Förbered ditt företag för NIS2 – praktisk guide i 7 steg

När NIS2, det nya EU-direktivet för cybersäkerhet, börjar gälla i januari 2026 skärps kraven rejält på hur företag ska arbeta med informationssäkerhet, riskhantering och kontinuitetsplanering. För många verksamheter innebär det en ordentlig omställning. Men med rätt förberedelser kan ni både minska riskerna och stärka er motståndskraft inför framtidens krav.

NIS2 direktivet handlar inte om att skapa fler regler för sakens skull, utan om att höja lägstanivån för digital säkerhet i hela EU. Det påverkar allt från hur ni strukturerar ert säkerhetsarbete till hur ni rapporterar incidenter, och det kräver att ledningen tar ett tydligt ansvar. Direktivet omfattar dessutom fler branscher och leverantörer än tidigare, vilket gör att även små och medelstora företag kan omfattas.

Oavsett om ni redan har en fungerande struktur eller står i startgroparna för att bygga upp arbetet, är det nu ett bra läge att ta kontroll över processen. Genom att kartlägga aktuella risker, se över era system och skapa hållbara rutiner lägger ni grunden för att möta kraven när den nya lagen träder i kraft.

Vi har tagit fram en guide i sju steg som hjälper ditt företag att förbereda sig när direktivet introduceras i början av 2026.

1. Kartlägg riskerna - grunden för att uppfylla kraven i NIS 2

Grunden i NIS2 är att företag ska kunna visa att de har ett strukturerat och pågående arbete för att identifiera och hantera risker kopplade till informationssäkerhet. Det handlar både om teknik, människor och processer.

För att kunna möta kraven behöver du börja med en tydlig nulägesanalys. Identifiera vilka tillgångar som är absolut viktigast för verksamheten, till exempel IT-system, kunddata, kommunikation eller produktion. Gå sedan vidare och definiera vad som kan påverka dem: cyberangrepp, att någon av misstag klickar på en phishing-länk, delar fel information, ändrar en inställning som skapar sårbarhet eller risker kopplade till era leverantörer. Till exempel att en tjänst ni är beroende av ligger nere eller utsätts för intrång.

Som steg två bör riskerna sedan värderas utifrån hur sannolikt det är att något ska inträffa och hur stor skada incidenten kan göra. Därefter dokumenterar du hur man kan undvika att det ska inträffa, till exempel med bättre behörighetskontroller, regelbundna uppdateringar eller utbildning av personalen. En tydlig riskmatris blir ett levande underlag för framtida beslut.

För att följa NIS2 behöver riskanalysen ses över minst en gång per år, eller när något förändras i er IT-miljö. Målet är inte att ta bort alla risker, det viktiga är att ni har koll på dem och kan visa hur ni arbetar med dem.

2. Se över både teknik och rutiner

NIS2 kräver att företag inför både tekniska och organisatoriska säkerhetsåtgärder. Det kan handla om skapa brandväggar, implementera multifaktorautentisering och kryptering, men också om utbildning och interna säkerhetsrutiner för de anställda.

En bra start är att genomföra en säkerhetsrevision: var finns era svagheter? Kanske saknas rutiner för hur lösenord hanteras, eller så görs uppdateringar inte tillräckligt ofta. När ni vet var ni står, kan ni börja införa åtgärder som passar just er riskbild.

Det viktiga är att cybersäkerhet inte bara blir en teknisk fråga. Rutiner och beteenden kring IT-säkerhet är minst lika avgörande. En tydlig policy för IT-användning, säkra lösenord och rapportering av misstänkta händelser kan minska risken för incidenter dramatiskt.

3. Hanteras incidentrapportering enligt NIS2

En nyhet i NIS 2-direktivet är att allvarliga incidenter måste rapporteras till MSB inom 24 timmar. För att kunna leva upp till det behöver ni ha en fungerande process för  hantering av incidenter.

Börja med att definiera vad som räknas som en incident i er verksamhet. Det kan handla om dataintrång, driftstörningar, informationsläckor eller misstänkta attacker. Nästa steg är att tydliggöra vem som ansvarar för vad när något inträffar: vem upptäcker, vem dokumenterar, vem rapporterar? Incidenthanteringen ska vara enkel att följa, även  under stress. Ett bra sätt att förbereda sig är att genomföra övningar där olika scenarion testas. Det avslöjar snabbt var processerna brister. Efter varje övning eller faktisk incident bör ni dokumentera era lärdomar och förbättringar. Det här handlar inte bara om att uppfylla kraven i NIS2, utan om att skydda verksamheten.

4. Ledningens ansvar i NIS2: styrning, utbildning och uppföljning

Till skillnad från det tidigare NIS-direktivet lägger NIS2 ett tydligt ansvar på företagsledningen. Styrelse och ledning ska inte bara förstå säkerhetsriskerna, de ska kunna visa att de aktivt hanterar dem.

För att uppfylla kravet behöver ledningen ha både insyn och engagemang i säkerhetsfrågorna. En gång per kvartal bör ledningen få en rapport om status för cybersäkerheten, på samma sätt som ekonomiska eller juridiska frågor hanteras. Det är också klokt att utbilda styrelse och ledning i grundläggande informationssäkerhet och riskstyrning. Det stärker beslutsfattandet och minskar risken för felbedömningar. NIS2 innebär även att ledningen kan hållas personligt ansvarig vid allvarliga brister. Det gör dokumentation och kontinuerlig uppföljning ännu viktigare.

5. Se över leverantörskedjan inför NIS 2

En stor del av NIS2 handlar om att minska sårbarheter i leverantörsledet. Det räcker inte att den egna verksamheten är säker, ni behöver även säkerställa att era partners, leverantörer och IT-leverantörer uppfyller rimliga säkerhetskrav.

För att börja behöver ni kartlägga vilka leverantörer som har tillgång till era system, nätverk eller data. Gör sedan en bedömning av vilka som är mest kritiska för verksamheten. Därefter kan ni införa en tydlig modell för hur ni ställer och följer upp krav. Avtalen bör uppdateras så att informationssäkerhet är en del av villkoren, till exempel krav på incidentrapportering, revisioner och ansvarsfördelning. Ni bör också ha en rutin för hur leverantörernas säkerhet följs upp, exempelvis genom årliga kontroller. För många företag blir detta en ny vana, men på sikt skapar det tryggare samarbeten och minskar risken för allvarliga kedjereaktioner vid en attack.

6. Plan för både krishantering och återställning

Ett av de viktigaste kraven i NIS2-direktivet är att verksamheten ska kunna fortsätta fungera även under en störning. Därför måste du ha en plan för både krishantering och återställning.

En IT-krisplan bör beskriva vilka delar av verksamheten som är kritisk och vilka resurser som behövs för att återgå till normal drift. Den ska också innehålla en tydlig kontaktlista och beskrivning av roller vid en kris. En vanlig miss är att planen skrivs men aldrig testas. Därför bör man öva minst en gång per år, man kan till exempel simulera ett IT-avbrott eller en cyberattack. Samma sak gäller backup och återställning: det räcker inte att ha systemen på plats, ni behöver verifiera att de fungerar när det gäller.

7. Dokumentation och bevis på efterlevnad enligt NIS2

En röd tråd genom hela NIS2-direktivet är spårbarhet. Dokumentera allt, det är beviset på att ni har kontroll. Utan dokumentation finns inget bevis på efterlevnad. Samla riskanalyser, rapporter, utbildningsplaner och avtal på ett ställe. Det gör det enkelt att visa upp vid granskning – och hjälper er själva att se framsteg över tid. Myndigheter ska kunna se hur organisationen arbetar med säkerhet och vilka beslut som tagits. För att göra det hanterbart kan du samla all dokumentation i en central säkerhetspolicy eller portal. Det gör det lätt att uppdatera och visa upp vid behov.

NIS2: Från krav till konkurrensfördel

Det är lätt att se NIS2 som ännu ett regelverk som ska hanteras, men i grunden handlar det om att stärka din verksamhet. När ni förstår riskerna, säkrar processerna och kan visa kontroll blir ni också mer attraktiva som partner, leverantör och arbetsgivare.

De företag som redan nu börjar bygga struktur och ansvar runt säkerheten kommer inte bara att möta lagkraven, de kommer att ligga steget före. Ett robust säkerhetsarbete skapar tillit, stabilitet och effektivitet. Att förbereda sig för NIS2 är alltså inte en administrativ uppgift. Det är ett strategiskt beslut som skyddar verksamheten och öppnar dörrar till nya affärsmöjligheter.

Vill du ha hjälp att förbereda ert företag inför NIS2, kartlägga er cybersäkerhet eller öva er IT-krisberedskap?
På Netmine har vi lång erfarenhet av att stötta företag i att ta fram konkreta handlingsplaner, öva realistiska scenarier och bygga ett IT-säkerhetsskydd som håller, både tekniskt och organisatoriskt.

Kontakta oss för rådgivning.