Den nya europeiska regleringen om cybersäkerhet – NIS2‑direktivet – innebär betydligt hårdare krav på företag och organisationer inom samhällsviktiga och viktiga sektorer.
En central skyldighet är att anmäla sig till tillsynsmyndigheten om verksamheten omfattas av regelverket.
Men vad händer om ett företag inte gör denna anmälan, trots att det borde?
Den frågan är viktigare än många tror.
1. Anmälningsplikten är en grundläggande skyldighet
Företag som omfattas av NIS2 måste normalt:
- identifiera att de tillhör en reglerad sektor,
- bedöma om de är väsentlig eller viktig verksamhet, och
- anmäla sig till ansvarig myndighet.
I Sverige kommer tillsynen att delas mellan flera myndigheter beroende på sektor, exempelvis:
- Myndigheten för civilt försvar (MCF)
- Post‑ och telestyrelsen (PTS)
- Finansinspektionen
- Energimarknadsinspektionen
Om ett företag omfattas men inte anmäler sig, innebär det i praktiken att företaget bryter mot lagen redan från början.
2. Risken för tillsyn utan att vara förberedd
En vanlig missuppfattning är att tillsyn bara sker mot organisationer som själva anmält sig.
Så är det inte.
Myndigheter kan:
- identifiera verksamheter genom branschregister och offentliga uppgifter
- få information genom incidentrapportering
- upptäcka verksamheter via leverantörskedjor eller revisioner
När en verksamhet upptäcks i efterhand kan tillsynen börja utan att företaget hunnit bygga upp sina säkerhetsprocesser.
Det leder ofta till ett betydligt mer problematiskt läge.
3. Betydande administrativa sanktionsavgifter
NIS2 innehåller mycket kraftiga sanktionsmöjligheter.
För väsentliga verksamheter kan sanktioner uppgå till:
- upp till 10 miljoner euro, eller
- upp till 2 % av global årsomsättning
För viktiga verksamheter gäller:
- upp till 7 miljoner euro, eller
- upp till 1,4 % av global årsomsättning
Om ett företag inte registrerat sig, saknar säkerhetsåtgärder och dessutom drabbas av en incident, kan flera överträdelser aktualiseras samtidigt.
4. Personligt ansvar för ledningen
En nyhet i NIS2 är att företagsledningen får ett tydligare ansvar.
Ledningen ska:
- godkänna säkerhetsåtgärder
- övervaka att de genomförs
- ha tillräcklig kunskap om cybersäkerhet
Om organisationen ignorerar anmälningsplikten kan det därför också aktualisera ansvar på ledningsnivå.
KAPITEL IV
ÅTGÄRDER FÖR RISKHANTERING OCH RAPPORTERINGSKRAV FÖR CYBERSÄKERHET
Artikel 20
Styrning
1. Medlemsstaterna ska säkerställa att väsentliga och viktiga entiteters ledningsorgan godkänner de riskhanteringsåtgärder för cybersäkerhet som dessa entiteter vidtar för att följa artikel 21, övervakar genomförandet av dem och kan ställas till svars för entiteternas överträdelser av den artikeln.
5. Praktiska konsekvenser för företag
I praktiken ser jag tre typer av risker när företag inte analyserar NIS2 i tid:
1. Felbedömning av om verksamheten omfattas
Många företag tror att NIS2 bara gäller myndigheter eller kritisk infrastruktur.
2. Omedvetna regelbrott
Företag omfattas utan att veta om det.
3. Panikåtgärder vid tillsyn eller incident
När regelverket plötsligt blir aktuellt måste säkerhetsarbete införas mycket snabbt.
Det blir nästan alltid dyrare och mer riskfyllt än att göra analysen i tid.
6. Bör företag göra en NIS2-analys nu?
Ja – för många organisationer är det klokt.
En NIS2-analys svarar på tre frågor:
- Om företaget omfattas av regelverket
- Vilken sektor och kategori företaget tillhör
- Vilka säkerhetsåtgärder som behöver införas
Det ger ledningen ett underlag för att fatta informerade beslut innan regelverket börjar tillämpas fullt ut.
✔ Sammanfattning
Att inte anmäla sig enligt NIS2 – trots att man omfattas – kan leda till:
- tillsyn från myndighet
- betydande sanktionsavgifter
- brister i cybersäkerhet
- ansvar på ledningsnivå
För många företag är därför den första och viktigaste åtgärden att utreda om verksamheten faktiskt omfattas av NIS2.
