Cybersäkerhetslagen implementerar NIS2-direktivet, som syftar till att uppnå en gemensamt högre nivå av cybersäkerhet inom EU. Genom NIS2 och cybersäkerhetslagen utökas antalet utpekade sektorer, vilket innebär att betydligt fler organisationer kommer omfattas av den nya cybersäkerhetslagen jämfört med nuvarande regelverk.
Innan cybersäkerhetslagen träder ikraft bör ni göra en analys av huruvida er verksamhet omfattas av den nya lagen.
Cybersäkerhetslagen tillämpas på verksamheter inom följande 18 utpekade sektorer:
En verksamhetsutövare som bedriver verksamhet inom någon av de utpekade sektorerna omfattas av cybersäkerhetslagen om den storleksmässigt motsvarar eller är större än ett medelstort företag. Verksamheter inom ovannämnda sektorer kan omfattas av cybersäkerhetslagen även om de inte uppfyller storlekskravet, exempelvis om verksamhetsutövaren är den enda leverantören av en tjänst i Sverige som är väsentlig för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet. Därutöver omfattas under vissa omständigheter statliga myndigheter, regioner och kommuner av cybersäkerhetslagen.
En verksamhetsutövare som omfattas av cybersäkerhetslagen kommer enligt förslaget som huvudregel omfattas av regelverkets krav i hela sin verksamhet (med andra ord inte bara den verksamhetsgren som omfattas av en av de utpekade sektorerna ovan).
Verksamhetsutövare som omfattas av cybersäkerhetslagen bör redan nu förbereda sig inför att den nya lagen träder ikraft, genom bland annat följande åtgärder.
Det är viktigt att notera att verksamhetsutövare som bryter mot cybersäkerhetslagen riskerar höga administrativa sanktionsavgifter. Sanktionsavgifterna beror på hur verksamheten klassas, men uppgår som högst till det högre av 2 % av verksamhetsutövarens totala globala årsomsättning närmast föregående räkenskapsår och 10 000 000 EURO.
Riksdagen väntas fatta beslut om att anta regeringens förslag till cybersäkerhetslag under hösten 2025 för att möjliggöra att lagen träder i kraft den 15 januari 2026. Trots att lagen inte har trätt i kraft ännu, så är det viktigt att agera proaktivt och börja förbereda sin verksamhet redan nu.
Regeringen har även gett MSB och Post- och telestyrelsen (PTS) i uppgift att förbereda för att kunna meddela föreskrifter inom flera områden, exempelvis anmälningsskyldighet, säkerhetsåtgärder, och vad som utgör en betydande cybersäkerhetsincident. Uppdraget ska redovisas senast den 15 januari 2026.
Så påverkas svenska verksamheter av den nya cybersäkerhetslagen
