Lagen som gjorde din personal till en efterlevnadsfråga.
NIS2 är EU-direktivet som förvandlade cybersäkerhet från god praxis till en lagstadgad skyldighet för tusentals företag. I Sverige gäller det genom cybersäkerhetslagen sedan den 15 januari 2026. Den här sidan förklarar vad lagen faktiskt kräver av ett företag, utan konsultdimma. Den är skriven för att läsas på tio minuter och citeras efteråt.
Tre frågor avgör.
Är ni i en av de 18?
Direktivet listar elva sektorer av särskild betydelse och sju andra kritiska sektorer. Ligger er huvudsakliga verksamhet i någon av dem, läs vidare.
Minst 50 anställda, eller 10 miljoner euro?
Medelstora och stora företag omfattas. Mindre företag omfattas ändå om de är den enda leverantören av en tjänst, eller om en störning skulle få stora följder. I Sverige omfattas dessutom kommuner och regioner oavsett storlek.
Är en kund som omfattas beroende av er?
Då träffar lagen er ändå, via avtal. Kunden måste kunna visa att leverantörerna är säkra, och frågan om personalens utbildning står alltid på formuläret ni får.
- Energi
- Transport
- Bank
- Finansmarknadsinfrastruktur
- Hälso- och sjukvård
- Dricksvatten
- Avloppsvatten
- Digital infrastruktur
- Förvaltning av IKT-tjänster (B2B)
- Offentlig förvaltning
- Rymden
- Post- och budtjänster
- Avfallshantering
- Kemikalier
- Livsmedel: produktion och distribution
- Tillverkning (medicinteknik, elektronik, maskiner, fordon)
- Digitala leverantörer (marknadsplatser, sökmotorer, sociala nätverk)
- Forskningsorganisationer
Tio saker varje företag som omfattas måste ha.
Lagen säger inte hur. Den säger vad, och kräver att åtgärderna står i proportion till risken. Nummer sju är den enda som handlar om människor i stället för system, och den enda en tillsynsmyndighet kan kontrollera genom att prata med en slumpvis vald anställd.
Utbildningskravet i detalj (engelska)- 01Riskanalys och policyer för informationssystemens säkerhet
- 02Incidenthantering
- 03Kontinuitet, säkerhetskopiering och krishantering
- 04Säkerhet i leveranskedjan, inklusive dina direkta leverantörer
- 05Säkerhet vid anskaffning, utveckling och underhåll av system
- 06Rutiner för att bedöma hur effektiva åtgärderna är
- 07Grundläggande cyberhygien och utbildning i cybersäkerhet
- 08Kryptografi och, där det är lämpligt, kryptering
- 09Personalsäkerhet, åtkomstkontroll och hantering av tillgångar
- 10Flerfaktorsautentisering och säker kommunikation
Ledningen ska själv gå utbildningen.
Det här är den mening i lagen som flest missar. Ledningsorganet ska godkänna säkerhetsåtgärderna, övervaka dem, och kan hållas ansvarigt om de inte finns. Och dess medlemmar ska själva följa utbildning i cybersäkerhet, inte bara se till att personalen gör det.
Personalen ska erbjudas motsvarande utbildning regelbundet. Lagen anger inget intervall. Det tillsynen letar efter är kontinuitet: bevis på att utbildningen är en process som pågår under året, inte en händelse som inträffade en gång.
Ingen kommer att titta på er utbildning. De kommer att be om ett dokument som visar att den ägde rum, för vem, och vad ni gjorde med resultatet. Sex kolumner räcker.
- VEMVarje utbildad person, med namn eller med en identifierare som arbetsgivaren kan koppla till en person, samt roll.
- VADVilka ämnen som täckts, kopplade till de riskområden lagen nämner. En kursplan, inte en slogan.
- NÄRDatum. Tillräckligt många för att visa att utbildningen är löpande, inte en enda eftermiddag om året.
- GENOMFÖRANDEVilka som slutförde, vilka som inte gjorde det, och vad ni gjorde åt de senare.
- LEDNINGENEn egen rad som visar att ledningen själv utbildats. Lagen pekar ut dem särskilt.
- UTFÄRDAREVem som levererade utbildningen, när registret togs fram, och hur en tredje part kan kontrollera att det är äkta.
Tre tidsfrister, en klocka som startar när ni får kännedom.
Tidig varning
Ni har fått kännedom om en betydande incident. Säg det, och ange om ni misstänker att den är olaglig eller avsiktlig och om den kan spridas över gränserna.
Incidentanmälan
En första bedömning: allvarlighetsgrad, påverkan och de indikatorer på intrång ni har. Den uppdaterar den tidiga varningen, ersätter den inte.
Slutrapport
En detaljerad beskrivning, den troliga grundorsaken, vad ni gjorde åt saken och eventuell gränsöverskridande påverkan. Pågår incidenten fortfarande lämnas en lägesrapport, och slutrapporten när den är över.
Två tak, och ett personligt.
Sanktionsavgifterna sätts av tillsynsmyndigheten och beror på överträdelsen. Men taken står i lagen, och de är skrivna för att läsas i styrelserummet.
eller 2 % av global årsomsättning, det högsta beloppet
eller 1,4 % av global årsomsättning, det högsta beloppet
Medlemmar i ledningsorganet kan hållas personligen ansvariga, och för väsentliga verksamhetsutövare kan en person tillfälligt förbjudas att utöva ledningsfunktioner tills bristerna är åtgärdade.
Åtta saker, i den här ordningen.
- 01Ta reda på om ni omfattas: sektor, storlek, och om en kund som omfattas är beroende av er.
- 02Ta reda på om ni klassas som väsentlig eller viktig verksamhetsutövare. Sanktionerna och tillsynen skiljer sig.
- 03Anmäl er till tillsynsmyndigheten om ni inte redan gjort det. Fönstret i Sverige stängde i februari 2026.
- 04Utse den person i ledningen som är ansvarig för åtgärderna.
- 05Låt ledningen gå utbildningen och spara underlaget.
- 06Erbjud personalen utbildning som återkommer, och för register över vilka som genomfört den.
- 07Skriv ner de tio åtgärderna så som de gäller för er. Ett kort ärligt dokument slår ett långt lånat.
- 08Öva rapporteringsklockan en gång. Vem upptäcker, vem beslutar, vem skickar 24-timmarsvarningen, och till vem.
Utbildningen finns redan. Registret levereras med den.
PHSHX är ett europeiskt projekt byggt i Sverige. Utbildningen, övningarna och certifikatet är på engelska och kostar ingenting. För företag levererar vi personalutbildning, simulerade attacker och det register som en granskare ber om, och det första steget är en kort exponeringskontroll av er domän till fast pris.
Öppen utbildning
Åtta block, prov efter varje del, ett certifikat med verifieringskod. Vem som helst kan gå den i dag utan konto. På engelska.
Starta utbildningenFöretagsprogram
Månatliga övningar via privat länk, rollbaserade spår, en ledningsmodul, simulerade kampanjer och registret med sex kolumner, per företag. De första kunderna tas om hand manuellt.
För företag (engelska)Exponeringskontroll
Innan någon utbildas: se vad en angripare redan vet. Kan er domän förfalskas, vilka adresser har läckt, och vilka liknande domäner finns redan. En sida, två arbetsdagar.
Beställ denFormuläret nedan är på engelska. Skriv gärna på svenska i meddelandefältet, vi svarar på svenska.
See what an attacker sees before they use it.
Tell us the domain. You get one page on what is publicly exposed around your company, at a fixed price, within two working days. No call, no demo, no subscription.
Sammanfattning på vanlig svenska av direktiv (EU) 2022/2555 och cybersäkerhetslagen. Inte juridisk rådgivning.