NIS2 compliance-programvara 2026: guide för svenska företag

NIS2 compliance-programvara hjälper svenska organisationer att uppfylla kraven i NIS2-direktivet (direktiv (EU) 2022/2555): riskhantering, incidentrapportering inom fastställda frister, styrning på ledningsnivå och kontroll av leverantörskedjan. För ett svenskt företag som omfattas är rätt verktyg 2026 en plattform som dokumenterar tekniska och organisatoriska säkerhetsåtgärder, hanterar incidentrapportering mot tillsynsmyndigheten och håller ett aktuellt register över risker och leverantörer – till en årskostnad om typiskt 30 000 till 200 000 kronor. Den här guiden förklarar de svenska kraven, vilka kriterier som avgör valet och hur NIS2-verktyg skiljer sig från renodlad GDPR-programvara.

NIS2 i Sverige: vad gäller?

NIS2 ersätter det tidigare NIS-direktivet och vidgar kraftigt kretsen av organisationer som omfattas. Direktivet skiljer mellan väsentliga entiteter (bland annat energi, transport, bank, hälso- och sjukvård, digital infrastruktur) och viktiga entiteter (bland annat livsmedel, tillverkning, digitala leverantörer). Tröskeln är i regel medelstora företag och uppåt, men vissa sektorer omfattas oavsett storlek.

Sverige har varit sent med att införliva direktivet. Transponeringen sker genom en ny cybersäkerhetslag som lägger de svenska detaljerna ovanpå direktivet, med Myndigheten för samhällsskydd och beredskap (MSB) i en central roll för tillsyn och vägledning tillsammans med sektorsmyndigheter. Organisationer som omfattas bör redan nu bygga sin dokumentation efter direktivets krav, eftersom skyldigheterna gäller kort efter att lagen träder i kraft.

Sanktioner. NIS2 föreskriver kännbara avgifter: för väsentliga entiteter upp till 10 miljoner euro eller 2 procent av den globala årsomsättningen, och för viktiga entiteter upp till 7 miljoner euro eller 1,4 procent. Direktivet inför dessutom personligt ansvar för ledningen, som ska godkänna och övervaka riskhanteringsåtgärderna.

Vilka krav ska programvaran täcka?

Krav (NIS2)	Vad det innebär	Vad verktyget ska göra
Riskhantering (art. 21)	Tekniska och organisatoriska åtgärder	Strukturerad riskanalys och åtgärdsregister
Incidentrapportering (art. 23)	Tidig varning inom 24 h, rapport inom 72 h	Arbetsflöde med tidsbevakning mot tillsynsmyndighet
Leverantörskedja	Kontroll av underleverantörers säkerhet	Register över leverantörer och deras åtgärder
Styrning	Ledningens ansvar och utbildning	Spårbar dokumentation av beslut och utbildning
Kontinuitet	Krishantering och återställning	Kontinuitetsplan och testning

Incidentfristerna är strängare än under GDPR: en tidig varning inom 24 timmar och en fullständig rapport inom 72 timmar. Ett verktyg utan tidsbevakning och tydligt arbetsflöde gör den fristen svår att hålla under press.

Urvalskriterier för svenska organisationer

• Svensk dokumentation och rapportering. Rapporter och register läses av MSB och sektorsmyndigheter. Utdata på svenska är ett praktiskt krav.
• EU-hosting. Säkerhetsdokumentation är känslig; data bör hållas inom EU.
• Överlappning med GDPR. Många NIS2-åtgärder överlappar artikel 32 i dataskyddsförordningen. Ett verktyg som kopplar samman säkerhetsåtgärder med registerförteckningen minskar dubbelarbete.
• Leverantörshantering. Kontrollen av leverantörskedjan liknar hanteringen av personuppgiftsbiträden – ett verktyg som hanterar bägge sparar tid.

Programvarualternativ

Marknaden delas i tre kategorier. Renodlade GRC-plattformar täcker risk, incident och leverantörer brett men kräver ofta konfiguration. GDPR-plattformar med säkerhetsmodul – som Legiscope – är starka när NIS2-arbetet ska samordnas med befintlig dataskyddsdokumentation, eftersom säkerhetsåtgärder och register hålls på samma ställe. Säkerhetsspecifika verktyg (Vanta, Sprinto) automatiserar teknisk bevisinsamling men behandlar NIS2 som ett ramverk bland flera och är svagare på svensk rapportering och styrningsdokumentation.

För de flesta svenska medelstora bolag som redan har ett GDPR-program är den mest kostnadseffektiva vägen att utöka den befintliga plattformen med NIS2-funktioner, snarare än att köpa in ett separat system. Jämför bredare i vår GDPR-programvarujämförelse.

Kostnad

En NIS2-anpassad plattform kostar typiskt 30 000–200 000 kronor per år beroende på organisationens storlek och antal sektorer den verkar i. Instegsnivån för ett medelstort bolag ligger ofta i intervallet 30 000–80 000 kronor, medan väsentliga entiteter med komplexa leverantörskedjor hamnar högre. Se vår generella kostnadsguide för prismodeller och dolda kostnader; principerna gäller även NIS2-verktyg.

De tio minimiåtgärderna enligt artikel 21

NIS2 preciserar i artikel 21.2 en uppsättning riskhanteringsåtgärder som varje omfattad organisation ska vidta. Programvaran bör ge stöd för att dokumentera och följa upp samtliga:

• Riskanalys och policyer för informationssäkerhet
• Incidenthantering
• Kontinuitet, säkerhetskopiering och katastrofåterställning
• Säkerhet i leverantörskedjan
• Säkerhet vid anskaffning, utveckling och underhåll av system
• Rutiner för att bedöma åtgärdernas effektivitet
• Grundläggande cyberhygien och utbildning
• Kryptografi och kryptering
• Personalsäkerhet, åtkomstkontroll och tillgångshantering
• Multifaktorautentisering och säker kommunikation

Ett verktyg som strukturerar dessa tio områden och kopplar dem till bevis och ansvariga personer gör det möjligt att visa upp efterlevnaden vid en granskning, i stället för att samla ihop underlag i efterhand.

Ledningens ansvar

En av de största nyheterna i NIS2 är att ansvaret lyfts till ledningsnivå. Styrelsen eller motsvarande ledningsorgan ska godkänna riskhanteringsåtgärderna, övervaka deras genomförande och kan hållas ansvarigt vid brister. Ledningen ska dessutom genomgå utbildning i cybersäkerhetsrisker. I praktiken innebär det att dokumentationen inte bara är ett tekniskt underlag utan också ett styrningsdokument som ska nå fram till och godkännas av högsta ledningen. Ett verktyg som producerar begripliga ledningsrapporter, snarare än enbart tekniska loggar, har därför ett värde utöver den rena efterlevnaden.

Sektorsexempel

Energi och vatten. Elnätsbolag, fjärrvärme och VA-verksamheter hör till de sektorer som omfattas oavsett storlek i flera fall, med tydliga krav på kontinuitet och skydd av driftteknik (OT).

Hälso- och sjukvård. Sjukhus och större vårdgivare hanterar både NIS2:s krav och storskalig behandling av känsliga personuppgifter, vilket gör samordningen med GDPR-dokumentationen särskilt viktig.

Digital infrastruktur och tillverkning. Molnleverantörer, datacenter och tillverkande företag med kritiska leveranskedjor behöver särskilt god kontroll över leverantörsavtalen, som liknar hanteringen av personuppgiftsbiträden.

Kom igång: en praktisk ordning

För en svensk organisation som omfattas är en pragmatisk ordning: (1) fastställ om och hur ni omfattas utifrån sektor och storlek, (2) kartlägg era tillgångar, leverantörer och kritiska processer, (3) genomför en riskanalys och dokumentera de tekniska och organisatoriska åtgärderna enligt artikel 21, (4) upprätta arbetsflödet för incidentrapportering med 24- och 72-timmarsfrister, (5) förankra åtgärderna hos ledningen, som ska godkänna och övervaka dem, och (6) samordna med er DORA- och GDPR-dokumentation där sektorn kräver det. Finansiella entiteter som redan arbetar med DORA kan återanvända mycket av riskhanteringen och leverantörskontrollen. Att börja med kartläggningen och riskanalysen är avgörande, eftersom resten av dokumentationen bygger på dem. Ett verktyg som strukturerar dessa steg gör att arbetet kan bedrivas löpande i stället för i panik inför att lagen träder i kraft.

Vanliga frågor

Vad kostar NIS2-programvara i Sverige?

Typiskt 30 000–200 000 kronor per år. För ett medelstort bolag som utökar en befintlig GDPR-plattform med NIS2-funktioner blir merkostnaden ofta lägre än för ett fristående GRC-system. Ställt mot NIS2:s sanktionstak – upp till 10 miljoner euro eller 2 procent av omsättningen – är investeringen blygsam.

Omfattas mitt företag av NIS2?

Om ni är ett medelstort eller större företag i en av de sektorer direktivet räknar upp (energi, transport, bank, hälsa, digital infrastruktur, livsmedel, tillverkning med flera) omfattas ni sannolikt. Vissa sektorer omfattas oavsett storlek. Den svenska cybersäkerhetslagen preciserar tillämpningen; en kartläggning av er sektor och storlek bör göras tidigt.

Räcker vår GDPR-programvara för NIS2?

Delvis. Säkerhetsåtgärderna enligt artikel 32 i dataskyddsförordningen överlappar NIS2:s riskhantering, men NIS2 kräver därutöver incidentrapportering till annan myndighet, styrning på ledningsnivå och kontroll av leverantörskedjan. En plattform som täcker båda ramverken är att föredra framför två separata system.

Vad skiljer NIS2 från det gamla NIS-direktivet?

Det ursprungliga NIS-direktivet från 2016 omfattade ett begränsat antal leverantörer av samhällsviktiga tjänster och gav medlemsstaterna stort utrymme att själva avgöra vilka som omfattades. Resultatet blev en ojämn tillämpning i Europa. NIS2 rättar till detta på flera sätt: kretsen av omfattade sektorer och organisationer vidgas kraftigt, tröskeln knyts till företagsstorlek (i regel medelstora företag och uppåt) i stället för till nationell bedömning, kraven på riskhantering preciseras i artikel 21, ledningsansvar införs och sanktionsnivåerna höjs betydligt. För många svenska organisationer som inte omfattades av det gamla direktivet innebär NIS2 att de för första gången träffas av bindande cybersäkerhetskrav.

Vanliga misstag vid NIS2-efterlevnad

• Att anta att man inte omfattas. Många organisationer underskattar hur brett NIS2 träffar, särskilt inom tillverkning, livsmedel och digitala tjänster.
• Att se det som enbart en IT-fråga. Ledningen ska godkänna och övervaka åtgärderna; ansvaret kan inte delegeras bort helt.
• Att glömma leverantörskedjan. Säkerheten hos underleverantörer är en uttrycklig del av kraven, inte en frivillig tillägg.
• Att inte kunna visa upp bevis. Att ha åtgärder på plats räcker inte om de inte kan dokumenteras och visas vid en granskning.

Att undvika dessa misstag kräver att arbetet påbörjas innan lagen kräver det och att dokumentationen byggs löpande. Ett verktyg som strukturerar de tio åtgärderna och kopplar dem till bevis gör den skillnaden praktiskt genomförbar.

Slutsats

NIS2 höjer ribban för svenska organisationers cybersäkerhet med bindande frister, ledningsansvar och sanktioner upp till 10 miljoner euro. Rätt programvara dokumenterar riskåtgärder, håller incidentrapporteringen inom 24- och 72-timmarsfristerna och samlar leverantörskedjan på ett ställe – helst integrerat med befintlig GDPR-dokumentation för att undvika dubbelarbete. Med den svenska cybersäkerhetslagen på plats bör organisationer som omfattas inte vänta: bygg dokumentationen efter direktivets krav nu och välj ett verktyg som producerar svensk rapportering mot MSB och sektorsmyndigheterna. Prioritera de organisationer och processer som är mest kritiska, förankra åtgärderna hos ledningen och behandla efterlevnaden som en löpande process snarare än ett engångsprojekt. Det är den organisation som börjar tidigt och dokumenterar systematiskt som klarar en granskning utan efterhandskonstruktioner.