NIS2-direktivet er gennemført i Sverige med cybersäkerhetslagen (2025:1506), den svenske cybersikkerhedslov, der trådte i kraft den 15. januar 2026. Den berører anslået 8.000 organisationer i atten samfundsvigtige sektorer — blandt andet energi, transport, sundhed, vand, affald, fødevarer, fremstilling og digital infrastruktur. Loven lægger ansvaret på ledelsen, og den skriver direkte, at ledelsen skal uddannes.
11. september 2026: indberetningspligt efter CRA
Fabrikanter af produkter med digitale elementer skal fra da af indberette aktivt udnyttede sårbarheder og alvorlige hændelser — tidlig varsling inden for 24 timer og fuld anmeldelse inden for 72. Det gælder også produkter, der allerede er på markedet, længe før de fulde krav i december 2027.
Det har ledelsen ansvaret for
- At godkende og følge op på risikostyringsforanstaltningerne — ansvaret kan ikke uddelegeres til IT.
- Selv at gennemgå uddannelse og at tilbyde tilsvarende uddannelse til personalet.
- At hændelser indberettes rettidigt til tilsynsmyndigheden.
- At kravene følger med i leverandørkæden, ikke kun i egen organisation.
- Sanktionsbeløbene når op til 2 procent af den globale omsætning eller 10 millioner euro.
NIS2 og CRA er to forskellige spørgsmål
Cybersäkerhetslagen handler om, hvordan I driver virksomheden: styring, risikostyring, kontinuitet og indberetning. Cyber Resilience Act handler om, hvad I sælger: Produkter med digitale elementer skal være sikre i sig selv, holdes opdaterede og have en styret proces for sårbarheder. Fremstiller I noget, der er forbundet til nettet, og driver I samfundsvigtig virksomhed, gælder begge, og de rammer forskellige dele af organisationen.
Ofte stillede spørgsmål om cybersäkerhetslagen
Det, der afgør, om loven berører jer, og hvad den kræver, hvis den gør.
- Er vi omfattet af cybersäkerhetslagen?
- Det afgøres af sektor og størrelse. Virksomheder i en af de atten sektorer med mindst 50 ansatte eller 10 millioner euro i omsætning er normalt omfattet, og visse mindre virksomheder er omfattet alligevel på grund af deres rolle i samfundet. Anmeldelse sker til tilsynsmyndigheden.
- Hvad kræver loven af ledelsen?
- At den godkender risikostyringsforanstaltningerne, følger op på, at de gennemføres, og selv bliver uddannet i cybersikkerhed. Ledelsen kan holdes ansvarlig, når det svigter.
- Hvad er forskellen på NIS2 og Cyber Resilience Act?
- NIS2, altså cybersäkerhetslagen, stiller krav til virksomheden. CRA stiller krav til produkter med digitale elementer, der bringes i omsætning på EU-markedet. Den ene regulerer, hvordan I arbejder, den anden, hvad I sælger.
- Hvornår skal en hændelse indberettes?
- Efter CRA gælder tidlig varsling inden for 24 timer og fuld anmeldelse inden for 72 timer for aktivt udnyttede sårbarheder og alvorlige hændelser fra den 11. september 2026. Cybersäkerhetslagen har egne frister efter samme logik: først en varsling, derefter en redegørelse.
Uddan ledelsen, før tilsynet spørger
Webkurser med videnstest og kursusbevis — dokumentationen for, at uddannelseskravet er opfyldt, følger med.
Se alle kurser