I korthet
- NIS2 genomförs i Sverige genom cybersäkerhetslagen, som gäller sedan januari 2026.
- Ledningen ansvarar personligen för cybersäkerheten och ska genomgå utbildning.
- Behörigheter ska ges och tas bort i takt med anställningen – här spelar HR en nyckelroll.
Vad är NIS2?
NIS2 är ett EU-direktiv (2022/2555) som höjer kraven på cybersäkerhet för verksamheter i samhällsviktiga sektorer, till exempel energi, transport, hälso- och sjukvård, digital infrastruktur, livsmedel och tillverkning. I Sverige genomförs direktivet genom cybersäkerhetslagen, som gäller sedan januari 2026.
Lagen omfattar i regel medelstora och stora verksamheter i de utpekade sektorerna – normalt från 50 anställda eller en årsomsättning över 10 miljoner euro – men vissa verksamheter omfattas oavsett storlek.
Ledningens ansvar
En av de största nyheterna är att ansvaret ligger uttryckligen på ledningen. Ledningen ska:
- godkänna verksamhetens åtgärder för att hantera cybersäkerhetsrisker,
- övervaka att åtgärderna genomförs, och
- genomgå utbildning så att den kan bedöma riskerna.
Utbildningen behöver kunna visas upp vid tillsyn. Det gör den till en klassisk HR-fråga: vem har gått vilken utbildning, och när behöver den förnyas?
Så påverkas HR
- Personalsäkerhet
- Vad det betyder för HRTydliga roller, säkerhetskrav i anställningsavtal och rutiner vid anställningens början och slut.
- Åtkomstkontroll
- Vad det betyder för HRBehörigheter ska ges utifrån roll och tas bort direkt när någon slutar eller byter roll.
- Cyberhygien och utbildning
- Vad det betyder för HRAlla medarbetare ska ha grundläggande säkerhetsutbildning – och ni ska kunna visa det.
- Incidenthantering
- Vad det betyder för HRMedarbetare ska veta hur de rapporterar en incident, och ansvariga ska vara utsedda.
| Krav i NIS2 | Vad det betyder för HR |
|---|---|
| Personalsäkerhet | Tydliga roller, säkerhetskrav i anställningsavtal och rutiner vid anställningens början och slut. |
| Åtkomstkontroll | Behörigheter ska ges utifrån roll och tas bort direkt när någon slutar eller byter roll. |
| Cyberhygien och utbildning | Alla medarbetare ska ha grundläggande säkerhetsutbildning – och ni ska kunna visa det. |
| Incidenthantering | Medarbetare ska veta hur de rapporterar en incident, och ansvariga ska vara utsedda. |
Allvarliga incidenter ska rapporteras till tillsynsmyndigheten i flera steg: en tidig varning inom 24 timmar, en incidentanmälan inom 72 timmar och en slutrapport inom en månad.
Checklista för HR
- 1Kartlägg vilka roller som har tillgång till kritiska system.
- 2Koppla on- och offboarding till IT så att behörigheter ges och tas bort automatiskt.
- 3Registrera säkerhetsutbildning för ledning och medarbetare, med datum för förnyelse.
- 4Se över anställningsavtal och policyer: sekretess, säkerhetskrav och rapporteringsskyldighet.
- 5Granska behörigheter regelbundet, till exempel varje kvartal.
AltitudeHR visar NIS2-status för hela organisationen, och offboarding-flödet skickar uppgifter till IT samma dag som någon slutar. Se automatiska flöden
Guiden är allmän information och inte juridisk rådgivning. Lagar och kollektivavtal ändras och kan skilja sig åt – kontrollera alltid vad som gäller för er.
Låt HR-systemet hålla koll åt er
AltitudeHR påminner, räknar och följer upp – så att ni kan lägga tiden på människorna.
