Cybersäkerhetslagen och ledningens ansvar - Därför räcker det inte att låta IT fixa det
I många företag har den nya cybersäkerhetslagen hamnat på it-avdelningens bord. Det är fel hylla. Lagen handlar om hur hela verksamheten klarar att fortsätta fungera när något går fel, och den lägger ansvaret hos dem som leder företaget.
Vad lagen är
Cybersäkerhetslagen är Sveriges genomförande av EU:s NIS2-direktiv. Riksdagens försvarsutskott tillstyrkte regeringens proposition 2025/26:28, och reglerna började gälla i januari 2026. Lagen gäller både offentliga och enskilda verksamhetsutövare inom vissa utpekade sektorer, som ska vidta åtgärder för att skydda sina nätverk och informationssystem och rapportera betydande incidenter. MSB har ett samordnande ansvar.
Vem som omfattas styrs av sektor och storlek. Som huvudregel handlar det om medelstora och stora verksamheter, men vissa omfattas oavsett storlek. Sammanställningar på nätet anger olika gränser, så den enda säkra vägen är att kontrollera er egen situation hos MSB. Det här är ingen juridisk rådgivning, utan en vägvisare till rätt ställe.
Ledningens ansvar är kärnan
Det nya i NIS2 jämfört med tidigare regler är att ledningen själv ska godkänna och följa upp riskhanteringen, och kan hållas ansvarig om den brister. Det går inte längre att säga att it sköter det. Frågor som vilka system som är kritiska, hur länge ni tål ett avbrott och vem som bestämmer när något händer är ledningsfrågor.
Det som missas: fysisk säkerhet och människor
Direktivets krav på riskhantering utgår från ett helhetsperspektiv, där nätverk och informationssystem ska skyddas tillsammans med sin fysiska miljö. Det betyder att lagen inte bara handlar om brandväggar. Den handlar också om vem som kommer in i serverrummet, hur ni tar in och släpper personal, vilka leverantörer som har åtkomst och hur väl medarbetarna kan sina rutiner.
I praktiken gäller det fyra områden som ofta glöms bort. Det första är fysisk åtkomst: serverrum, nätverksskåp och reservutrustning ska ha tillträdesskydd som faktiskt följs upp. Det andra är personalsäkerhet, alltså hur ni kontrollerar och avslutar anställda och konsulter inom lagens ramar. Det tredje är leverantörer. Enligt NIS2 ska ni ta hänsyn till säkerheten i leveranskedjan, och det är den delen som många underskattar. Det fjärde är utbildning, eftersom en rutin som ingen känner till inte är en rutin.
Direktivet kräver också att betydande incidenter rapporteras snabbt, med en tidig varning inom 24 timmar och en anmälan inom 72 timmar. Då räcker det inte att ha en plan i en pärm. Den måste vara övad, och alla måste veta vem som gör vad.
Fyra steg att ta den här månaden
Ta reda på om ni omfattas. Kontrollera sektor och storlek hos MSB, inte hos en konsult som säljer lösningar.
Sätt ledningen i rummet. En halv dag där ledningen går igenom kritiska funktioner och beroenden är mer värd än ett tjockt dokument.
Kartlägg era leverantörer. Vem har åtkomst, vilka krav ställer ni och hur följer ni upp dem?
Öva krisplanen. Ta ett realistiskt scenario och testa det, för det är först då luckorna syns.
Så kan vi hjälpa er
I mitt arbete som säkerhetschef och konsult arbetar jag enligt HSSE, en arbetsmetodik från flyg- och oljeindustrin där kraven på skydd är mycket höga. Den lämpar sig väl för det som den här lagen kräver: riskanalys, handlingsplaner, leverantörskontroll och utbildning i en sammanhängande helhet. Vi kan hyra ut en säkerhetschef eller konsult som sätter strukturen och samtidigt utbildar er egen personal att ta över. Kontakta oss så går vi igenom var ni står.
