I januari 2026 beräknas en ny svensk lag om cybersäkerhet införas. Det innebär ökade krav på både säkerhetsåtgärder, ledningens ansvar och hur incidenter hanteras och kommuniceras. Nu är rätt läge att uppdatera krisplanen och se till att förberedelserna håller när de verkligen behövs.
Den nya lagen om cybersäkerhet implementerar EU:s NIS2-direktiv. Lagen ersätter det nuvarande NIS1-direktivet och syftar till att höja nivån på cybersäkerhet inom hela unionen. Den omfattar nu fler branscher, fler organisationer och ställer högre krav på både styrning och operativ förmåga. För många svenska verksamheter innebär det skärpt ansvar och en betydligt mer omfattande struktur för säkerhetsarbetet.
Vad innebär förändringen i praktiken?
Att organisationer måste arbeta mer samlat och dokumenterat med risker, säkerhetsåtgärder och att agera snabbt när något inträffar. Man behöver kunna upptäcka, hantera och rapportera incidenter, ha planer för att upprätthålla kritiska tjänster vid störningar och ha tydliga roller och beslutsvägar när något händer.
Det handlar också om hur säkerhetsarbetet kommuniceras. Medarbetare, kunder, leverantörer och andra intressenter behöver förstå vilka principer som gäller, hur ansvar är fördelat och vad som händer vid en incident. Genomtänkt kommunikation blir en förutsättning för att skapa förtroende och för att säkerhetsarbetet ska fungera.
Samtidigt måste leverantörsledet riskbedömas och följas upp eftersom incidenter hos en leverantör kan få direkt påverkan på den egna verksamheten. Arbetet med risker ska utgå från etablerade ramverk, medarbetare behöver kontinuerlig utbildning och ledning och styrelse ska följa upp säkerhetsarbetet. Dessutom ställs krav på säkra kommunikationsvägar och att organisationen tar ställning till och dokumenterar sin användning av kryptering och andra centrala skyddsåtgärder.
Vilka omfattas?
För att omfattas av NIS2 måste tre aspekter uppfyllas: typ av verksamhet, storlek och jurisdiktion. Det är organisationen själv som bedömer om den omfattas av lagen. Verksamheter som omfattas av regelverket ska registrera sig hos Myndigheten för samhällsskydd och beredskap (MSB), som beskriver vilka lagen gäller för.
Det kan minst sagt bli kostsamt att inte följa reglerna. Sanktionerna kan uppgå till 10 miljoner euro eller 2 procent av den totala omsättningen. I vissa fall kan företrädare i ledningen förbjudas att fortsätta sina uppdrag.
Hur kan organisationer förbereda sig?
Det viktigast är att arbeta proaktivt och öva. Ju bättre förberedda ni är, desto mindre blir risken för avbrott och behovet av akuta åtgärder när något händer.
1. Uppdatera krisplanen
En cyberincident är i allra högsta grad kommunikativ. Rutiner behöver finnas för vem som säger vad, när och till vem. Det gäller såväl internt som externt – till kunder, leverantörer, myndigheter och media. I en krisplan genomför vi riskanalyser, tydliggör besluts- och kommunikationsvägar och säkerställer att ansvar, kontaktlistor och huvudbudskap finns på plats i förväg.
2. Stärk den interna kommunikationen
Medarbetare måste få snabb, tydlig och korrekt information vid en incident. Det kräver både etablerade rutiner och utbildningsmaterial som säkerställer förståelse för risker och roller. Vilka är era rutiner för den interna kommunikationen? Kom ihåg att en informerad organisation är bättre rustad att agera samlat.
3. Dokumentera och visa ert arbete
Organisationer som tydligt kan visa hur de arbetar med säkerhet står starkare inför upphandlingar och i dialogen med kunder och investerare. Dokumentation är alltså en central del av NIS2, men också av förtroendebyggande och en strategisk fördel i många sammanhang.
4. Öva innan något händer
Gemensamma övningar med ledning, IT, kommunikation samt andra viktiga funktioner, ger en realistisk bild av hur organisationen fungerar under press. Vi genomför krissimuleringar som synliggör var bristerna finns – både i processer och i kommunikationen. Det är också värdefullt att talespersoner får stöd i att hantera pressade situationer. Medie- och budskapsträning är ett viktigt verktyg där deltagare får möjlighet att öva på sina budskap och sin framtoning i samtal med intressenter.
5. Ta hjälp av experter
I och med den nya lagen är det viktigt att förbereda sig, inte minst för att undvika eventuella sanktioner och för att värna varumärkets förtroendekapital. På More PR har vi lång erfarenhet av att arbeta med kommunikation kopplad till säkerhet, risk och komplexa regelverk. Vi hjälper er att översätta kraven till tydlig kommunikation och säkra att den håller, även när den prövas i skarpt läge.

Hör av er till Hanna, så hjälper vi er att gå från krav i lagtexten till konkret kommunikation!













