys och åtgärdsregister |
| Incidentrapportering (art. 23) | Betydande incidenter: tidig upplysning, incidentanmälan och slutrapport enligt tillämpliga frister | Arbetsflöde med tidsbevakning och rätt CSIRT-mottagare |
| Leverantörskedja | Kontroll av underleverantörers säkerhet | Register över leverantörer och deras åtgärder |
| Styrning | Ledningens ansvar och utbildning | Spårbar dokumentation av beslut och utbildning |
| Kontinuitet | Krishantering och återställning | Kontinuitetsplan och testning |
Enligt 2 kap. 5–8 §§ cybersäkerhetslagen ska en betydande incident upplysas om så snart det kan ske, senast 24 timmar efter kännedom. Incidentanmälan ska också göras så snart det kan ske: senast 72 timmar efter kännedom för övriga verksamhetsutövare, men senast 24 timmar för tillhandahållare av betrodda tjänster. Slutrapporten har en separat frist, normalt en månad efter incidentanmälan; pågående incidenter hanteras med lägesrapport och senare slutrapport. GDPR har ett annat rapporteringsrekvisit. Verktyget behöver därför stödja separata bedömningar och frister.
Urvalskriterier för svenska organisationer
- Svensk dokumentation och rapportering. Underlag behöver kunna användas vid sektorsmyndighetens tillsyn och rapportering till CSIRT-enheten. Kontrollera mottagarens formatkrav; svenska rapporter kan underlätta organisationens arbete.
- EU-hosting. Säkerhetsdokumentation är känslig; data bör hållas inom EU.
- Överlappning med GDPR. Många NIS2-åtgärder överlappar artikel 32 i dataskyddsförordningen. Ett verktyg som kopplar samman säkerhetsåtgärder med registerförteckningen minskar dubbelarbete.
- Leverantörshantering. Kontrollen av leverantörskedjan liknar hanteringen av personuppgiftsbiträden – ett verktyg som hanterar bägge sparar tid.
Programvarualternativ
För de flesta svenska medelstora bolag som redan har ett GDPR-program är den mest kostnadseffektiva vägen att utöka den befintliga plattformen med NIS2-funktioner, snarare än att köpa in ett separat system. Jämför bredare i vår GDPR-programvarujämförelse.
Kostnad
En NIS2-anpassad plattform kostar typiskt 30 000–200 000 kronor per år beroende på organisationens storlek och antal sektorer den verkar i. Instegsnivån för ett medelstort bolag ligger ofta i intervallet 30 000–80 000 kronor, medan väsentliga entiteter med komplexa leverantörskedjor hamnar högre. Se vår generella kostnadsguide för prismodeller och dolda kostnader; principerna gäller även NIS2-verktyg.
De tio minimiåtgärderna enligt artikel 21
NIS2 preciserar i artikel 21.2 en uppsättning riskhanteringsåtgärder som varje omfattad organisation ska vidta. Programvaran bör ge stöd för att dokumentera och följa upp samtliga:
- Riskanalys och policyer för informationssäkerhet
- Incidenthantering
- Kontinuitet, säkerhetskopiering och katastrofåterställning
- Säkerhet i leverantörskedjan
- Säkerhet vid anskaffning, utveckling och underhåll av system
- Rutiner för att bedöma åtgärdernas effektivitet
- Grundläggande cyberhygien och utbildning
- Kryptografi och kryptering
- Personalsäkerhet, åtkomstkontroll och tillgångshantering
- Multifaktorautentisering och säker kommunikation
Ett verktyg som strukturerar dessa tio områden och kopplar dem till bevis och ansvariga personer gör det möjligt att visa upp efterlevnaden vid en granskning, i stället för att samla ihop underlag i efterhand.
Ledningens ansvar
En av de största nyheterna i NIS2 är att ansvaret lyfts till ledningsnivå. Styrelsen eller motsvarande ledningsorgan ska godkänna riskhanteringsåtgärderna, övervaka deras genomförande och kan hållas ansvarigt vid brister. Ledningen ska dessutom genomgå utbildning i cybersäkerhetsrisker. I praktiken innebär det att dokumentationen inte bara är ett tekniskt underlag utan också ett styrningsdokument som ska nå fram till och godkännas av högsta ledningen. Ett verktyg som producerar begripliga ledningsrapporter, snarare än enbart tekniska loggar, har därför ett värde utöver den rena efterlevnaden.
Sektorsexempel
Energi och vatten. Elnätsbolag, fjärrvärme och VA-verksamheter hör till de sektorer som omfattas oavsett storlek i flera fall, med tydliga krav på kontinuitet och skydd av driftteknik (OT).
Hälso- och sjukvård. Sjukhus och större vårdgivare hanterar både NIS2:s krav och storskalig behandling av känsliga personuppgifter, vilket gör samordningen med GDPR-dokumentationen särskilt viktig.
Digital infrastruktur och tillverkning. Molnleverantörer, datacenter och tillverkande företag med kritiska leveranskedjor behöver särskilt god kontroll över leverantörsavtalen, som liknar hanteringen av personuppgiftsbiträden.
Kom igång: en praktisk ordning
För en svensk organisation som omfattas är en pragmatisk ordning: (1) fastställ om och hur ni omfattas utifrån sektor och storlek, (2) kartlägg era tillgångar, leverantörer och kritiska processer, (3) genomför en riskanalys och dokumentera de tekniska och organisatoriska åtgärderna enligt artikel 21, (4) upprätta arbetsflödet för betydande incidenter med de frister som gäller för verksamheten, (5) förankra åtgärderna hos ledningen, som ska godkänna och övervaka dem, och (6) samordna med er DORA- och GDPR-dokumentation där sektorn kräver det. Finansiella entiteter som redan arbetar med DORA kan återanvända mycket av riskhanteringen och leverantörskontrollen. Att börja med kartläggningen och riskanalysen är avgörande, eftersom resten av dokumentationen bygger på dem. Ett verktyg som strukturerar dessa steg gör att arbetet kan bedrivas löpande med stöd av redan gällande regler.
Vanliga frågor
Vad kostar NIS2-programvara i Sverige?
Typiskt 30 000–200 000 kronor per år. För ett medelstort bolag som utökar en befintlig GDPR-plattform med NIS2-funktioner blir merkostnaden ofta lägre än för ett fristående GRC-system. Ställt mot NIS2:s sanktionstak – upp till 10 miljoner euro eller 2 procent av omsättningen – är investeringen blygsam.
Omfattas mitt företag av NIS2?
Om ni är ett medelstort eller större företag i en av de sektorer direktivet räknar upp (energi, transport, bank, hälsa, digital infrastruktur, livsmedel, tillverkning med flera) omfattas ni sannolikt. Vissa sektorer omfattas oavsett storlek. Den svenska cybersäkerhetslagen preciserar tillämpningen; en kartläggning av er sektor och storlek bör göras tidigt.
Räcker vår GDPR-programvara för NIS2?
Delvis. Säkerhetsåtgärderna enligt artikel 32 i dataskyddsförordningen överlappar NIS2:s riskhantering, men NIS2 kräver därutöver incidentrapportering till annan myndighet, styrning på ledningsnivå och kontroll av leverantörskedjan. En plattform som täcker båda ramverken är att föredra framför två separata system.
Vad skiljer NIS2 från det gamla NIS-direktivet?
Det ursprungliga NIS-direktivet från 2016 omfattade ett begränsat antal leverantörer av samhällsviktiga tjänster och gav medlemsstaterna stort utrymme att själva avgöra vilka som omfattades. Resultatet blev en ojämn tillämpning i Europa. NIS2 rättar till detta på flera sätt: kretsen av omfattade sektorer och organisationer vidgas kraftigt, tröskeln knyts till företagsstorlek (i regel medelstora företag och uppåt) i stället för till nationell bedömning, kraven på riskhantering preciseras i artikel 21, ledningsansvar införs och sanktionsnivåerna höjs betydligt. För många svenska organisationer som inte omfattades av det gamla direktivet innebär NIS2 att de för första gången träffas av bindande cybersäkerhetskrav.
Vanliga misstag vid NIS2-efterlevnad
- Att anta att man inte omfattas. Många organisationer underskattar hur brett NIS2 träffar, särskilt inom tillverkning, livsmedel och digitala tjänster.
- Att se det som enbart en IT-fråga. Ledningen ska godkänna och övervaka åtgärderna; ansvaret kan inte delegeras bort helt.
- Att glömma leverantörskedjan. Säkerheten hos underleverantörer är en uttrycklig del av kraven, inte en frivillig tillägg.
- Att inte kunna visa upp bevis. Att ha åtgärder på plats räcker inte om de inte kan dokumenteras och visas vid en granskning.
Att undvika dessa misstag kräver att gällande skyldigheter omsätts i åtgärder och att dokumentationen byggs löpande. Ett verktyg som strukturerar de tio åtgärderna och kopplar dem till bevis gör den skillnaden praktiskt genomförbar.
Slutsats
NIS2 höjer ribban för svenska organisationers cybersäkerhet med bindande frister, ledningsansvar och sanktioner upp till 10 miljoner euro. Rätt programvara dokumenterar riskåtgärder, håller incidentrapporteringen inom tillämpliga frister och samlar leverantörskedjan på ett ställe – helst integrerat med befintlig GDPR-dokumentation för att undvika dubbelarbete. Organisationer som omfattas behöver dokumentation enligt den svenska lagen och tillämpliga föreskrifter, samt ett verktyg som skiljer incidentrapportering till CSIRT-enheten från underlag till tillsynsmyndigheten. Prioritera de organisationer och processer som är mest kritiska, förankra åtgärderna hos ledningen och behandla efterlevnaden som en löpande process snarare än ett engångsprojekt. Det är den organisation som börjar tidigt och dokumenterar systematiskt som klarar en granskning utan efterhandskonstruktioner.