Vem rapporterar vad när NIS2, DORA och AI-förordningen möts

Cybersäkerhetslagen trädde i kraft den 15 januari 2026. DORA har tillämpats sedan den 17 januari 2025. AI-förordningens artikel 73 om rapportering av allvarliga incidenter ligger i kapitel IX och tillämpas från den 2 augusti 2026. Tre regelverk, skrivna oberoende av varandra, och en driftorganisation som ska veta vilket av dem som gäller den natt något går sönder.

Föreställningen som följer med rubrikerna är att en verksamhet med AI i ett samhällsviktigt system får tre uppsättningar frister på halsen samtidigt. Den stämmer inte. Det som stämmer i stället är obekvämare, eftersom det handlar om en klocka som ingen har satt någon yttre gräns för.

Två av klockorna kan aldrig gå igång samtidigt

Cybersäkerhetslagen (2025:1506) genomför NIS2-direktivet i Sverige. I 1 kap. 11 § undantas verksamhetsutövare som omfattas av förordning (EU) 2022/2554, alltså DORA, från skyldigheterna i 2 kap. 3 till 10 §§. Där ligger både kraven på riskhantering och hela incidentrapporteringen.

Finansinspektionen skriver samma sak rakt ut i sin information om den nya lagen, publicerad i januari 2026: "Dora-förordningen har företräde framför den nya cybersäkerhetslagen för finansiella företag."

Undantaget är däremot inte fullständigt, och det är den delen som brukar tappas bort. "Finansiella företag omfattas dock av anmälningskravet i den nya cybersäkerhetslagen", skriver myndigheten i samma text. Ett kreditinstitut ska alltså anmäla sin verksamhet enligt cybersäkerhetslagen, sedan den 1 juli 2026 till Nationellt cybersäkerhetscenter vid Försvarets radioanstalt dit anmälningarna gick över från Myndigheten för civilt försvar, men rapportera sina incidenter enligt DORA, till Finansinspektionen, som i sin tur för dem vidare.

Företräde betyder att ett annat regelverk tar över, inte att en skyldighet försvinner.

För den som ska bygga processen betyder det något konkret. Ingen svensk verksamhet har både NIS2-klockan och DORA-klockan att förhålla sig till vid samma incident. Antingen är ni verksamhetsutövare enligt cybersäkerhetslagen, eller så är ni en finansiell entitet under DORA. Det som däremot kan läggas ovanpå endera är AI-förordningens rapportering, och den fungerar inte som någon av dem.

Klockorna bredvid varandra

Tidsfristerna i cybersäkerhetslagen står i 2 kap. 5, 6 och 8 §§. DORA anger i artikel 19 vilka rapporter som ska lämnas, medan de faktiska fristerna står i artikel 5 i den delegerade förordningen och återges av Finansinspektionen. AI-förordningens frister står i artikel 73.

Tre saker skiljer raderna åt mer än timtalen gör. Mottagaren är olika i varje regelverk. Startpunkten är olika: kännedom i det ena fallet, en genomförd klassificering i det andra. Och den nedersta raden saknar bortre gräns, samtidigt som den är den enda av AI-förordningens rader som ligger på den som faktiskt kör systemet. Samma tvådagarsfrist gäller enligt artikel 73.3 även vid en utbredd överträdelse, och inte bara vid störningar i kritisk infrastruktur. Vid dödsfall gäller enligt artikel 73.4 tio dagar i stället för femton.

Förordningens svenska lydelse kallar den som driftsätter ett system för tillhandahållare och den som byggt det för leverantör. Termerna är lätta att förväxla åt fel håll, och förväxlingen är dyr här, eftersom den avgör vem som ska göra vad.

Undantaget i artikel 73 kräver att leverantören själv är reglerad

Artikel 73.9 innehåller den samordningsregel som oftast åberopas och sällan läses. I förordningens engelska lydelse: "For high-risk AI systems referred to in Annex III that are placed on the market or put into service by providers that are subject to Union legislative instruments laying down reporting obligations equivalent to those set out in this Regulation, the notification of serious incidents shall be limited to those referred to in Article 3, point (49)(c)."

Villkoret gäller alltså leverantören, inte den som använder systemet. Är leverantören ett programvarubolag utan egna rapporteringsskyldigheter enligt unionsrätten faller lättnaden bort, och det gäller de flesta leverantörer av modeller och beslutsstöd. Är leverantören däremot själv en reglerad entitet krymper skyldigheten till artikel 3.49 c, alltså till incidenter som innebär åsidosättande av skyldigheter enligt unionsrätten avsedda att skydda grundläggande rättigheter. Just den kategori som rör kritisk infrastruktur, artikel 3.49 b, försvinner då ur rapporteringen.

Vad som är likvärdiga rapporteringsskyldigheter definieras inte i artikeln. Artikel 73.7 ålägger kommissionen att utfärda särskild vägledning senast den 2 augusti 2025. Vägledningen och den tillhörande mallen publicerades hösten 2025 och står fortfarande som utkast på kommissionens AI Act Service Desk. Bedömningen görs alltså tills vidare av den som ska rapportera.

Lättnaden för finansinstitut gäller övervakningen, inte anmälan

Artikel 26.5 har ett andra stycke som är värt att läsa långsamt. För tillhandahållare som är finansinstitut och som omfattas av krav på interna styrelseformer enligt unionsrätten om finansiella tjänster ska övervakningsskyldigheten i första stycket anses vara uppfylld genom att de reglerna följs.

Ordet är övervakningsskyldigheten. I samma första stycke står också skyldigheten att vid en konstaterad allvarlig incident omedelbart informera först leverantören och därefter importören eller distributören och marknadskontrollmyndigheterna. Den skyldigheten namnges inte i undantaget. En bank som lutar sig mot sitt ramverk för intern styrning har därmed täckt uppsikten över systemet, men har inte fått något besked om anmälan av en konstaterad incident.

Vem som omfattas av vad, och hur få som omfattas av allt

Cybersäkerhetslagen träffar verksamhetsutövare i arton sektorer, enligt Nationellt cybersäkerhetscenter. Storlekskriteriet är att verksamheten motsvarar eller är större än ett medelstort företag, med kommissionens rekommendation 2003/361/EG som måttstock, medan kommuner och regioner omfattas oavsett storlek.

DORA träffar en annan krets. I remisspromemorian till sina DORA-föreskrifter, daterad i september 2024, skriver Finansinspektionen att antalet företag som berörs av de nya föreskrifterna sammantaget uppgår till cirka 1 300. Talet avser de företag föreskrifterna riktar sig till och är myndighetens egen uppskattning inför att regelverket började tillämpas.

AI-förordningens rapportering är smalare än båda. Den utlöses av en allvarlig incident i ett AI-system med hög risk, och huvudskyldigheten ligger på leverantören. Vilka system som är högrisk avgörs av bilaga III och bilaga I, och de kraven börjar gälla den 2 december 2027 respektive den 2 augusti 2028. Vad som flyttades och vad som inte gjorde det behandlas i Två rapporteringsklockor startar när ett AI-system fallerar.

Uppdelningen går därför att skriva ned på en rad. En verksamhetsutövare enligt cybersäkerhetslagen, ett energibolag eller en nätägare, får NIS2-klockan och AI-förordningens, eftersom undantaget i 1 kap. 11 § bara träffar den som omfattas av DORA. Ett finansiellt företag får DORA-klockan och AI-förordningens. Ingen får alla tre. För kritisk infrastruktur är det alltså fortfarande NIS2 och AI-förordningen som möts i samma incident.

Samordningen finns. Den samordnar bara inte tiden.

Tre verkliga samordningsmekanismer har just räknats upp, och de väger tyngre än uppräkningen av klockor: 1 kap. 11 § i cybersäkerhetslagen, artikel 73.9 och andra stycket i artikel 26.5. De tar bort dubbelrapportering, de pekar ut vilket regelverk som gäller, och de gör den samlade bördan betydligt mindre än den marknad som säljer oro påstår. En verksamhet som har läst dem har mindre att göra, inte mer.

Mottagarsidan drar åt samma håll för en del av läsarna. Genom regeringsbeslutet av den 12 juni 2026, diarienummer Fi2026/01365, är Finansinspektionen marknadskontrollmyndighet för finanssektorn, Post- och telestyrelsen för telekommunikation och radioutrustning, Läkemedelsverket för medicintekniska produkter och Integritetsskyddsmyndigheten för övriga områden. Beslutet omfattar en femte myndighet, Styrelsen för ackreditering och teknisk kontroll, vars uppgift ligger vid sidan av incidentrapporteringen. En bank rapporterar därmed både sin DORA-incident och sin AI-incident till samma myndighet. Ett energibolag rapporterar till CSIRT-enheten och till Integritetsskyddsmyndigheten, som inte har något med varandra att göra. I beslutet anges att uppdraget ska pågå till och med den 31 december 2026, och den permanenta ordningen ligger fortfarande som förslag i SOU 2025:101.

Vad ingen av mekanismerna gör är att samordna tiden. De fördelar skyldigheter mellan regelverk, aldrig mellan timmar. Ingen regel säger i vilken ordning trösklarna ska prövas, och trösklarna mäter olika saker: betydande incident enligt cybersäkerhetslagen, allvarlig IKT-relaterad incident enligt DORA, allvarlig incident enligt AI-förordningen.

Den tröskel som har kortast frist är sällan den ett driftteam prövar först.

Skillnaden mellan de tre trösklarna är inte akademisk. En störning som återställs helt inom några timmar kan vara betydande utan att vara oåterkallelig, och en modell som under månader har producerat systematiskt fel utfall kan vara oåterkallelig utan att någon enskild driftstörning har inträffat.

Frågan som avgör vilken klocka som är er

Ställ två frågor om varje AI-system ni kör, i den här ordningen.

Den första: vilken cyberregim gäller organisationen, cybersäkerhetslagen eller DORA? Svaret är alltid ett av två, aldrig båda, och det avgör mottagare, frister och tröskel för hela incidentrutinen.

Den andra: är leverantören av systemet själv skyldig att rapportera enligt unionsrätten? För ett bolag som köpt sin modell av en systemleverantör utan egen tillsyn blir svaret nej, och då står AI-förordningens tvådagarsfrist kvar hos den leverantören, räknad från när leverantören eller, i tillämpliga fall, ni fick kännedom. För den som köpt funktionen inbäddad hos en reglerad motpart blir svaret ja, och skyldigheten krymper till en kategori som sällan uppstår i drift.

De två svaren ger fyra utfall, och varje organisation har bara ett av dem. Vilket det är ska stå skrivet på ett enda ställe, tillsammans med tröskeln, mottagaren och namnet på den som gör bedömningen. Utan det dokumentet gör två team varsin bedömning vid varsin tidpunkt, och det ena av dem har ett dygn på sig.