Cybersäkerhetslagen ställer krav på ledning och personal
Den 15 januari 2026 trädde cybersäkerhetslagen i kraft i Sverige. Lagen genomför EU:s NIS2-direktiv och innebär att cybersäkerhet inte längre är en IT-fråga. Det är ett ansvar för ledning och styrelse.
Organisationer som omfattas av lagen är skyldiga att utbilda både ledning och personal. Brister i efterlevnad kan leda till böter upp till tio miljoner euro eller två procent av den globala omsättningen. I allvarliga fall riskerar ansvariga personligt ansvar.
Lagen berör 18 sektorer, bland annat energi, transport, hälso- och sjukvård, livsmedel och digital infrastruktur. Men konsekvenserna sträcker sig längre: leverantörskedjor och underleverantörer dras in när kraven skärps uppåt i kedjan.
Om ni sitter i ledning eller styrelse för en organisation i dessa sektorer är beredskapsutbildning inte längre ett HR-initiativ. Det är ett ledningsansvar med rättsliga konsekvenser.
Vi hjälper er att förstå vad lagen kräver, hur ni kommunicerar det i organisationen och hur ni bygger den dokumenterbara kompetens som krävs.