Vad NIS2 och cybersäkerhetslagen betyder för era AI-verktyg

Den 15 januari 2026 trädde cybersäkerhetslagen i kraft. Den genomför EU:s NIS2-direktiv i svensk rätt och ersätter den tidigare NIS-lagen. Lagen gäller verksamheter inom ett stort antal sektorer, bland annat energi, transport, hälso- och sjukvård, digital infrastruktur, tillverkning och offentlig förvaltning. Den som omfattas ska anmäla sig till sin tillsynsmyndighet, vidta riskbaserade säkerhetsåtgärder, se till att ledningen utbildas och rapportera betydande incidenter.

Vilka som omfattas beror på sektor och storlek, och flera föreskrifter tas fram stegvis. Myndigheten för civilt försvar samlar information om lagen och tidsplanen. Den här texten ger ingen juridisk rådgivning. Den beskriver vad lagen betyder när ni väljer ett AI-verktyg.

Ett AI-verktyg ingår i kedjan

Lagen ställer krav på säkerheten i hela leverantörskedjan, även för tjänster ni köper in. Ett AI-verktyg som läser era dokument hanterar ofta en stor del av verksamhetens samlade kunskap. Därmed blir det en del av de informationssystem som säkerhetsarbetet ska omfatta.

Fråga därför leverantören var uppgifterna behandlas, vilka underleverantörer som är inblandade och hur ni får veta om något förändras. Ju färre parter som hanterar uppgifterna, desto enklare blir både riskanalysen och uppföljningen. En lösning som kan köras i er egen miljö gör kedjan kort, eftersom uppgifterna stannar i system som ni redan styr och följer upp.

Åtkomst, loggning och incidenter

Tre områden är värda särskild uppmärksamhet. Det första är åtkomst. Inloggning bör ske med de konton och den tvåstegsverifiering ni redan använder, och behörigheterna bör följa principen om minsta möjliga åtkomst. Ändringar som påverkar säkerheten bör kräva att två personer godkänner dem.

Det andra är loggning. När något har hänt behöver ni kunna se vem som gjorde vad och när. Loggen behöver gå att lita på, vilket betyder att den inte kan ändras i efterhand utan att det syns. Den bör också kunna kopplas till den säkerhetsövervakning ni redan har.

Det tredje är incidenthantering. Lagen kräver att betydande incidenter rapporteras inom korta tidsramar. Då behöver ni veta hur leverantören upptäcker och meddelar incidenter, och vem som gör vad när det händer. Körs verktyget i er egen miljö omfattas det av era befintliga rutiner för övervakning och incidenter, och ni är mindre beroende av att en extern part hör av sig i tid.

Ledningens ansvar

Cybersäkerhetslagen lägger ett tydligt ansvar på ledningen. Ledningen ansvarar för att säkerhetsåtgärderna vidtas och ska genomgå utbildning i cybersäkerhet. Ett AI-verktyg bör därför ingå i samma riskanalys och samma beslut som andra system, med en tydlig ägare i organisationen.

Det gör också upphandlingen enklare. När kraven på åtkomst, loggning och incidenter finns med från början blir det tydligt vilka lösningar som passar, och vilka som skulle kräva särskilda åtgärder.

Så fungerar det i iSearch

iSearch gör inte en verksamhet regelefterlevande på egen hand. Verktyget är byggt för att passa in i ett säkerhetsarbete av det slag lagen beskriver. Hela kedjan kan köras i er egen miljö, utan publika AI-tjänster. Om vi sköter driften åt er får ni en egen, separat installation.

Inloggning sker med SSO och MFA, rollbaserad åtkomst styr vem som ser vad och fyraögonsprincip gäller för känsliga ändringar. Revisionsloggen är manipulationssäker och kan kopplas till ert system för säkerhetsövervakning. Dokument och innehåll krypteras både under överföring och i vila.

Läs mer i checklistan för upphandling av AI, om offline-AI i er egen miljö och om säkerheten i iSearch, eller boka en genomgång.