Vilka omfattas av cybersäkerhetslagen?

Cybersäkerhetslagen genomför NIS2 i Sverige och gäller sedan den 15 januari 2026. Så avgör ni om er verksamhet omfattas, och vad som gäller om den gör det.

Av TrustSek-redaktionen · Senast granskad 3 oktober 2026

Lag: SFS 2025:1506
Gäller från: 15 januari 2026
Sektorer: 18

Tre frågor avgör det.

Om er verksamhet omfattas avgörs av tre saker: vilken sorts verksamhet ni bedriver, hur stor organisationen är och var den är etablerad. Det är verksamheten själv som gör bedömningen. Ingen myndighet skickar ett besked om att ni omfattas, så det är ert ansvar att ta reda på det.

Sektor: arton sektorer i två bilagor.

Lagen pekar ut 18 sektorer, uppdelade på två bilagor. Bilaga 1 samlar sektorer med särskild betydelse för samhället, bilaga 2 andra kritiska sektorer.

Bilaga 1	Bilaga 2
Energi	Post- och budtjänster
Transporter	Avfallshantering
Bankverksamhet	Tillverkning, produktion och distribution av kemikalier
Finansmarknadsinfrastruktur	Produktion, bearbetning och distribution av livsmedel
Hälso- och sjukvård	Tillverkning (bland annat medicintekniska produkter, elektronik, elutrustning, maskiner och fordon)
Dricksvatten	Digitala leverantörer (onlinemarknadsplatser, sökmotorer och sociala nätverk)
Avloppsvatten	Forskning
Digital infrastruktur
Förvaltning av IKT-tjänster mellan företag
Offentlig förvaltning
Rymden

Sektorerna är indelade i delsektorer och typer av verksamhet. Det är den exakta typen som avgör, inte vilken bransch ni brukar räkna er till, så läs lagens bilagor eller NCSC:s vägledning för just er verksamhet.

Storlek: medelstora företag och större.

Inom sektorerna omfattas i regel verksamheter som är medelstora eller större. Gränsen följer EU:s definition av små och medelstora företag: ett företag är medelstort eller större om det har minst 50 anställda, eller om både årsomsättningen och balansomslutningen överstiger 10 miljoner euro.

Storleken bedöms inte bara på det enskilda bolaget. Anknutna företag och partnerföretag räknas in, så ett litet svenskt dotterbolag i en stor koncern kan omfattas trots att bolaget självt är litet.

Vissa omfattas oavsett storlek.

Några verksamheter omfattas även om de är små, eftersom ett avbrott hos dem kan få stora följder. Det gäller bland annat:

leverantörer av allmänna elektroniska kommunikationsnät och kommunikationstjänster;
tillhandahållare av betrodda tjänster;
registreringsenheter för toppdomäner och leverantörer av DNS-tjänster;
den som är ensam om att tillhandahålla en tjänst som är avgörande för samhället.

Offentlig förvaltning omfattas också. Regioner, kommuner och kommunalförbund omfattas oavsett storlek, och statliga myndigheter omfattas enligt lagens avgränsning.

Väsentlig eller viktig.

Den som omfattas är antingen väsentlig eller viktig verksamhetsutövare. Väsentliga är främst stora verksamheter i bilaga 1, samt vissa verksamheter oavsett storlek. Viktiga är övriga som omfattas, till exempel medelstora verksamheter i bilaga 1 och medelstora och stora verksamheter i bilaga 2.

Kraven på säkerhetsåtgärder är desamma. Skillnaden ligger i tillsynen: väsentliga verksamheter granskas planerat och i förväg, viktiga främst i efterhand när det finns skäl till det. Väsentliga verksamheter kan också få högre sanktionsavgifter.

Om ni omfattas.

Anmäl verksamheten. Alla som omfattas ska anmäla sig, oavsett sektor, även kommuner och regioner. Anmälningarna tas emot av Nationellt cybersäkerhetscenter (NCSC) vid FRA sedan den 1 juli 2026.
Inför riskhanteringsåtgärder. Artikel 21 i NIS2 räknar upp tio åtgärder, från riskanalys och incidenthantering till säkerhet i leveranskedjan och kryptering. NIS2 och underlag utifrån går igenom dem och vilka som syns utifrån.
Rapportera betydande incidenter. En första varning ska lämnas inom 24 timmar från det att ni fått kännedom om en betydande incident.
Låt ledningen ta ansvar. Ledningen ska godkänna åtgärderna, följa upp dem och gå utbildning.

Om ni inte omfattas kan lagen ändå nå er.

Verksamheter som omfattas ska hantera säkerheten i sin leveranskedja. Är ni leverantör till en kommun, en vårdgivare eller ett energibolag kommer kraven därför ofta till er genom avtal och leverantörsbedömningar, även om ni själva är för små för att omfattas. Leverantörskrav enligt cybersäkerhetslagen beskriver hur det går till, och checklistan för leverantörsbedömning visar vad en kund kan komma att fråga om.

Frågor

Omfattas små företag av cybersäkerhetslagen?

I regel inte. Små företag omfattas bara om de tillhör de verksamheter som omfattas oavsett storlek, till exempel DNS-tjänster, eller om de ingår i en koncern som tillsammans är medelstor eller större. Kraven kan ändå nå dem som leverantörer, genom kundernas avtal.

Vilka myndigheter har tillsyn?

Tillsynen är fördelad per sektor. Tillsynsmyndigheter är bland andra Energimyndigheten, Transportstyrelsen, Finansinspektionen, Inspektionen för vård och omsorg, Läkemedelsverket, Livsmedelsverket, Post- och telestyrelsen och länsstyrelserna.

Hur förhåller sig cybersäkerhetslagen till DORA?

För finansiella företag som omfattas av DORA gäller DORA:s regler om IKT-riskhantering och incidentrapportering i stället för motsvarande regler i NIS2. Guiden om DORA beskriver kraven på IKT-leverantörer.

Se vad som syns av er utifrån

Riskhanteringsåtgärderna i artikel 21 lämnar delvis spår på internet. Se vad en kontroll av er domän visar, utan åtkomst till era system.