Ny cybersäkerhetslag stärker skyddet för kritisk infrastruktur – vad betyder det för svenska företag?

 20 oktober 2025

Den 14 oktober presenterade regeringen proposition Ett starkt skydd för nätverks‑ och informationssystem – en ny cybersäkerhetslag. Lagförslaget, som väntas träda i kraft den 15 januari 2026, inför EU‑direktivet NIS 2 i svensk rätt och ställer skärpta krav på både offentliga och privata aktörer i ett brett spektrum av sektorer. Det föreslagna regelverket innebär att företag och myndigheter inom kritiska områden – såsom energi, transport, hälso‑ och sjukvård, digitala tjänster, vattenförsörjning och offentlig förvaltning – måste införa konkreta tekniska och organisatoriska skyddsåtgärder för sina nätverk och informationssystem.

Krav på incidentrapportering
När en allvarlig cyberincident inträffar ska den rapporteras till Myndigheten för samhällsskydd och beredskap (MSB) inom fastställda tidsramar. Detta ger myndigheten möjlighet att snabbt vidta stödjande åtgärder och att samla kunskap om hotlandskapet.

Starkare tillsyn och påföljder
MSB får utökade befogenheter att granska efterlevnaden och kan utfärda förelägganden eller ekonomiska sanktioner mot de som misslyckas med att uppfylla lagens krav. Detta markerar ett tydligt steg bort från tidigare frivilliga eller självhävdande säkerhetsrutiner.

Kompletterande lagändringar
För att lagens effekt ska bli heltäckande föreslås även förändringar i lagar om elektronisk kommunikation, hantering av toppdomäner och sekretess. Målet är att skapa en juridisk helhet där alla delar av den digitala infrastrukturen omfattas av samma säkerhetsstandard.

Vad betyder detta för företagen?

• Riskanalys: Alla berörda organisationer måste kartlägga vilka delar av sin verksamhet som omfattas av den nya lagen.
• Implementering: Tekniska skydd som brandväggar, kryptering och säkerhetsinformation‑ och händelsehantering (SIEM) måste införas eller förstärkas.
• Utbildning: Personal på alla nivåer behöver utbildas i grundläggande cybersäkerhet och i hur man hanterar incidenter.
• Rapportering: Interna processer för snabb incidentrapportering till MSB måste etableras.
• Revision: Företagen bör förbereda sig på regelbundna myndighetsinspektioner och eventuella böter vid bristande efterlevnad.

Den nya lagen är en del av Sveriges nationella cybersäkerhetsstrategi 2025‑2029, som syftar till att stärka landets motståndskraft mot alltmer sofistikerade cyberhot. För företag innebär det både en skyldighet och en möjlighet: de som tidigt anammar robusta säkerhetsåtgärder kan både undvika kostsamma sanktioner och bygga förtroende hos kunder och partners.

Källa: Regeringen