Vilka omfattas av NIS2, och vem gör bedömningen

Frågan vilka omfattas av NIS2 besvaras nästan alltid med två saker: en lista på arton sektorer och en tröskel vid medelstort företag. Båda finns i svensk rätt och båda är riktiga. Tillsammans avgör de ändå inte frågan.

Cybersäkerhetslagen (2025:1506) genomför NIS2-direktivet i Sverige och trädde i kraft den 15 januari 2026. Tillämpningsområdet står i sex bestämmelser, och storleken är ett villkor i bara två av dem. Den tröskeln kan dessutom falla i båda riktningarna. Och det led som brukar läsas först, uppdelningen mellan väsentliga och viktiga verksamhetsutövare, svarar på en annan fråga än den läsaren ställde.

Ingen myndighet talar om för er att lagen gäller

Identifieringen ligger på verksamheten själv. Myndigheten för civilt försvar skriver det rakt ut i sin vägledning för anmälan och identifiering av verksamhetsutövare, publicerad i februari 2026: "Det är verksamhetsutövaren som ska analysera om den egna verksamheten omfattas av lagstiftningen." Något besked utifrån kommer inte.

Skyldigheten som följer står i 2 kap. 2 §. Verksamhetsutövare ska så snart det kan ske anmäla sig till den myndighet som regeringen bestämmer, och om de förhållanden som har redovisats i en anmälan har ändrats ska förändringen anmälas senast fjorton dagar efter att den ägde rum.

De fjorton dagarna gäller alltså ändringen och inte den första anmälan. För den första anmälan sätter lagen ingen bortre gräns. Vad som finns är en startpunkt: föreskrifterna om anmälan och identifiering, MCFFS 2026:1, beslutades den 8 januari 2026 och trädde i kraft den 2 februari 2026. Skyldigheten har alltså löpt i ett halvår utan att någon dag har varit den sista.

En skyldighet utan slutdatum blir aldrig försenad, och det är just det som gör den lätt att skjuta.

Mottagaren har däremot bytt. Anmälningarna togs först emot av Myndigheten för civilt försvar, vars cyberverksamhet den 1 juli 2026 gick över till Nationellt cybersäkerhetscenter vid Försvarets radioanstalt. Post- och telestyrelsen skriver att anmälan görs dit oavsett vilken sektor verksamheten tillhör. En anmälan som förbereddes i våras och blev liggande ska alltså till en annan adress i dag.

Vilka omfattas av NIS2: sex bestämmelser, två med storlekskrav

Tillämpningsområdet står i 1 kap. 3 till 8 §§. Var och en av dem bär sina egna villkor.

Storleken återkommer i 7 § 1, men gör där ett annat arbete. Bestämmelsen kräver att verksamhetsutövaren uppfyller kravet i 4 § 3 eller något av kraven i 5 § 1 till 3. En liten molnleverantör som är enda leverantören i Sverige av en väsentlig tjänst omfattas alltså utan att nå golvet, medan en stor omfattas på storleken allena. I 4 § är storleken nödvändig, i 7 § är den den ena av två vägar in, och i de fyra övriga bestämmelserna prövas den inte alls.

Två detaljer i 4 § avgör oftare än storleken gör. Den ena är att lagen inte pekar på sektorn utan på verksamhetstypen. Bilagornas tredje kolumn räknar upp typer av verksamhetsutövare, och en verksamhet kan höra hemma i en av de arton sektorer som Nationellt cybersäkerhetscenter räknar upp utan att vara någon av de uppräknade typerna. Den andra är etableringskravet, som avgör om det är svensk eller något annat lands rätt som prövas.

Storlekströskeln kan falla åt två håll

Kravet i 1 kap. 4 § 3 är att verksamheten storleksmässigt motsvarar eller är större än ett medelstort företag, och måttstocken är kommissionens rekommendation 2003/361/EG. Vägledningen återger den: ett medelstort företag har färre än 250 anställda och en omsättning på upp till 50 miljoner euro eller en balansomslutning på upp till 43 miljoner euro, medan ett litet företag har färre än 50 anställda och högst 10 miljoner euro. Golvet ligger alltså vid gränsen mellan litet och medelstort.

Uppåt flyttas golvet av koncernberäkningen. Vägledningen skriver att en verksamhetsutövare som inte på egen hand är tillräckligt stor för att omfattas ändå kan omfattas "när beräkningen av storlek inkluderar anknutna företag eller partnerföretag". Ett svenskt dotterbolag med trettio anställda kan alltså nå över golvet därför att koncernen gör det.

Nedåt flyttas golvet av 3 kap. 1 § i MCFFS 2026:1. Den som bara uppfyller storlekskravet genom sin anknytning till andra företag ska undantas från lagens tillämpningsområde om driften och förvaltningen av den egna produktionsmiljön i allt väsentligt bedrivs oberoende av produktionsmiljön hos partnerföretagen eller de anknutna företagen, och om verksamhetsutövaren i övrigt har en så hög grad av oberoende att det skulle vara oproportionerligt att omfattas.

Och helt bort faller golvet i 1 kap. 5 §. Kriterierna där hänvisar till kraven i 4 § 1 och 2, alltså till bilagorna och till etableringen, men inte till 4 § 3. Storleken prövas inte. En liten verksamhet som är enda leverantören i Sverige av en tjänst som är väsentlig för kritisk samhällelig verksamhet omfattas på samma grund som en stor.

Väsentlig eller viktig avgör tillsynen, inte tillämpningen

Uppdelningen i 1 kap. 9 § läses ofta som en tredje kategori bredvid att omfattas och att inte omfattas. Det är den inte. Paragrafens sista mening stänger frågan: "Verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare." Den som är innanför är antingen det ena eller det andra, och den som är utanför är ingetdera.

Skillnaden ligger i två andra saker. Tillsynen över väsentliga verksamhetsutövare är planlagd, medan tillsynen över viktiga enligt vägledningen bara kan utövas efter indikation på eller efter att en incident har inträffat. Och taket för sanktionsavgiften skiljer sig. Enligt 4 kap. 10 § bestäms avgiften till lägst 5 000 kronor och högst till det högsta av 2 procent av den totala globala årsomsättningen närmast föregående räkenskapsår eller ett belopp motsvarande 10 000 000 euro för en väsentlig enskild verksamhetsutövare, det högsta av 1,4 procent eller 7 000 000 euro för en viktig, och 10 000 000 kronor för en offentlig verksamhetsutövare.

Ordvalet i 9 § skiljer sig dessutom från 4 §. Tillämpningsområdet kräver att verksamheten "storleksmässigt motsvarar eller är större än ett medelstort företag". Väsentlighetsregeln kräver att den är "större än ett medelstort företag". Ett medelstort företag i bilaga 1 är alltså innanför lagen och viktigt, inte väsentligt, och den som letar efter sig själv i listan över väsentliga och inte hittar sig har inte fått något besked om att lagen inte gäller.

Föreskrifterna namnger verksamheter som lagtexten inte gör

MCFFS 2026:1 är meddelade med stöd av 38 § cybersäkerhetsförordningen (2025:1507). Föreskrifterna fyller ut fyra saker: undantaget för partnerföretag och anknutna företag från storlekskravet, vad som är huvudsakligt etableringsställe, vilka ytterligare verksamhetsutövare som omfattas enligt 1 kap. 5 § 1 till 3, och vilka som ska räknas som väsentliga enligt 1 kap. 9 § första stycket 6.

Föreskrifternas fjärde kapitel är det som gör frågan konkret. Inom transporter omfattas samtliga beredskapsflygplatser, flygkontrolltjänster, karantänshamnar och skyddade platser. Inom dricksvatten omfattas den som producerar eller distribuerar dricksvatten enligt lagen (2006:412) om allmänna vattentjänster till minst 20 000 personer eller till akutsjukhus. Inom kemikalier omfattas den som tillverkar eller förädlar mer än ett ton om året av tillsatser eller insatsvaror med avgörande betydelse för storskalig kemikalieproduktion inom bland annat dricksvattenrening, avloppsrening, livsmedelsförädling och växtskyddsmedel, och som är registrerad enligt förordning (EG) nr 1907/2006.

Det är den sortens gräns som avgör enskilda fall. Två kommunala vattenverk med samma personalstyrka och samma budget hamnar på olika sidor av 20 000 personer, och den skillnaden syns inte i något av de tal en organisation normalt jämför sig med.

Tre bestämmelser tar ut verksamheter ur skyldigheterna

Läsningen ovan kan låta som att kretsen är obestämd och att varje verksamhet därför bör anta att den är innanför. Den slutsatsen bär inte.

1 kap. 5 § skapar inget tillämpningsområde ur ingenting. Bestämmelsen kräver uttryckligen kraven i 4 § 1 och 2, alltså att verksamheten är en av de typer som räknas upp i bilagorna och är etablerad i Sverige. Det den tar bort är golvet, inte listan.

Åt andra hållet går tre bestämmelser. 1 kap. 10 § ger företräde åt andra författningar med krav på säkerhetsåtgärder eller incidentrapportering, om verkan av dem minst motsvarar verkan av skyldigheterna i 2 kap. 3 till 10 §§. 1 kap. 11 § undantar den som omfattas av DORA från samma skyldigheter, en gränsdragning som tillsammans med AI-förordningen (EU AI Act) behandlas närmare i Vem rapporterar vad när NIS2, DORA och AI-förordningen möts. Och 1 kap. 12 § tar undan statliga myndigheter som till övervägande del bedriver säkerhetskänslig eller brottsbekämpande verksamhet, samt enskilda verksamhetsutövare som enbart bedriver säkerhetskänslig verksamhet eller enbart erbjuder tjänster till sådana myndigheter, med undantag för den som tillhandahåller betrodda tjänster.

Den som läser undantagen ordentligt har oftare mindre att göra efteråt än före.

Bilden som blir kvar är inte en vid krets utan en krets med ojämna kanter. Felet kan gå åt båda hållen. En verksamhet kan lägga ett år på skyldigheter den inte har, och en annan kan sakna en anmälan som skulle ha gjorts i februari, och båda har läst samma sektorslista.

Två frågor som ger olika svar i samma sektor

Bedömningen är avgränsad och görs på verksamhetens egna uppgifter. Två frågor bär den, och de ger olika svar för organisationer som ser likadana ut utifrån.

Den första: kommer ni in genom en bestämmelse som inte prövar storlek? Det gäller varje region, kommun och kommunalförbund, varje leverantör av allmänna elektroniska kommunikationsnät, varje registreringsenhet för toppdomäner och varje DNS-tjänst, och därutöver var och en som träffas av något av kriterierna i 1 kap. 5 §. Kriterierna i 5 § 1 till 3 är kvalitativa. Enda leverantören i Sverige, eller särskild betydelse på regional nivå för en sektor som är beroende av verksamheten: två verksamheter av samma storlek i samma bransch kan svara olika, och ingen utomstående gör bedömningen åt dem.

Den andra: om ni når storlekströskeln, når ni den på egen hand? Ett dotterbolag som bara kommer över golvet genom koncernen har ett undantag att pröva i 3 kap. 1 § MCFFS 2026:1, och det undantaget hänger på hur oberoende den egna produktionsmiljön faktiskt drivs. Två dotterbolag med samma omsättning svarar olika beroende på var deras drift ligger.

Kalendern gör frågan tidsatt. Föreskrifterna om incidentrapportering och informationsskyldighet, MCFFS 2026:8, trädde i kraft den 1 juli 2026. Föreskrifterna om säkerhetsåtgärder och ledningens utbildning, MCFFS 2026:11, och om säkerhetsrevision och säkerhetsskanning, MCFFS 2026:12, träder i kraft den 1 oktober 2026. Den som ännu inte har avgjort om lagen gäller har två månader kvar innan kraven på själva säkerhetsarbetet börjar löpa.

Svaret ska sedan stå skrivet på ett ställe: den bestämmelse ni kom in genom, datumet för anmälan, klassificeringen som väsentlig eller viktig, och namnet på den som gjorde bedömningen. Utan det dokumentet gör två personer i samma organisation varsin bedömning vid varsin tidpunkt. Ett energibolag eller en nätägare och en kommun eller region kommer in genom olika bestämmelser men har samma dokument att skriva, och det hör hemma i samma AI governance och regelefterlevnad som en verksamhet ändå bygger för AI-förordningen.