Cybersäkerhetslagen (2025:1506) är den svenska versionen av EU:s NIS2-direktiv och har gällt sedan den 15 januari 2026. De flesta organisationer som omfattas har vid det här laget gjort registreringen och börjat skriva styrdokumenten. Det som oftare ligger kvar är enhetssidan: en aktuell förteckning över vilka datorer, telefoner och abonnemang ni har, vem som har dem, och vad som faktiskt händer när någon slutar.
Den här texten går igenom vad lagen säger om det, varför bevisdelen är svårare än riskanalysen, vad som ändras den 1 oktober 2026, och var man börjar om förteckningen i dag är ett Excelblad.
En sak att tydliggöra: lagen kräver inget verktyg, utan att någon kan visa listan.
Vad är cybersäkerhetslagen, och hur hänger den ihop med NIS2?
NIS2 är ett EU-direktiv, vilket betyder att varje medlemsland stiftar sin egen lag utifrån det. Sverige gjorde det genom cybersäkerhetslagen (2025:1506), som utfärdades den 11 december 2025 och trädde i kraft den 15 januari 2026. Samtidigt upphävdes den gamla NIS-lagen, lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster.
Lagen kompletteras av cybersäkerhetsförordningen (2025:1507). Det är förordningen, inte lagen, som pekar ut vilka myndigheter som är tillsynsmyndigheter och vilka som får utfärda föreskrifter. Lagtexten namnger ingen myndighet alls, den säger genomgående "den myndighet som regeringen bestämmer".
Danmark och Finland har haft sina lagar sedan 2025, Nederländerna slog på sin i augusti 2026, och Norge har ännu inte infört NIS2 utan ligger kvar på den äldre lagstiftningen. För er som bara verkar i Sverige är det den svenska lagtexten som gäller. För er som har bolag i flera länder skiljer sig omfattning, tröskelvärden och tillsynsmyndighet åt mellan länderna, även om direktivet bakom är detsamma.
Cyberresiliensakten (CRA) ligger bredvid och går åt andra hållet: den lägger kraven på tillverkarna av produkter med digitala delar. När en tillverkare rapporterar en aktivt utnyttjad sårbarhet är den informationen bara användbar för den som direkt kan säga vilka som har produkten och vilken version de kör.
Vilka omfattas?
Omfattningen avgörs av bransch och storlek, inte av om bolaget är börsnoterat. Direktivet täcker arton sektorer, bland andra energi, vatten och avfall, vård och läkemedelsdistribution, transport och post, livsmedelsproduktion, tillverkning, IT och telekom samt offentlig sektor. Storleksgränsen ligger i normalfallet runt 50 anställda. Banker och finansiella institut omfattas i stället av DORA, som är ett eget regelverk. Kommuner och regioner omfattas oavsett storlek.
Vad säger lagen om era enheter?
Lagen räknar upp tio säkerhetsåtgärder i 2 kap. 3 §. Punkt 9 lyder, ordagrant:
"personalsäkerhet, strategier för åtkomstkontroll och tillgångsförvaltning"
Ett av tio områden, alltså, och det är den punkt hela enhetsfrågan hänger på.
Detaljerna finns ett steg längre ner, i kommissionens genomförandeförordning (EU) 2024/2690. Den beskriver två saker som är konkreta nog att jobba mot: en fullständig och aktuell förteckning över tillgångar, och rutiner som säkerställer att utrustning som personalen har återlämnas eller raderas när anställningen upphör, och att återlämningen dokumenteras.
Det sista ledet är det som brukar saknas. Datorn kommer tillbaka. Var det står skrivet att den kom tillbaka är en annan fråga.
Utöver det ska de som ingår i ledningen genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §). Det är den delen som gör en förteckning till en ledningsfråga snarare än en IT-fråga: den som ska svara för arbetet behöver något att svara utifrån.
Varför är bevisdelen svårare än riskanalysen?
Den tyska branschorganisationen eco frågade i augusti sina medlemsföretag vad som varit svårast i NIS2-arbetet. Krav på bevis och revision hamnade högst, före incidentrapporteringen inom 24 och 72 timmar, och före riskanalysen.
Det säger något om vilken sorts arbete det är. En riskanalys görs i ett rum, av någon som kan sitt område, och den blir färdig. Bevis är löpande. Det handlar om att för en enskild enhet, ett enskilt datum, kunna säga vem som hade den och vad som hände med den, och kunna säga det när frågan kommer i stället för en vecka senare.
Ingen blir tillräckligt kunnig för att lösa det. Antingen faller det ut av hur systemen redan fungerar, eller så blir det ett projekt varje gång någon frågar.
Vad händer den 1 oktober 2026?
Det datumet beskrivs ibland som en deadline vilket det inte är då Cybersäkerhetslagen redan gäller. Det som händer den 1 oktober är att två föreskrifter träder i kraft: MCFFS 2026:11 om säkerhetsåtgärder och ledningens utbildning, och MCFFS 2026:12 om säkerhetsrevision och säkerhetsskanning. Den första preciserar vad säkerhetsåtgärderna i 2 kap. 3 § innebär i praktiken. Den andra reglerar hur tillsynsmyndigheterna får granska.
Delar av regelverket gäller redan. Föreskrifterna om anmälan och identifiering (MCFFS 2026:1) är i kraft, och föreskrifterna om incidentrapportering (MCFFS 2026:8) har gällt sedan den 1 juli 2026.
Praktiskt betyder det att arbetet inte har någon frist att invänta. Det som ändras den 1 oktober är att kraven blir preciserade och att granskningsverktygen är på plats.
Var börjar man?
En policy och en förteckning är två olika jobb. Policyn beskriver vad som ska gälla, och det är ofta där en extern rådgivare gör sin nytta. Förteckningen är det som gör policyn möjlig att belägga, och en policy går fort att skriva men är svår att styrka utan förteckningen under sig.
Tre steg som går att ta i den ordningen:
- Koppla in det MDM och HRIS ni redan har, så att enheterna hämtas i stället för att skrivas in, och kopplas till en anställd.
- Se till att varje enhet ligger på en namngiven person, inte på ett kontor eller en avdelning.
- Gör om offboardingen så att den producerar ett kvitto, inte en avbockad checklista. Återlämningen ska vara bekräftad och bekräftelsen ska ligga där någon utomstående kan läsa den.
Med de tre på plats har ni något att visa för tillgångsförvaltningsdelen medan de andra nio områdena fortfarande utreds.
Lagen ställer krav på tio områden. Det här är ett av dem, och det är det där avståndet mellan att veta och att kunna visa är som störst.
Velory kör IT-livscykelhantering för hårdvara, mjukvara och SaaS samt mobilabonnemang, från utrullning till certifierad avveckling. Börja med en integration och se hela din organisations IT-tillgångar dag ett.
