Implementering av NIS2: vad du behöver veta för att uppfylla kraven 2026

29 april 2026

5 min att läsa

Sammanfatta med AI

Vid det här laget har de flesta som driver företag i Europa hört akronymen NIS2. Huruvida de har gjort något åt det är en annan fråga.

Direktivet håller på att införlivas i nationell lagstiftning i alla 27 medlemsstater, där vissa länder ligger före och andra fortfarande håller på att komma ikapp. Men riktningen ändras inte: det som tidigare var frivilliga riktlinjer för cybersäkerhet får nu rättsliga konsekvenser, definierade tidsramar och, om du sitter i ledningen, personligt ansvar.

Nedan beskriver jag den kritiska vägen till NIS2-efterlevnad, så att du tydligt kan förstå hur du ska arbeta dig igenom denna komplexitet.

Stanislav Kazanov

Chef för GRC, cybersäkerhet och hållbarhet

Stanislav bakar in säkerhet och hållbarhet i varje systems DNA. Han navigerar i skärningspunkten mellan global efterlevnad och grön databehandling och ser till att infrastrukturerna är både skottsäkra mot hot och miljömässigt ansvarsfulla.

Visa profil

Vad är NIS2-direktivet?

NIS2-direktivet är EU:s flaggskeppslagstiftning som syftar till att förbättra den grundläggande nivån av cybersäkerhet.

Redan 2016 lade EU fram det första NIS-direktivet, som var en bra början men som utgick från en hotbild som ser nästan gammaldags ut nu. NIS2 har dragit lärdom av sin föregångare och ersatt den med ett bredare ramverk med enhetliga regler i olika länder, högre standarder, fler sektorer som omfattas och påföljder som är tillräckligt konsekventa för att man inte ska kunna shoppa runt efter en mildare jurisdiktion.

Som ett resultat av detta kan företag i alla medlemsstater inte längre behandla cybersäkerhet som en “bästa ansträngning”-aktivitet. De måste röra sig mot ett rättsligt bindande ramverk med tydliga förväntningar kring motståndskraft, incidentrapportering och vem som bär ansvaret om något går fel.

Checklista för genomförande av NIS2: EU:s grundläggande krav

Hämta din kostnadsfria checklista för NIS2-efterlevnad och bedöm din nuvarande beredskapsnivå. Det är ett enkelt sätt att se vad som redan finns på plats och vad som fortfarande behöver åtgärdas.

Hur Polen implementerade NIS2

Polen antog sin uppdaterade lag - ändringar i lagen om det nationella cybersäkerhetssystemet - i början av 2026. Strukturen följer EU-direktivet men delar upp tillsynen på ett sätt som återspeglar lokala institutionella arrangemang.

Till exempel övervakar CSIRT MON* försvarsrelaterade enheter; CSIRT NASK** täcker kritisk digital infrastruktur och offentlig förvaltning. Andra sektorsspecifika organ övervakar områden som energi, finans, hälso- och sjukvård och transport. Dessutom finns det ett centralt register som dokumenterar vilka enheter som klassificeras som väsentliga eller viktiga.

Från och med april 2026 är det obligatoriskt att följa rapporteringskraven, tillsynsförfarandena och verkställighetsförfarandena enligt den polska lagstiftningen.

Vilka bolag berörs?

Tillämpningsområdet är bredare än tidigare. Klassificeringen beror på två saker: sektor och storlek, och sträcker sig bortom traditionell kritisk infrastruktur.

NIS2 skiljer mellan samhällsviktiga enheter, vars avbrott skulle få stora samhälleliga eller ekonomiska konsekvenser, och viktiga enheter, där konsekvenserna skulle bli betydande men mindre kritiska.

Väsentliga enheter

Stora företag (250 anställda eller fler, omsättning 50 miljoner euro eller mer) inom nyckelsektorer eller medelstora företag inom kritiska sektorer.

Energi, transport, bank, finansmarknadsinfrastruktur, hälsa, digital infrastruktur.

Viktiga enheter

Medelstora företag (50-249 anställda, omsättning 10-50 miljoner euro) inom nyckelsektorer, eller alla företag (oavsett storlek) inom specifika sektorer.

Posttjänster, avfallshantering, kemikalier, livsmedel (stora producenter och distributörer), tillverkning (medicintekniska produkter, elektronik).

Även om du inte når upp till tröskelvärdena för storlek kan myndigheterna ändå klassificera dig som “väsentlig” eller “viktig” baserat på den potentiella effekten av ett avbrott i din tjänst.

Viktiga cybersäkerhetskrav enligt NIS2

Enligt direktivet ska du arbeta utifrån ett riskbaserat tillvägagångssätt, vilket innebär att de åtgärder du vidtar ska vara proportionerlig mot storleken på ditt företag och de hot det kan utsättas för. Dessa är vanligtvis formaliserade genom ett ledningssystem för informationssäkerhet (ISMS). I denna utsträckning kommer du att utföra följande aktiviteter:

Genomföra regelbundna riskbedömningar
Upprätthålla dokumenterade säkerhetspolicyer som formaliserar organisationens roller, ansvarsområden och kontroller
Upprätta en process för att hantera säkerhetsincidenter, inklusive förebyggande, upptäckt, rapportering och svar inom angivna tidsramar för att meddela myndigheter
Säkerställa att planer för backuphantering, katastrofåterställning och krishantering finns på plats och fungerar under störningar
Genomföra due diligence och kontinuerlig övervakning av leverantörer, inklusive att ställa säkerhetskrav och samla in bevis från leverantörer
Implementera grundläggande systemskydd, t.ex. åtkomstkontroll, kryptering, MFA och patchning
Ge personal och ledning utbildning i ISMS och upprätta rutiner för säker onboarding och offboarding

Expertstöd för att hantera NIS2-krav

Bedöm efterlevnadsluckor, implementera kontroller och håll dig redo för revision med Innowise.

Nya tidsfrister för efterlevnad av NIS2

EU krävde att medlemsstaterna skulle införliva direktivet senast den 17 oktober 2024. Vissa gjorde det, medan andra inte gjorde det. Så tidsfristerna beror nu på var du är registrerad, eftersom de fastställs på nationell nivå och varierar beroende på jurisdiktion.

Registrering av enhet

Det sker vanligtvis inom några månader efter att den nationella lagen trätt i kraft eller när du klassificeras som väsentlig eller viktig.

Åtgärder för cybersäkerhet

Förväntas från den tidpunkt då lagen gäller för dig. I praktiken från dag ett, även om tillsynsarbetet kan ske stegvis.

Första granskningen av efterlevnad

Om du blir utvald kommer det vanligtvis inom 18 till 24 månader, men myndigheterna kan gå snabbare beroende på din riskprofil.

Dessa tidsramar är vägledande och kan variera beroende på hur varje medlemsstat genomför och tillämpar NIS2 på nationell nivå, så se till att kontrollera vad som gäller i ditt land.

Påföljder vid bristande efterlevnad

Det är där det börjar bli mer nyanserat. I direktivet fastställs ett golv, men inget tak: Medlemsstaterna måste fastställa en miniminivå för maximala böter, men de kan alltid gå högre om de vill. Enligt artikel 34 måste de se till att böterna är effektiva, proportionerliga och avskräckande. I klartext: tillräckligt stort för att göra ont, rättvist i förhållande till vad du gjorde fel och tillräckligt allvarligt för att ingen ska tycka att det är “värt risken”.”

I direktivet delas detta upp i två nivåer för maximala böter:

För väsentliga enheter

≥ 10 miljoner euro

eller 2 procent av din globala årsomsättning, beroende på vilket som är högst

För viktiga enheter

≥ 7 miljoner euro

eller 1,4 procent av den globala årsomsättningen, beroende på vilket som är högst

För att se hur detta fungerar i praktiken kan vi ta Polen som exempel. Där speglar lagstiftningen dessa NIS2-trösklar. För större organisationer gäller den omsättningsbaserade beräkningen, så om du drar in 1 miljard euro globalt är 2 procent 20 miljoner euro. För allvarliga överträdelser som hotar det nationella försvaret, statens säkerhet eller den allmänna säkerheten går den polska lagstiftningen längre: böter på upp till 100 miljoner PLN (cirka 23 miljoner euro).

En helt annan skala, eller hur? Så det är inte bara stora aktörer som behöver oroa sig för procentsatsen, utan alla som befinner sig i fel sektor.

Varför NIS2 är en stor förändring för företag i Polen

Två saker har förändrats.

För det första, ansvarsskyldighet. Tidigare, om ett företag hade svag säkerhet, var ansvaret ofta så utspritt att ingen enskild person kände sig utsatt. Nu är styrelserna uttryckligen ansvariga. Det förändrar hur dessa konversationer förs internt.

För det andra omfattningen. Tusentals polska företag som aldrig utsatts för obligatoriska cybersäkerhetsrevisioner gör det nu. Och de strikta tidsgränserna för tidig varning på 24 timmar och formell rapportering på 72 timmar innebär att du måste ha övervakning och processer på plats innan något händer.

Studier visa att ungefär hälften av små och medelstora företag har implementerat grundläggande säkerhetskontroller och att ungefär hälften har upplevt en incident under de senaste två åren. Dessa siffror tyder på att många organisationer börjar bakifrån.

* Computer Security Incident Response Team vid det nationella försvarsministeriet

** Computer Security Incident Response Team som drivs av Research and Academic Computer Network, Polens nationella forskningsinstitut

Mer om detta ämne

Blogg

Navigera i DORA: EU:s förordning om digital resiliens

Blogg

Cybersäkerhet inom bankväsendet: betydelse, hot och utmaningar

Blogg

Hur man förhindrar dataintrång inom hälso- och sjukvården: bästa säkerhetsrutiner

Kontakta oss

Boka ett samtal eller fyll i formuläret nedan så återkommer vi till dig när vi har behandlat din förfrågan.

Namn

Företag

E-post

Telefon

Meddelande

Skicka ett röstmeddelande till oss

Bifoga dokument

Ladda upp filen

Du kan bifoga 1 fil på upp till 2 MB. Giltiga filformat: pdf, jpg, jpeg, png.

Genom att klicka på Skicka samtycker du till att Innowise behandlar dina personuppgifter enligt våra Integritetspolicy för att förse dig med relevant information. Genom att lämna ditt telefonnummer samtycker du till att vi kan kontakta dig via röstsamtal, SMS och meddelandeappar. Samtals-, meddelande- och datataxor kan gälla.

Du kan också skicka oss din förfrågan

till contact@innowise.com

Vad händer härnäst?

När vi har tagit emot och behandlat din förfrågan återkommer vi till dig för att beskriva dina projektbehov och undertecknar en NDA för att säkerställa sekretess.

Efter att ha undersökt dina önskemål, behov och förväntningar kommer vårt team att ta fram ett projektförslag förslag med arbetsomfattning, teamstorlek, tids- och kostnadsberäkningar.

Vi ordnar ett möte med dig för att diskutera erbjudandet och fastställa detaljerna.

Slutligen undertecknar vi ett kontrakt och börjar arbeta med ditt projekt direkt.