Vad är NIS2?
NIS2 är EU:s direktiv om cybersäkerhet, som i Sverige genomförs genom cybersäkerhetslagen som trädde i kraft den 15 januari 2026.
Lagen ersätter den tidigare NIS-lagen och gäller verksamheter inom ett stort antal sektorer. Bland dem finns energi, transport, hälso- och sjukvård, digital infrastruktur, tillverkning och offentlig förvaltning.
Den som omfattas ska anmäla sig till sin tillsynsmyndighet och vidta riskbaserade säkerhetsåtgärder. Ledningen ska utbildas, och betydande incidenter ska rapporteras.
Ett AI-verktyg blir en del av samma säkerhetsarbete. Det gäller var data behandlas, vilka leverantörer som är inblandade och hur åtkomsten styrs.
Så fungerar det
Säkerhetsåtgärderna ska utgå från en riskanalys som omfattar hela verksamheten. Lagen pekar ut områden som ska ingå, bland annat incidenthantering, kontinuitet, styrning av åtkomst och säkerhet i leverantörskedjan. Åtgärderna ska stå i proportion till riskerna och till verksamhetens storlek.
Lagen skiljer mellan väsentliga och viktiga verksamhetsutövare. Kraven på åtgärder är i stort sett desamma, men tillsynen är mer aktiv för de väsentliga.
Därför spelar det roll
Ansvaret ligger uttryckligen på ledningen. Den ska godkänna åtgärderna, följa upp dem och ha tillräcklig kunskap för att bedöma riskerna. Brister kan leda till sanktionsavgifter. Lagen gör därför säkerhetsfrågor kring AI till en ledningsfråga.
Att tänka på
Leverantörskedjan är ofta den svåraste delen. En AI-tjänst kan bygga på flera underleverantörer som var och en påverkar säkerheten. Be om en tydlig bild av vilka de är.
Även den som inte omfattas kan påverkas. Kunder som omfattas ställer ofta samma krav vidare på sina leverantörer.
Vad det betyder för er
Ta med AI-verktygen i er riskanalys och ställ samma frågor till AI-leverantören som till andra viktiga leverantörer.
Vanliga frågor
Omfattas vi av cybersäkerhetslagen?
Det beror på sektor och storlek. Lagen gäller verksamheter inom utpekade sektorer, och även stora delar av den offentliga förvaltningen. Den som omfattas ska själv anmäla sig till sin tillsynsmyndighet.
Vad betyder NIS2 för våra AI-verktyg?
AI-verktyg ingår i säkerhetsarbetet som andra system. Riskanalysen ska omfatta dem, och AI-leverantören blir en del av den leverantörskedja som ni ska hantera.
Vad gäller vid en incident?
Betydande incidenter ska rapporteras till tillsynsmyndigheten. En första tidig varning ska lämnas inom 24 timmar från att ni fått kännedom om incidenten.
Är NIS2 och cybersäkerhetslagen samma sak?
NIS2 är EU-direktivet. Cybersäkerhetslagen är den svenska lag som genomför det och som gäller sedan den 15 januari 2026.
Källor: Direktiv (EU) 2022/2555 på EUR-LexCybersäkerhetslag (2025:1506) på riksdagen.se
Relaterade begrepp
Läs mer
Alla begrepp Uppdaterad