NIS2 för energibolag – det här gäller från 1 oktober 2026

Den 1 oktober 2026 börjar föreskrifterna om säkerhetsåtgärder gälla enligt den svenska cybersäkerhetslagen. För energibolag är det inte ännu en rapporteringsrutin att lägga till listan – det är den punkt där kraven går från att stå i en lag till att beskriva vad ni faktiskt ska ha på plats. Och ansvaret ligger inte hos IT-avdelningen. Det ligger hos styrelsen och ledningen.

Kort om lagen

Cybersäkerhetslagen (2025:1506) och cybersäkerhetsförordningen (2025:1507) trädde i kraft den 15 januari 2026. De genomför EU:s NIS2-direktiv i svensk rätt och ersätter den tidigare NIS-regleringen.

Jämfört med den gamla lagen är tre saker nya, och det är de som gör skillnad i praktiken: fler verksamheter omfattas, ledningen görs personligen ansvarig, och tillsynen har sanktionsavgifter bakom sig.

Omfattas ert bolag?

Med största sannolikhet ja. Energi listas som en högkritisk sektor i NIS2-direktivets bilaga 1, och det omfattar el, fjärrvärme och fjärrkyla, olja, gas och vätgas. Det spelar ingen roll om ni är ett kommunalt elnätsbolag med trettio anställda eller ett större energibolag – det är verksamheten som avgör, inte storleken.

Två saker följer direkt av det:

• Ni är skyldiga att anmäla er till Myndigheten för civilt försvar.

• Energimyndigheten är er tillsynsmyndighet.

Är ni osäkra på om ni omfattas är själva osäkerheten ett svar värt att agera på. Gränsdragningen görs inte av er, den görs av tillsynsmyndigheten.

Tidslinjen – de datum som gäller

15 januari 2026. Cybersäkerhetslagen och cybersäkerhetsförordningen träder i kraft. Anmälningsplikten börjar gälla.

1 juli 2026. Föreskrifterna om incidentrapportering och informationsskyldighet träder i kraft. Samtidigt flyttas det statliga cyberarbetet till Nationellt cybersäkerhetscenter (NCSC) vid FRA, som tar över ansvaret för föreskrifterna.

1 oktober 2026. Föreskrifterna om säkerhetsåtgärder och om utbildning av ledningen träder i kraft. Här konkretiseras vad ni ska ha på plats.

Vad kraven betyder för er IT-drift

NIS2 räknar upp ett antal områden där åtgärder ska vidtas. Översatt till vardagen på ett energibolag handlar det om frågor som dessa:

• Riskhantering – vet ni vilka system som inte får ligga nere, och vad som händer om de gör det?

• Kontinuitet och backup – finns det en återställningsplan, och när testades den senast på riktigt?

• Incidenthantering – vem larmar, till vem, och inom vilken tid?

• Leverantörskedjan – vilka av era leverantörer kan påverka er driftsäkerhet, och vad har ni avtalat om det?

• Åtkomst och behörigheter – vem kan logga in var, och hur vet ni det?

• Cyberhygien och utbildning – inklusive utbildning av ledningen, som är ett eget krav.

Inget av det är tekniskt märkvärdigt. Det som gör det tungt för ett mindre energibolag är att kraven ska kunna visas upp, inte bara uppfyllas. Det är skillnad på att ha ordning och på att kunna bevisa att man har ordning.

Den obekväma delen: ledningens ansvar

NIS2 flyttar ansvaret uppåt. Styrelse och ledning ska se till att verksamheten lever upp till kraven, och de ska själva genomgå utbildning. Det går inte längre att delegera bort frågan till en IT-ansvarig och betrakta den som löst.

Bristande efterlevnad kan leda till sanktionsavgifter. Men den mer närliggande konsekvensen för de flesta är enklare än så: när tillsynsmyndigheten frågar behöver någon i ledningen kunna svara.

Frågan de flesta missar: var ligger er data, och vem kan nå den?

Leverantörskedjan är det krav som oftast underskattas. Om er drift, backup eller övervakning ligger hos en tredje part är det fortfarande ni som ansvarar för att kraven uppfylls. Ni kan lägga ut driften, men inte ansvaret.

Det gör tre frågor värda att ställa till varje leverantör ni använder i dag:

• Var lagras och behandlas data rent fysiskt?

• Vilken jurisdiktion gäller för leverantören och för eventuella moderbolag?

• Vem hos leverantören kan tekniskt komma åt era system, och hur loggas det?

För verksamheter i kritisk infrastruktur är svaren på de frågorna inte en formalitet. De avgör om ni kan beskriva er egen leverantörskedja när någon frågar.

Missförståndet: serverns adress avgör inte jurisdiktionen

Det vanligaste felslutet i de här diskussionerna är att data som ligger i ett svenskt datacenter automatiskt omfattas av svensk rätt. Så är det inte.

Den amerikanska CLOUD Act från 2018 ger amerikanska brottsbekämpande myndigheter rätt att begära ut data från leverantörer som lyder under amerikansk jurisdiktion – oavsett var i världen datan fysiskt lagras. Det avgörande är alltså vem som äger och driver tjänsten, inte var servern står. Ett europeiskt dotterbolag till ett amerikanskt moderbolag kan omfattas även när hårdvaran står i Sverige.

Hur verkligt det är illustrerades i juli 2025, när Microsoft Frankrikes chef för juridik och samhällskontakter hördes under ed i den franska senaten. Han kunde inte garantera att fransk myndighetsdata aldrig skulle lämnas ut till amerikanska myndigheter. Han beskrev att bolaget har processer för att pröva och bestrida ogrundade förfrågningar – men en garanti kunde han inte ge.

Det betyder inte att amerikanska molntjänster är förbjudna. Det betyder att den här risken finns, att den inte försvinner för att datacentret ligger i Sverige, och att ni behöver kunna redogöra för den. NIS2 kräver att ni hanterar riskerna i er leverantörskedja – och en olöslig jurisdiktionskonflikt är en risk ni åtminstone måste kunna beskriva.

För en verksamhet i kritisk infrastruktur ser den avvägningen annorlunda ut än för ett bolag utan samhällsviktig funktion. Det är inte samma fråga, och den bör inte besvaras på samma sätt.

Vanliga frågor

När träder kraven i kraft?

Cybersäkerhetslagen gäller sedan 15 januari 2026. Föreskrifterna om incidentrapportering gäller sedan 1 juli 2026, och föreskrifterna om säkerhetsåtgärder och utbildning av ledningen träder i kraft 1 oktober 2026.

Omfattas små energibolag?

Ja. Energi är en högkritisk sektor och det är verksamheten som är avgörande, inte antalet anställda. Även mindre elnätsbolag och fjärrvärmebolag omfattas i normalfallet.

Vem är tillsynsmyndighet för energisektorn?

Energimyndigheten. Anmälan görs till Myndigheten för civilt försvar, och föreskrifterna förvaltas sedan 1 juli 2026 av NCSC vid FRA.

Vad händer om vi inte följer kraven?

Bristande efterlevnad kan leda till sanktionsavgifter. Ansvaret ligger hos styrelse och ledning.

Måste vår data ligga i Sverige?

Lagen ställer inget uttryckligt krav på att data ska lagras i Sverige. Men ni ska kunna redogöra för er leverantörskedja och hantera riskerna i den – och där är jurisdiktion och ägarskap två av de faktorer som är svårast att bortse ifrån.

Räcker det att leverantören har sitt datacenter i Sverige?

Nej, inte i sig. CLOUD Act utgår från vem som äger och driver tjänsten, inte från var servern står. En leverantör som lyder under amerikansk jurisdiktion kan omfattas även när hårdvaran finns i Sverige. Fråga efter ägarstrukturen, inte bara efter datacentrets adress.

Vad är CLOUD Act?

En amerikansk lag från 2018 som ger amerikanska myndigheter rätt att begära ut data från leverantörer under amerikansk jurisdiktion, oavsett var datan lagras. Den står i ett olöst spänningsförhållande till GDPR.

Räcker det att vi har backup?

Nej. Backup är ett av flera områden. Kraven omfattar också riskhantering, incidenthantering, åtkomstkontroll, leverantörskedjan och utbildning av ledningen.

Vi har lagt ut driften på en leverantör – är vi då klara?

Nej. Ni kan lägga ut driften men inte ansvaret. Ni behöver kunna visa hur leverantören uppfyller kraven.

Så arbetar ActiveCloud

ActiveCloud är en svensk IaaS-plattform i svensk ägo. All data lagras och behandlas i Sverige, driften sköts av oss, och eftersom verksamheten inte lyder under amerikansk jurisdiktion omfattas den inte av CLOUD Act. Plattformen är byggd för att möta krav kopplade till GDPR och NIS2, och vi arbetar med fastprismodell så att kostnaden går att planera även när volymerna växer.

Vi erbjuder en kostnadsfri genomgång av er nuvarande molnstruktur. Den tar 30–45 minuter, ni får en nulägesbild med risker, ansvarsfördelning och konkreta rekommendationer – och inga förpliktelser efteråt.

Den här artikeln är allmän information om regelverket och utgör inte juridisk rådgivning. För bedömning av vad som gäller er specifika verksamhet, kontakta er tillsynsmyndighet eller juridisk rådgivare.

Källor: NCSC (ncsc.se), Myndigheten för civilt försvar (mcf.se), Energiföretagen Sverige (energiforetagen.se). Uppgiften om den franska senatsutfrågningen i juli 2025 är hämtad från offentlig rapportering. Faktagranskad 11 september 2026.