NIS2 i praktiken: registrering, rapportering inom 24 timmar och leverantörskedjans verklighet

NIS2 infördes på ett ovanligt sätt. Fristen för att införliva direktivet var den 17 oktober 2024, och de flesta medlemsstater missade den. Två år senare är bilden fortfarande ojämn, vilket har gett många företag intrycket att inte mycket hände.

Det intrycket stämmer inte längre. De nationella lagarna är på plats, registreringsportalerna är öppna och tillsynsmyndigheterna har börjat ställa frågor. Tyskland öppnade sin registreringsportal den 6 januari 2026 med en lagstadgad sista dag den 6 mars. Nederländerna lät sin Cyberbeveiligingswet träda i kraft den 15 augusti 2026. Andra följde under året.

Om du har väntat på klarhet så har den kommit, och svaret är att du förmodligen är sen snarare än tidig.

Vem som omfattas

NIS2 ersatte 2016 års ursprungliga direktiv om säkerhet i nätverks- och informationssystem och vidgade kretsen avsevärt. Vem som omfattas avgörs av sektor och storlek.

Väsentliga entiteter omfattar sektorer med hög kritikalitet: energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, förvaltning av IKT-tjänster, offentlig förvaltning och rymden.

Viktiga entiteter omfattar andra kritiska sektorer: post- och budtjänster, avfallshantering, kemikalier, livsmedel, tillverkning av vissa produkter, däribland medicintekniska produkter, datorer, elektronik, maskiner och fordon, digitala leverantörer som onlinemarknadsplatser, sökmotorer och sociala plattformar, samt forskningsorganisationer.

Storleksgränsen är i regel medelstort företag eller större, det vill säga minst 50 anställda eller en årsomsättning över 10 miljoner euro. Vissa typer av entiteter omfattas oavsett storlek, bland annat vissa DNS-leverantörer, toppdomänregister, tillhandahållare av betrodda tjänster och leverantörer av allmänna elektroniska kommunikationstjänster.

Den tyska tillsynsmyndigheten uppskattade att omkring 29 500 entiteter omfattas bara i det landet. Vid den lagstadgade sista dagen i mars 2026 hade ungefär 11 500 registrerat sig, och i slutet av maj var de runt 18 500. Läs det som en varning snarare än som en lugnande signal. Att andra registrerar sig långsamt skapar inget undantag.

Två saker överraskar företag. För det första omfattar sektorslistan vanliga tillverkare, inte bara infrastrukturoperatörer. Tillverkar du maskiner, elektronik eller medicintekniska produkter i någon skala, titta noga. För det andra: även om du inte omfattas kommer dina kunder som omfattas att föra över sina skyldigheter i leverantörskedjan på dig genom avtal. Att stå utanför tillämpningsområdet betyder inte att du är opåverkad.

Registrering är en separat skyldighet

De flesta medlemsstater kräver att entiteter som omfattas registrerar sig hos den nationella myndigheten, och det är här de första misslyckandena sker.

Registrering innebär oftast att ange entiteten, dess sektorsklassificering, dess tjänster, dess kontaktpunkter i säkerhetsfrågor och de medlemsstater där den verkar. Sista dag varierar mellan länderna, och processen är ofta mer omfattande än ett webbformulär.

Utgå inte från att du är undantagen bara för att myndigheten inte har hört av sig. NIS2 bygger på självidentifiering. Det är ditt jobb att avgöra om du omfattas och registrera dig, inte tillsynsmyndighetens jobb att hitta dig.

Tidslinjen för rapportering

Incidentrapporteringen är den operativt mest krävande delen av direktivet, och tidsramarna är snäva.

• Inom 24 timmar från att du fått kännedom om en betydande incident: en tidig varning, som anger om incidenten misstänks vara orsakad av olagliga eller illasinnade handlingar och om den kan få gränsöverskridande konsekvenser.
• Inom 72 timmar: en incidentanmälan, som uppdaterar den tidiga varningen med en första bedömning, allvarlighetsgrad, konsekvenser och indikatorer på intrång.
• På begäran: lägesrapporter under arbetets gång.
• Inom en månad: en slutrapport med en detaljerad beskrivning, typen av hot eller grundorsak, vidtagna åtgärder för att begränsa skadan och eventuella gränsöverskridande konsekvenser.

En betydande incident är en incident som har orsakat eller kan orsaka allvarliga driftstörningar eller ekonomiska förluster, eller som har påverkat eller kan påverka andra genom att orsaka betydande materiell eller immateriell skada.

Den tidiga varningen inom 24 timmar är det svåra. Tjugofyra timmar räcker inte för en utredning. Det är en förvarning, och direktivet förväntar sig just en förvarning. Team som väntar tills de förstår incidenten innan de rapporterar missar fönstret varje gång.

Om din organisation också hanterar personuppgifter kan du parallellt behöva göra en anmälan om personuppgiftsincident inom 72 timmar enligt dataskyddsförordningen (GDPR) till en annan myndighet, med ett annat tillämpningsområde och en annan tröskel. De processerna behöver utformas tillsammans, vilket vi går igenom i vår GDPR-guide.

De tio åtgärderna

Artikel 21 kräver riskhanteringsåtgärder som omfattar minst tio områden. Enkelt uttryckt:

1. Riskanalys och säkerhetspolicyer för informationssystem. Dokumenterade, aktuella och faktiskt använda av de som driver systemen.
2. Incidenthantering. Upptäckt, åtgärd, återställning och rapporteringsflödet ovan.
3. Kontinuitet och krishantering. Hantering av säkerhetskopior, katastrofåterställning och en testad återläsning i stället för ett schemalagt backupjobb.
4. Säkerhet i leverantörskedjan. Behandlas separat nedan eftersom det är där det mesta av arbetet hamnar.
5. Säkerhet vid förvärv, utveckling och underhåll. Säkra utvecklingsrutiner, hantering och offentliggörande av sårbarheter.
6. Utvärdering av effektivitet. Hur du vet att dina kontroller fungerar. Tester, revisioner, mätetal.
7. Cyberhygien och utbildning. Grundläggande rutiner och medvetenhet, även för ledningen.
8. Policyer för kryptografi och kryptering. Var kryptering används och hur nycklar hanteras.
9. Personalsäkerhet, åtkomstkontroll och tillgångsförvaltning. Nyanställda, interna flyttar, avgångar, minsta möjliga behörighet och en tillgångsförteckning som är aktuell.
10. Multifaktorautentisering och säkrad kommunikation. MFA eller kontinuerlig autentisering, säkrad röst-, video- och textkommunikation samt system för nödkommunikation.

Inget av detta är exotiskt. Det som saknas i de flesta organisationer är inte kunskap om vad som ska göras, utan belägg. Tillsynen enligt NIS2 är tung på dokumentation, och en odokumenterad kontroll är i praktiken en kontroll som saknas.

Leverantörskedjan är det verkliga arbetet

Den mest långtgående förändringen i NIS2 är betoningen på risker i leverantörskedjan. Entiteter som omfattas måste beakta säkerhetsrutinerna hos sina direkta leverantörer och tjänsteleverantörer, inklusive kvaliteten på deras produkter och deras rutiner för säker utveckling.

I praktiken sprider det sig nedåt. Ett sjukhus som omfattas ställer krav på sina programvaruleverantörer. De leverantörerna ställer krav på sina hostingleverantörer och komponentleverantörer. Företag långt utanför det formella tillämpningsområdet hamnar i att besvara säkerhetsenkäter som härrör från NIS2, eftersom deras kund omfattas.

Om du säljer programvara eller tjänster till någon av de listade sektorerna, räkna med:

• Säkerhetsenkäter som en standarddel av upphandlingen, före avtalet snarare än efter.
• Avtalade säkerhetskrav, bland annat tidsramar för incidentanmälan som leder upp till kundens skyldighet inom 24 timmar.
• Begäran om belägg: sammanfattningar av penetrationstester, status för SOC 2 eller ISO 27001, dokumentation av processen för sårbarhetshantering, SBOM:er.
• Revisionsrätt.

Det effektiva svaret är att bygga beläggpaketet en gång. Det mesta som kunderna frågar efter är detsamma i olika enkäter, och underlaget överlappar kraftigt med skyldigheterna enligt cyberresiliensförordningen (Cyber Resilience Act). Bygg ett flöde för programvarans materialförteckning (SBOM), en dokumenterad process för sårbarhetshantering och en incidentplan, så har du besvarat det mesta av båda.

Ledningens ansvar

NIS2 gör ledningsorganen ansvariga för att godkänna åtgärderna för hantering av cybersäkerhetsrisker och övervaka genomförandet, och medlemsstaterna kan hålla dem personligt ansvariga. Ledningen är också skyldig att gå utbildning.

Det är därför samtalen om NIS2 har gått fortare än de flesta compliancefrågor inom företagen. Personligt ansvar ändrar hur snabbt en styrelse godkänner en budget.

Sanktioner

För väsentliga entiteter upp till 10 miljoner euro eller 2 procent av den totala globala årsomsättningen, beroende på vilket som är högst. För viktiga entiteter upp till 7 miljoner euro eller 1,4 procent. Myndigheterna kan också utfärda bindande instruktioner, beordra att bristerna offentliggörs och i allvarliga fall tillfälligt upphäva certifiering eller tillfälligt förbjuda personer att utöva ledningsfunktioner.

Vad som håller på att ändras

Den 20 januari 2026 föreslog kommissionen riktade ändringar i NIS2 (förfarande 2026/0012(COD)), publicerade tillsammans med ett förslag till en ny cybersäkerhetsakt (Cybersecurity Act 2). Entiteter i sektorerna med hög kritikalitet som är små medelstora börsbolag, så kallade small mid-caps (färre än 750 anställda och en omsättning på högst 150 miljoner euro eller en balansomslutning på högst 129 miljoner euro), skulle som regel bli viktiga i stället för väsentliga entiteter, med den lättare tillsyn som den nivån innebär. Medlemsstaterna skulle kunna kräva ett certifikat över en entitets cybersäkerhetsläge enligt en europeisk certifieringsordning, och ett giltigt certifikat skulle bespara entiteten ytterligare tillsynsåtgärder för de krav det omfattar. Kommissionen skulle också ta fram riktlinjer för att standardisera de enkäter om leverantörskedjan som entiteter som omfattas skickar till sina leverantörer, medan förslaget till Cybersecurity Act 2 innehåller de nya reglerna om risker i IKT-leverantörskedjan. Medlemsstaterna skulle få 12 månader på sig att införliva ändringarna.

Det är fortfarande ett förslag. Den 10 oktober 2026 hade det ansvariga utskottet i parlamentet (ITRE) publicerat sitt förslag till betänkande den 24 september, och ingen ståndpunkt från rådet hade registrerats. Tills ändringarna har antagits och införlivats gäller allt i den här artikeln som det står.

Var du börjar om du inte har gjort det

En fungerande ordningsföljd för en organisation som börjar nära noll:

Avgör tillämpningsområdet ordentligt. Sektor, storlek och de medlemsstater där du är etablerad. Få det skriftligt från dina jurister, eftersom allt annat följer av det.

Registrera dig. Kontrollera din nationella myndighets sista dag och process. Om den har passerat, registrera dig ändå.

Bygg tillgångsförteckningen. Du kan inte hantera risker i system som du inte har listat. Det här är det enskilt mest värdefulla underlaget och det som oftast saknas.

Skriv incidentplanen och öva på den. Fokusera på vägen inom 24 timmar. Vem som fattar beslut om att det är en incident, vem som bedömer gränsöverskridande konsekvenser, vem som skickar in och vad som händer kl. 03.00 på en helgdag.

Gör leverantörsgenomgången. Lista dina kritiska leverantörer, bedöm dem och få in säkerhetsvillkor i avtalen när de förnyas.

Täpp till de uppenbara luckorna. MFA överallt, testade säkerhetskopior, patchhantering, behörighetsgenomgångar, loggning. Inte glamoröst, och det är vad en revision tittar på först.

Dokumentera medan du arbetar. Inte en policypärm som skrivs i efterhand. Beslut som registreras när de fattas, med datum och ansvariga.

En ärlig kommentar om arbetsinsatsen

För en organisation med ett fungerande säkerhetsprogram är NIS2 till största delen en övning i dokumentation och rapportering. För en organisation utan ett sådant är det ett verkligt bygge, som mäts i kvartal snarare än veckor.

Misstaget är att behandla det som ett complianceprojekt som ägs av juristerna. Skyldigheterna är operativa. De ligger hos de som driver systemen, och underlaget hålls bara aktuellt om det är en del av hur teamet arbetar snarare än något som tas fram inför en revision.

Få hjälp

Vi bygger och driver mjukvarusystem för företag i hela Europa, inklusive den övervakning, loggning, säkerhetskopiering och insyn i leverantörskedjan som NIS2 förväntar sig. Där vi gör nytta är på teknisk sida: att göra kontrollerna verkliga och beläggen till en biprodukt av det vanliga arbetet snarare än en separat insats.

Kontakta oss på office@c9group.dev. Vår guide till EU:s digitala regelefterlevnad 2026 beskriver hur NIS2 passar ihop med allt annat som kommer i år, och sidan om vår tjänst för underhåll av äldre system beskriver det arbete som oftast kommer först.

Vi är ingen advokatbyrå och vi ger inte juridisk rådgivning. Särskilt bedömningen av tillämpningsområdet hör hemma hos dina jurister.