13 jun 2025 12:16

Regeringen beslutar om NIS2-implementering

Regeringen har beslutat om en lagrådsremiss för införandet av en ny cybersäkerhetslag i svensk lagstiftning. Den nya lagen genomför EU-direktivet NIS2, som antogs 2022 för att driva igenom åtgärder för en hög gemensam cybersäkerhetsnivå i medlemsländerna.

Nu ska förslaget granskas av Lagrådet.

"Cybersäkerheten är den tillkommande domänen i det osäkra omvärldsläge som vi befinner oss i och utgör därmed en viktig komponent i ett modernt totalförsvar. Regeringen gör ett historiskt omtag på området, genom att stöpa om det nationella cybersäkerhetscentret, genom den nya cybersäkerhetsstrategin, och genom att tillföra ökade resurser. Den nya cybersäkerhetslagen kommer ytterligare bidra till att höja förmågan på cybersäkerhetsområdet", säger minister för civilt försvar Carl-Oskar Bohlin.

Regeringen nämner bland annat att den nya lagen stärker svenska kommuners cybersäkerhetsförmåga. Många kommuner effektiviserar genom ökad digitalisering, vilket skapar möjligheter men ökar samtidigt riskerna och sårbarheten för cyberattacker.
Lagen innebär att offentliga och enskilda verksamhetsutövare inom vissa utpekade sektorer måste skydda sina nätverks- och informationssystem, och rapportera betydande incidenter. Den innehåller också regler om tillsyn av verksamhetsutövare och möjligheter att ingripa mot verksamhetsutövare som inte följer lagen. Dessutom föreslås ändringar i andra lagar som rör elektronisk kommunikation, toppdomäner och sekretess.

Den nya lagen och övriga lagändringar föreslås träda i kraft den 15 januari 2026.

NIS2-direktiver, som antogs 202, ersätter det tidigare NIS-direktivet. Efter en översyn av det gamla direktivet kom beslutsfattare i EU fram att det innehöll brister för en tillräckligt effektiv hantering av de ökande utmaningarna på cybersäkerhetsområdet. Dessutom visade översynen på stora skillnader mellan införandet medlemsstaterna emellan, vilket bidragit till en fragmenterad inre marknad.

Implementeringen av NIS2 har blivit försenat i flera EU-länder, bland annat i Sverige. Så sent som i oktober 2024, månaden då det enligt EU var tänkt att direktivet skulle implementeras i nationell lagstiftning, hade enbart Belgien och Kroatien av de 27 medlemsstaterna hunnit göra arbetet i tid.

För en månad sedan fick Sverige och 18 andra medlemsstater skarp kritik av EU-kommissionen för förseningen med implementeringen och en uppmaning brevledes att svara kommissionen och vidta åtgärder inom två månader, annars skulle processen refereras till EU-domstolen.