Den 15 januari 2026 trädde cybersäkerhetslagen (2025:1506) i kraft i Sverige. Det innebär att EU:s cybersäkerhetsdirektiv NIS2 nu är svensk lag – och konsekvenserna märks allt tydligare i affärsrelationer och leverantörsled.

Vad innebär cybersäkerhetslagen i Sverige?

Cybersäkerhetslagen ersätter den tidigare lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster. Den nya lagen omfattar betydligt fler verksamheter än tidigare reglering och gäller för företag inom samhällsviktiga sektorer som uppfyller storlekskriterierna på över 50 anställda och 10 miljoner euro i omsättning, samt leverantörer av digitala tjänster som molntjänster och datacenter. I februari 2026 öppnade anmälningstjänsten för de organisationer som omfattas.

Även din organisation kan påverkas

Diskussionen om vem som formellt omfattas är bara en del av bilden. Den verkliga påverkan är bredare: organisationer som träffas av cybersäkerhetslagen är skyldiga att hantera cybersäkerhetsrisker inte bara internt, utan även i sina leverantörskedjor. Det innebär att leverantörer i ökande grad ombeds att visa upp sin cybersäkerhetsmognad – oavsett om de själva omfattas direkt av lagen eller inte.

För många bolag märks detta först genom nya avtalsvillkor eller omfattande säkerhetsenkäter från kunder. Det som tidigare betraktades som god sed håller snabbt på att bli en affärsmässig förutsättning.

Vanliga krav som nu ställs är exempelvis:

• Skriftliga informationssäkerhetspolicys
• Dokumenterade riskanalyser (cybersäkerhetslagen ställer tydligare krav på detta än tidigare)
• Incidenthanteringsrutiner
• Bevis på tekniska skyddsåtgärder såsom multifaktorautentisering och åtkomstkontroller
• Tydliga processer för incidentrapportering

I vissa fall begärs även revisionsrättigheter eller löpande uppföljning av säkerhetsnivån.

För mindre och medelstora företag kan dessa krav komma oväntat. Att invänta en enkät eller avtalsbilaga kan innebära att bolaget hamnar i ett reaktivt läge. Organisationer som i stället proaktivt ser över sina styrdokument, dokumenterar befintliga skyddsåtgärder och analyserar sina leverantörsrisker står bättre rustade – både ur ett regelefterlevnads- och affärsperspektiv.

Cybersäkerhetslagen bör därför inte enbart betraktas som en regulatorisk skyldighet. Det är en strukturell förändring i hur cybersäkerhetsrisker fördelas och hanteras mellan avtalsparter. Bolag som integrerar frågan i sin övergripande riskstyrning, snarare än behandlar den som en isolerad IT-fråga, kommer sannolikt att vara bättre positionerade framöver.

Utmaningen ligger för många organisationer inte i att förstå regelverket i sig, utan i att omsätta det i praktiska styrningsåtgärder och avtalsstrukturer.

Slutsats

Frågan är därför inte enbart om ert bolag formellt omfattas av cybersäkerhetslagen – utan om ni är förberedda när era kunder börjar ställa frågorna. Den som kan visa på ett starkt och strukturerat cybersäkerhetsarbete blir en attraktiv partner och har chansen att vinna marknadsandelar när konkurrenter inte håller måttet. Vill ni ha stöd i det arbetet eller diskutera vad cybersäkerhetslagen kan betyda för just er verksamhet är ni varmt välkomna att kontakta oss.

Maria Parts och Ashwathi Pillai