NIS2 för små leverantörer: vad era kunder kommer att kräva

Uppdaterad 11 oktober 2026 · 4 min läsning · Av Anders Karlsson

Cybersäkerhetslagen, den svenska versionen av EU-direktivet NIS2, gäller sedan den 15 januari 2026. De flesta små företag omfattas inte direkt. Men lagen kräver att de företag som omfattas hanterar riskerna hos sina leverantörer, och då kommer frågorna till dig. Den här guiden förklarar vad lagen säger och hur du förbereder dig.

Vem omfattas av lagen?

Lagen gäller i huvudsak företag och organisationer som är minst medelstora, det vill säga har minst 50 anställda eller en årsomsättning och balansomslutning som båda överstiger 10 miljoner euro, och som är verksamma i någon av 18 sektorer. Regeringen räknade med att drygt 1 500 företag omfattas, plus offentliga aktörer.

Sektorerna delas in i två grupper:

Sektorer med hög kritikalitet: energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, förvaltning av IKT-tjänster mellan företag, offentlig förvaltning och rymden.
Andra kritiska sektorer: post- och budtjänster, avfallshantering, kemikalier, livsmedel, tillverkning (bland annat medicintekniska produkter, elektronik, maskiner och fordon), digitala leverantörer samt forskning.

Lägg märke till förvaltning av IKT-tjänster. Det omfattar IT-driftsleverantörer och säkerhetsleverantörer (MSP och MSSP) som är minst medelstora. Är du kund hos en sådan, eller är du en sådan, berörs du.

Vissa verksamheter omfattas oavsett storlek, till exempel leverantörer av DNS-tjänster, toppdomänregister och betrodda tjänster. För de flesta små företag är det dock leverantörsledet som gäller.

Vad lagen kräver av dem som omfattas

Verksamheterna ska vidta lämpliga säkerhetsåtgärder baserade på en riskanalys. Direktivet räknar upp vad som minst ska ingå:

Riskanalys och policyer för informationssäkerhet
Incidenthantering
Kontinuitet: säkerhetskopiering, katastrofåterställning och krishantering
Säkerhet i leveranskedjan, inklusive förhållandet till direkta leverantörer och tjänsteleverantörer
Säkerhet vid inköp, utveckling och underhåll av system, inklusive hantering av sårbarheter
Uppföljning av att åtgärderna fungerar
Grundläggande cyberhygien och utbildning
Kryptering
Personalsäkerhet, behörighetsstyrning och förteckning över tillgångar
Flerfaktorsautentisering och säkra kommunikationsvägar

Betydande incidenter ska rapporteras till Myndigheten för civilt försvar: en tidig varning inom 24 timmar, en incidentrapport inom 72 timmar och en slutrapport inom en månad. Ledningen ansvarar personligen för att åtgärderna genomförs och ska själv utbildas. Direktivet anger sanktionsavgifter på upp till 10 miljoner euro eller 2 procent av den globala årsomsättningen för de mest kritiska verksamheterna.

Vad det betyder för dig som leverantör

Punkt 4 ovan är anledningen till att små företag berörs. En kund som omfattas av lagen måste kunna visa att den har bedömt riskerna hos sina leverantörer. I praktiken märks det på tre sätt:

Säkerhetsfrågeformulär vid upphandling och avtalsförnyelse: har ni tvåstegsinloggning, säkerhetskopior, en incidentrutin, utbildning?
Nya avtalsvillkor, till exempel att ni ska meddela kunden inom ett visst antal timmar om ni drabbas av en incident som kan påverka dem, och att kunden får granska er säkerhet.
Krav på certifiering, som ISO 27001, från större kunder. För små leverantörer räcker det oftare att kunna beskriva och visa grundläggande åtgärder.

Tidsfristen på 24 timmar är viktig att förstå: kunden kan bara rapportera i tid om du upptäcker och berättar om en incident snabbt. En leverantör som märker ett intrång efter två veckor blir en risk för kunden.

Checklista för en liten leverantör

Tvåstegsinloggning på alla konton, framför allt e-post, administratörskonton och fjärråtkomst.
Automatiska uppdateringar på datorer, telefoner och nätverksutrustning.
Säkerhetskopior där minst en kopia inte kan raderas av en angripare, och en testad återställning.
En lista över system, konton och vem som har tillgång till vad, och en rutin för att stänga konton när någon slutar.
En incidentrutin på en sida: vem gör vad, vem ringer ni, och vilka kunder ska informeras inom hur lång tid.
Ett sätt att upptäcka intrång, inte bara förhindra dem, till exempel larm från e-posttjänsten och en honeypot i nätverket.
Utbildning i nätfiske minst en gång om året.
En kort, skriftlig säkerhetspolicy som ni kan skicka till kunder som frågar.

Så svarar du på ett säkerhetsfrågeformulär

Svara ärligt och konkret. "Ja, tvåstegsinloggning är påslaget för alla konton i Microsoft 365 sedan mars 2026" är bättre än ett allmänt "vi tar säkerhet på största allvar". Saknar ni något, skriv vad ni gör och när det är klart. Kunden letar efter leverantörer som har koll, inte efter perfekta svar, och ett överdrivet svar kan bli ett avtalsbrott om något händer.

Vanliga frågor

Omfattas mitt företag av cybersäkerhetslagen?

Troligen inte, om ni har färre än 50 anställda och en omsättning under 10 miljoner euro. Undantagen gäller vissa digitala tjänster som omfattas oavsett storlek. Er tillsynsmyndighet eller en jurist kan ge besked i gränsfall.

Vad händer om vi inte uppfyller kundens krav?

Lagen ställer inga krav direkt på er, men kunden kan behöva byta leverantör om den inte kan visa att riskerna är hanterade. Ofta räcker det att visa en plan för hur ni åtgärdar det som saknas.

Måste vi bli ISO 27001-certifierade?

Inte enligt lagen. Vissa kunder kräver det, men de flesta små leverantörer kan visa grundläggande åtgärder med en kort policy och konkreta svar.

Vem rapporterar incidenter, vi eller kunden?

Kunden rapporterar till myndigheten om den omfattas av lagen. Er uppgift är att upptäcka incidenten och meddela kunden snabbt, enligt det ni har avtalat.

Källor

Guiden är en översikt och ersätter inte juridisk rådgivning.