Nya cybersäkerhetslagen 2026 – detta måste ditt företag göra

Den nya cybersäkerhetslagen 2026 innebär skärpta krav på företag som omfattas av de svenska reglerna för cybersäkerhet. För många verksamheter handlar det inte längre bara om att ha antivirus, brandväggar och säkerhetskopior, utan om att kunna visa att cybersäkerhetsarbetet är systematiskt, riskbaserat och tillräckligt för verksamhetens behov. Kraven kan påverka allt från ledningens ansvar och incidentrapportering till riskanalyser, leverantörskedjor och tekniska säkerhetsåtgärder. Därför är det viktigt att tidigt ta reda på om företaget omfattas och vilka åtgärder som behöver genomföras. Genom att förstå reglerna och skapa tydliga rutiner kan verksamheten minska risken för cyberattacker och samtidigt stå bättre rustad inför de nya skyldigheterna som följer.

Vilka företag omfattas av den nya cybersäkerhetslagen?

Den nya cybersäkerhetslagen gäller från den 15 januari 2026 och genomför EU:s NIS2-direktiv i svensk rätt. Lagen riktar sig inte till alla företag, utan till offentliga och enskilda verksamhetsutövare inom särskilt utpekade sektorer. Även företag som inte själva uppfattar sig som samhällsviktiga kan omfattas om de levererar vissa digitala tjänster eller har en särskild betydelse för en sektor. Därför räcker det inte att utgå från företagets bransch eller antal anställda. Bedömningen behöver göras utifrån verksamhetens tjänster, storlek och roll i samhället. Företag som omfattas delas dessutom in i väsentliga och viktiga verksamhetsutövare, vilket påverkar tillsynen.

Storleken har betydelse

Storleken är en central del när företag ska avgöra om lagen gäller. Som huvudregel omfattas verksamheter som minst motsvarar ett medelstort företag och som bedriver verksamhet inom någon av de sektorer som lagen omfattar. Det innebär i praktiken att många företag med minst 50 anställda eller som uppfyller de ekonomiska kriterierna för medelstora företag behöver kontrollera sin status närmare. Storlekskravet är dock inte hela bedömningen. Mindre verksamheter kan också omfattas om deras tjänster har särskild betydelse för kritisk samhällelig eller ekonomisk verksamhet eller om en störning skulle kunna få betydande konsekvenser.

Många sektorer berörs

Vilka branscher som omfattas är en annan viktig fråga. Reglerna omfattar bland annat energi, transporter, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning och vissa delar av livsmedelssektorn. Även tillverkning av vissa produkter och digitala tjänster kan omfattas. Ett företag behöver därför inte vara en stor myndighet eller driva fysisk samhällsinfrastruktur för att beröras. Exempelvis kan aktörer inom molntjänster, datacentraler, DNS, onlinemarknadsplatser och andra digitala tjänster omfattas under de förutsättningar som anges i lagen.

Väsentliga och viktiga verksamheter

Lagen gör också skillnad mellan väsentliga och viktiga verksamhetsutövare. Indelningen är betydelsefull eftersom den påverkar hur tillsyn och ingripanden kan användas. Företag som omfattas behöver därför inte bara fråga sig om de tillhör en berörd sektor, utan även vilken kategori verksamheten tillhör. För vissa digitala aktörer finns dessutom särskilda regler som kan göra att storleksbedömningen fungerar annorlunda än för andra verksamheter. Företag som erbjuder vissa digitala tjänster kan alltså behöva analysera etableringsförhållanden och tjänsternas omfattning innan de drar slutsatsen att lagen inte gäller dem. Bedömningen bör dokumenteras.

Börja med en intern bedömning

Det första praktiska steget är därför att göra en strukturerad bedömning av verksamheten. Identifiera vilka tjänster företaget faktiskt levererar, vilka kunder och samhällsfunktioner som är beroende av dem och vilka digitala system som används för att leverera tjänsterna. Kontrollera därefter företagets storlek och om verksamheten faller inom en sektor som omfattas av lagen. Bedömningen bör dokumenteras så att företaget kan visa hur slutsatsen har dragits. Om verksamheten omfattas behöver företaget därefter hantera bland annat säkerhetsåtgärder, incidentrapportering och ledningens ansvar. Den nya lagen gör alltså frågan om tillämpning till en konkret styrningsfråga.

Detta kräver lagen av företagets cybersäkerhetsarbete

För företag som omfattas av cybersäkerhetslagen innebär reglerna betydligt mer än att installera tekniska skydd och hoppas att de fungerar. Verksamheten ska vidta lämpliga och proportionerliga säkerhetsåtgärder för att skydda nätverks- och informationssystem mot risker och incidenter. Företaget behöver därför bygga arbetet på en faktisk riskbedömning där de mest kritiska systemen, tjänsterna och informationstillgångarna identifieras. Det handlar också om att skapa rutiner som fungerar över tid och som kan följas upp. Cybersäkerhet blir därmed en del av företagets ordinarie styrning, snarare än en isolerad IT-fråga.

Riskhantering måste bli systematisk

Ett centralt krav är att säkerhetsarbetet ska vara systematiskt och riskbaserat. Företaget behöver förstå vilka hot som kan påverka verksamheten och vilka konsekvenser ett angrepp, systemfel eller annan störning kan få. Därefter ska säkerhetsåtgärder väljas utifrån den aktuella riskbilden. Det kan exempelvis handla om åtkomstkontroller, säkerhetskopiering, autentisering, kryptering, övervakning och rutiner för återställning. Det viktiga är inte att samla så många tekniska lösningar som möjligt, utan att kunna visa att skyddet är anpassat efter verksamhetens risker. Dokumentation och regelbunden uppföljning blir därför viktiga delar av arbetet.

Ledningen får ett tydligare ansvar

Cybersäkerhet är samtidigt inte en fråga som kan lämnas helt till företagets IT-avdelning. Den nya regleringen innebär ett tydligare ansvar för ledningen, som behöver ha tillräcklig kunskap om cybersäkerhetsriskerna och se till att verksamheten har förutsättningar att uppfylla kraven. Det innebär bland annat att ansvar och befogenheter behöver vara tydligt fördelade. Ledningen behöver också kunna följa upp om säkerhetsåtgärderna fungerar och om organisationen har tillräckliga resurser. För företag som tidigare haft ett mer informellt säkerhetsarbete kan detta innebära förändringar i både styrning, dokumentation och interna beslutsprocesser.

Leverantörer behöver också granskas

Ett företag behöver dessutom se bortom sina egna system. Digitala leverantörer, molntjänster, driftpartners och andra externa aktörer kan vara avgörande för verksamhetens säkerhet och kontinuitet. Därför behöver företaget ha kontroll över relevanta risker i leveranskedjan och ställa lämpliga säkerhetskrav på externa parter. Avtal bör tydliggöra ansvar, säkerhetskrav och hur incidenter ska hanteras när flera organisationer är inblandade. Det är särskilt viktigt när en verksamhet är beroende av ett fåtal leverantörer eller av centrala digitala tjänster. En incident hos en leverantör kan annars snabbt få konsekvenser för företagets egen verksamhet.

Incidenter måste kunna hanteras

Företaget behöver också ha en fungerande incidenthantering innan något faktiskt händer. Det ska finnas rutiner för att upptäcka, bedöma, hantera och rapportera betydande incidenter enligt de tidsfrister som lagen anger. Rapporteringen innehåller flera steg och vissa uppgifter ska lämnas inom 24 respektive 72 timmar, medan en slutrapport ska lämnas senare. Det innebär att organisationen måste veta vem som fattar beslut, vem som kontaktar ansvarig myndighet och vilken information som ska samlas in. En incidentplan bör därför vara praktiskt användbar och regelbundet testas genom övningar.

Så förbereder du företaget för de nya kraven

Att uppfylla cybersäkerhetslagen kräver i praktiken ett strukturerat arbete där juridiska krav kopplas samman med företagets tekniska och organisatoriska säkerhet. Företaget bör börja med att fastställa om verksamheten omfattas och därefter kartlägga vilka system och tjänster som är mest kritiska. Nästa steg är att jämföra det befintliga säkerhetsarbetet med lagens krav och identifiera eventuella brister. Det är bättre att prioritera åtgärder utifrån risk än att försöka genomföra allt samtidigt. Genom en tydlig arbetsprocess blir det också enklare att dokumentera beslut, följa upp resultat och visa att säkerhetsarbetet faktiskt bedrivs systematiskt.

Kartlägg företagets digitala beroenden

Börja med att skapa en tydlig bild av företagets digitala miljö. Dokumentera vilka system, nätverk, molntjänster och informationsresurser som används och vilka funktioner som är beroende av dem. Identifiera samtidigt externa leverantörer och andra beroenden som kan påverka företagets förmåga att fortsätta fungera vid en cyberincident. Därefter behöver företaget bedöma vilka tillgångar som är mest kritiska och vilka konsekvenser ett avbrott skulle få. Kartläggningen fungerar som grund för den fortsatta riskanalysen. Utan en sådan överblick blir det svårt att avgöra vilka säkerhetsåtgärder som behöver prioriteras och var organisationens största sårbarheter finns.

Kontrollera befintliga säkerhetsåtgärder

Nästa steg är att granska vilka skydd som redan finns. Företaget bör bland annat kontrollera behörighetsstyrning, autentisering, säkerhetskopiering, uppdateringar, loggning, övervakning och skydd mot skadlig kod. Även fysiska säkerhetsåtgärder, kontinuitetsplanering och rutiner för återställning behöver vägas in. Därefter kan organisationen identifiera skillnaden mellan dagens skydd och den nivå som krävs utifrån riskerna. En sådan gap-analys gör det lättare att prioritera investeringar och ansvar. Den visar också vilka områden som behöver stärkas först, i stället för att företaget genomför generella tekniska åtgärder utan tydlig koppling till verksamhetens faktiska behov.

Skapa tydliga rutiner

Tekniska lösningar räcker inte om personalen saknar tydliga arbetssätt. Företaget behöver därför fastställa vem som ansvarar för olika delar av cybersäkerheten och hur säkerhetsrelaterade beslut ska fattas. Rutiner bör finnas för exempelvis rapportering av misstänkta incidenter, hantering av behörigheter, säkerhetsuppdateringar och kontakt med externa leverantörer. Personal som använder företagets informationssystem behöver också få relevant utbildning och förstå hur deras agerande kan påverka säkerheten. För ledningen är det viktigt att regelbundet följa upp risker, incidenter och genomförda åtgärder. På så sätt blir cybersäkerheten en löpande process i verksamheten.

Dokumentera och testa arbetet

Dokumentation är viktig eftersom företaget behöver kunna visa hur cybersäkerhetsarbetet är organiserat och vilka bedömningar som ligger bakom valda åtgärder. Riskanalyser, säkerhetspolicyer, ansvarsfördelning, incidentrutiner och uppföljningar bör därför hållas aktuella. Det är också viktigt att kontrollera om rutinerna fungerar i praktiken. Incidentövningar kan exempelvis visa om rätt personer snabbt får information, om beslutsvägarna är tydliga och om företaget kan återställa viktiga funktioner efter en störning. När arbetet dokumenteras och testas regelbundet blir det lättare att upptäcka brister innan de leder till en verklig incident.