Din dokumentation för
NIS2-efterlevnad på 5 dagar

Flerfaktorsautentisering (MFA)

”För vilka tjänster kräver ni MFA? E-post, VPN, RDP, administration av nätverk och moln, privilegierade konton.”

E-postsäkerhet

”Vilka kontroller använder ni mot förfalskade e-postadresser (SPF, DKIM, DMARC)? Har ni stängt av äldre protokoll (IMAP, POP3, osäker SMTP)?”

Incidenthanteringsplan

”Vad är er plan för incidenthantering, och inom vilken tid skulle ni underrätta oss om en cybersäkerhetsincident?”

Underleverantörer och leveranskedja

”Använder ni underleverantörer i fjärde led? Kommer ni att godta avtalsklausuler som kräver efterlevnad av NIS2 (kontroller, anmälan av överträdelser, rätt till revision)?”

Säkerhetskopiering och kontinuitet

”Tas säkerhetskopior? Testas integriteten och återställningsrutinerna minst en gång per år?”

Styrning av säkerheten

”Bygger er informationssäkerhetspolicy på en erkänd referensram (NIST, ISO 27001)?”

Vem berörs?

Direktivet riktar sig till ”medelstora” eller ”stora” företag (i EU-rättslig mening) verksamma inom en förteckning över sektorer som bedöms som kritiska: energi, transport, hälsa, banker, vatten, digitalt, offentlig förvaltning å ena sidan; post, avfall, kemikalier, livsmedel, tillverkning, forskning å den andra. En stat kan också låta mindre strukturer omfattas om de spelar en nyckelroll.

Vad NIS2 verkligen kräver av dig

I klartext: att införa ”proportionerliga” säkerhetsåtgärder, att kunna identifiera sina risker, skydda sina data, upptäcka ett angrepp, reagera på det och återstarta efteråt. Därtill kommer den fysiska säkerheten i lokalerna, åtkomst- och behörighetskontroll samt kontroll av säkerheten hos sina tjänsteleverantörer och leverantörer.

Vid ett missöde gäller en exakt tidsplan

Om en ”betydande” incident inträffar måste myndigheten underrättas i tre steg: en tidig varning inom 24 timmar, en mer detaljerad anmälan inom 72 timmar och därefter en slutrapport inom en månad. De berörda kunderna ska också utan dröjsmål informeras om de åtgärder de själva bör vidta.

Sanktionerna, utan dramatik

Taket för sanktionsavgifterna fastställs i direktivet: upp till 10 M€ eller 2 % av den globala omsättningen (det högsta beloppet) för ”väsentliga” entiteter; upp till 7 M€ eller 1,4 % av den globala omsättningen för ”viktiga” entiteter. Det är lagstadgade tak, inte en automatisk faktura, och avgiften kommer först efter en trappa av korrigerande åtgärder - se detaljerna längre ned.

Datum att komma ihåg

Direktivet har varit i kraft sedan den 16 januari 2023. Varje medlemsstat skulle ha införlivat sina skyldigheter i nationell lag senast den 17 oktober 2024, för tillämpning från och med den 18 oktober 2024, den dag då den gamla texten NIS1 upphävdes.

I Frankrike, vem som leder arbetet

ANSSI är den utsedda myndigheten för stödet till NIS2-efterlevnad. Den har publicerat en ”Référentiel Cyber France” (ReCyF, tillgänglig sedan den 17 mars 2026) och erbjuder en plattform ”MonEspaceNIS2” samt en ”ClubSSI” som hjälper företagen att hitta rätt.

Vad som redan händer hos våra grannar

I Tyskland uppger myndigheten BSI att den lagstadgade tidsfristen för registrering av de berörda företagen redan har gått ut: de som ännu inte har gjort det måste göra det utan dröjsmål. En konkret signal om att den europeiska rörelsen redan är igång, långt bortom texterna.

En förenkling är under utredning

Europeiska kommissionen lade 2026 fram ett förslag (”omnibuspaketet”) för att lätta efterlevnaden av NIS2, särskilt för de minsta strukturerna: omkring 28 700 företag skulle omfattas av lättnaden, varav 6 200 mikroföretag och små företag.

En privat klinik eller ett analyslaboratorium

Hör till sektorn ”Hälso- och sjukvård” i bilaga I så snart det rör sig om en vårdinrättning i EU-rättslig mening, om den överskrider tröskelvärdet för medelstor storlek.

En underleverantör till bilindustrin eller en maskintillverkare

Hör till sektorn ”Tillverkningsindustri” i bilaga II (fordon, elektrisk utrustning, maskiner, elektronik) över storlekströskeln.

En molnleverantör eller ett företag för driftutlagring (MSP/MSSP)

Ingår i ”Digital infrastruktur” eller ”Förvaltning av IKT-tjänster” i bilaga I: berörd från medelstor storlek (viktig entitet), väsentlig entitet om den är stor. Enda undantaget från storlekskravet: om den också är kvalificerad leverantör av betrodda tjänster, register för domännamn eller DNS-leverantör.

En kommun eller en regional offentlig inrättning

Hör till sektorn ”Offentlig förvaltning” i bilaga I om medlemsstaten utser den, särskilt när ett avbrott i dess tjänster skulle få en betydande inverkan på kritiska samhälleliga eller ekonomiska verksamheter.

Ett livsmedelsföretag eller en grossist

Omfattas av ”Produktion, bearbetning och distribution av livsmedel” i bilaga II så snart det bedriver grosshandel eller industriell produktion/ bearbetning.

Ett företag ”utanför de 18 sektorerna”, men leverantör till en berörd entitet

Omfattas inte direkt av NIS2, men kan dras in via avtal: se avsnittet ”Följdeffekten” tidigare på den här sidan.

F. Vad är NIS2-direktivet, i en mening?

Det är den europeiska text som sedan den 18 oktober 2024 har ersatt den gamla lagen från 2016 om cybersäkerhet: Europeiska kommissionen beskriver den som en text som ”höjer EU:s gemensamma ambitionsnivå för cybersäkerhet genom ett vidare tillämpningsområde, tydligare regler och förstärkta tillsynsverktyg”.

F. Jag driver ett litet eller medelstort företag, berörs jag verkligen av storlekströsklarna?

Texten riktar sig främst till ”medelstora” eller ”stora” företag i europeisk mening, ett exakt rättsligt kriterium som hänvisar till rekommendation 2003/361/EG (i praktiken: från 50 anställda, eller både över 10 M EUR i omsättning och balansomslutning), verksamma inom någon av de 18 förtecknade sektorerna. Under det är du i princip inte direkt omfattad, utom om din stat låter mindre strukturer som bedöms som väsentliga omfattas, eller om du levererar till en entitet som är det (följdeffekten, se tidigare på den här sidan).

F. Kan jag som chef hållas personligt ansvarig?

Ja, och det är textens minst kända punkt: den officiella rättsliga sammanfattningen av direktivet anger att ledningsorganet måste godkänna riskhanteringsåtgärderna och övervaka genomförandet av dem, och att det kan hållas ansvarigt vid underlåtenhet. Cybersäkerhet är alltså inte bara en IT-fråga: det är en styrningsfråga som når ända upp till företagsledaren.

F. Hur vet jag konkret om mitt företag måste registrera sig?

Varje medlemsstat måste föra en officiell förteckning över väsentliga och viktiga entiteter, som ses över vartannat år (första europeiska tidsfrist: 17 april 2025). I Frankrike tillhandahåller ANSSI ett kostnadsfritt verktyg för självbedömning online, ”MonEspaceNIS2”, som direkt besvarar frågan ”berörs jag?”.

F. Ligger Frankrike efter? Vad förändrar det för mig i dag?

Ja: den franska genomförandelagen är fortfarande inte offentliggjord, långt efter den europeiska tidsfristen. I juli 2026 stämde Europeiska kommissionen för övrigt Frankrike inför EU-domstolen för att inte ha anmält sina införlivandeåtgärder (se den detaljerade kalendern tidigare). Konkret: ingen ”fransk NIS2-sanktion” är ännu möjlig så länge dekretet inte har utfärdats, men den dag det utkommer har de företag som redan är redo ingenting att ta igen.

F. Vad är det som verkligen förändras jämfört med den gamla NIS1-lagen?

NIS1 (2016) var begränsat till energi, transport, hälsa, finans, vatten och digitalt. NIS2 vidgar tillämpningsområdet kraftigt: nu tillkommer allmänna elektroniska kommunikationer, sociala nätverk och digitala plattformar, avfallshantering, tillverkning av kritiska produkter, posttjänster och offentlig förvaltning. Många företag som tidigare låg utanför radarn omfattas nu.

F. Finns det någon lättnad för små strukturer?

Ja, under utredning: Europeiska kommissionen lade 2026 fram ett förenklingspaket för att minska den administrativa bördan kring NIS2, särskilt för de minsta entiteterna. Omkring 28 700 företag skulle omfattas av den lättnaden, varav 6 200 mikroföretag och små företag. Texten är ännu inte slutgiltigt antagen: bör bevakas, utan att man väntar med att förbereda sig.

Högsta administrativa sanktionsavgift: minst 10 000 000 EUR ELLER minst 2 % av den globala omsättningen under föregående räkenskapsår - det högsta av de två beloppen tillämpas.

Högsta administrativa sanktionsavgift: minst 7 000 000 EUR ELLER minst 1,4 % av den globala omsättningen under föregående räkenskapsår - samma logik, det högsta beloppet gäller.

Vem utdömer sanktioner?

Varje medlemsstat utser en eller flera ”behöriga myndigheter” med ansvar för tillsyn över och genomförande av direktivet. I Frankrike är det ANSSI som har den rollen.

Den yttersta utvägen - endast väsentliga entiteter

Om de tidigare åtgärderna inte får effekt kan myndigheten begära att en domstol tillfälligt upphäver ett certifikat eller ett tillstånd, eller till och med tillfälligt avsätter en företagsledare (verkställande direktör eller laglig företrädare) från hans eller hennes uppdrag, tills kraven uppfylls. Denna extrema upptrappning gäller ENDAST väsentliga entiteter, inte viktiga entiteter.

Beloppet är inte automatiskt

Lagen kräver att man i varje enskilt fall tar hänsyn till: överträdelsens allvar och varaktighet, upprepning, orsakad skada, uppsåt eller oaktsamhet, åtgärder som vidtagits för att begränsa skadan, anslutning till uppförandekoder eller certifieringar, graden av samarbete med myndigheten. Två företag i samma situation får inte automatiskt samma sanktionsavgift.

Ledningen, personligen ansvarig

Texten föreskriver uttryckligen att de fysiska personer som leder entiteten (verkställande direktör, laglig företrädare) kan hållas ansvariga vid underlåtenhet att fullgöra sina skyldigheter om efterlevnad - för väsentliga entiteter såväl som för viktiga entiteter.

Och om det också är ett dataintrång?

Om incidenten också utgör en personuppgiftsincident måste NIS2-myndigheten utan dröjsmål underrätta den behöriga GDPR-myndigheten (CNIL i Frankrike). De två regelverken samordnas - det är inte en automatisk kumulering av sanktioner, utan ett ömsesidigt informationsutbyte mellan myndigheterna.

Exempel med siffror? Ännu inte, ärligt talat

Vid tidpunkten för den här bevakningen har inget offentliggjort beslut om NIS2-sanktion hittats i någon officiell källa. Systemet beror på varje medlemsstats genomförandelag, som är under färdigställande. Ett tecken på att rörelsen är igång: i Tyskland uppger myndigheten BSI att den lagstadgade tidsfristen för registrering av de berörda entiteterna redan har gått ut.