Cybersäkerhetslagen gäller fler bolag än ni tror

Den 15 januari 2026 trädde den svenska cybersäkerhetslagen i kraft, byggd på EU:s NIS2-direktiv. De flesta som läst om lagen tänker på stora energibolag, sjukhus och telekomjättar. Det är sant att de omfattas. Det som glöms bort är att lagen även griper tag i deras leverantörer, och leverantörernas leverantörer.

Lagen bygger på ett enkelt resonemang. Ett skyddat bolags säkerhet är bara så stark som den svagaste länken i dess leverantörskedja. Därför ställer lagen krav som rullar nedåt. Ett molnbolag som levererar en kritisk tjänst till en region eller en energikoncern kan omfattas av samma säkerhetskrav som sin kund, även om molnbolaget själv aldrig skulle räknat sig till en skyddad sektor.

Ansvaret för tillsynen delas mellan flera svenska myndigheter beroende på sektor, vilket i sig kan göra det svårare för ett bolag som levererar tvärs över flera branscher att veta exakt vem man ska vända sig till. Ett bolag som är osäkert på sin egen status gör klokt i att inte anta att avsaknad av kontakt från en myndighet betyder att man står utanför lagens räckvidd, eftersom tillsynen fortfarande byggs upp och alla berörda bolag ännu inte hunnit identifieras och kontaktas.

Anmälningsportalen öppnade den 2 februari 2026, och ytterligare föreskrifter från ansvariga myndigheter träder i kraft under året, den senaste den 1 oktober. Lagen är alltså fortfarande under uppbyggnad samtidigt som den redan gäller, vilket gör det svårare för mindre bolag att veta exakt var gränsen går för just deras verksamhet.

Ett bolag som redan arbetat med informationssäkerhet enligt en standard som ISO 27001 har ofta ett bra utgångsläge, eftersom mycket av grundarbetet redan finns på plats. Det som saknas är oftast inte den tekniska säkerheten i sig, utan den formella dokumentationen, den namngivna ansvarsfördelningen och rutinerna för anmälan som lagen kräver utöver det tekniska skyddet. Att gå från en god teknisk säkerhetsnivå till en lagenlig sådan handlar därför lika mycket om struktur och pappersarbete som om nya tekniska investeringar.

Det som gör lagen kostsam att missa är mer än böterna. Det är att kunder inom skyddade sektorer nu måste kontrollera sina leverantörers säkerhetsarbete som en del av sin egen efterlevnad. Ett tech-bolag som inte kan svara tydligt på frågor om riskhantering, incidentrapportering och styrning riskerar att tappa affärer till konkurrenter som kan det, även om det egna bolaget tekniskt sett aldrig skulle blivit granskat på egen hand.

Tänk dig ett IT-driftbolag som levererar systemstöd till flera kommuner och en region. Bolaget har alltid sett sig själv som en vanlig teknikleverantör, inte som en del av kritisk infrastruktur. När en av kunderna börjar sin egen NIS2-kartläggning ställs plötsligt krav på bolaget som ingen i ledningen förberett sig på: dokumenterad riskanalys, en namngiven ansvarig för cybersäkerhet, och rutiner för att anmäla incidenter inom snäva tidsramar. Att bygga upp det under tidspress, mitt i en pågående leverans, är dyrare och stressigare än att göra det i lugn takt innan kunden frågar.

Reglerna skiljer också mellan två kategorier av bolag, väsentliga och viktiga entiteter, med delvis olika krav och olika nivå av tillsyn. Ett bolag som landar i fel kategori, eller som aldrig gör bedömningen alls, riskerar att antingen underinvestera i sin säkerhet i förhållande till vad lagen faktiskt kräver, eller att lägga onödig tid på krav som inte gäller just deras verksamhet. Ingen av delarna är en bra användning av ett växande bolags begränsade resurser.

Bedömningen av om ett bolag omfattas görs sektor för sektor och tjänst för tjänst. Det finns inget enkelt svar som gäller för alla SaaS- eller telekombolag. Det som går att säga generellt är att bolag som levererar till offentlig sektor, energi, transport, hälsa, finans eller digital infrastruktur bör räkna med att frågan kommer, oavsett storlek på det egna bolaget.

Att vänta med bedömningen tills en kund ställer kravet är den vanligaste och dyraste vägen. Då blir svaret ett hastverk, formulerat under tidspress i en pågående affär, i stället för ett genomarbetat underlag som kan användas i flera kundrelationer samtidigt.

Gör den här övningen den här veckan. Lista era fem största kunder och vilken sektor respektive kund verkar i. Markera de kunder som är offentlig sektor, energi, transport, hälsa, finans eller digital infrastruktur. För varje markerad kund, skriv ner om ni någonsin fått en fråga om cybersäkerhet, incidenthantering eller riskanalys från dem. De kunder där svaret är nej idag är sannolikt de där frågan kommer imorgon.