NIS 2 status in Sweden
Wat de richtlijn eist, hoe Zweden die laat heeft omgezet, en waar het NCSC van de FRA en CERT-SE in het geheel passen.
Overview
The NIS 2 directive is the EU layer. It binds every member state, including Sweden, with one cybersecurity floor for essential and important entities. Sweden must put that floor into Swedish law and run a supervision regime under it.
Sweden missed the EU transposition deadline of 17 October 2024. The European Commission issued a reasoned opinion on 7 May 2025 for failure to notify full transposition. Only the Cybersäkerhetslagen (SFS 2025:1506), issued on 11 December 2025 and in force since 15 January 2026, finally carried the directive into Swedish statute.
Sinds 1 juli 2026 is de National Defence Radio Establishment (Försvarets radioanstalt, FRA), via haar National Cyber Security Centre (NCSC), het centrale contactpunt en CSIRT voor NIS 2. MCF (Myndigheten för civilt försvar, voorheen MSB) vervulde deze rollen van 15 januari tot 30 juni 2026. CERT-SE blijft de naam van het nationale CSIRT en maakt nu deel uit van het NCSC. Het toezicht is gedecentraliseerd: PTS voor digitale infrastructuur, digitale aanbieders, ICT-dienstenbeheer, post en ruimtevaart; Energimyndigheten voor energie; Transportstyrelsen voor vervoer en voertuigproductie; Finansinspektionen voor bankwezen en financiëlemarktinfrastructuur; IVO voor zorgaanbieders en Läkemedelsverket voor de rest van de gezondheidszorg; Livsmedelsverket voor drinkwater, afvalwater en voedsel; en zes provinciale bestuursorganen voor afval, onderzoek, openbaar bestuur, chemie en maakindustrie.
EU directive
Directive (EU) 2022/2555 (NIS 2)
The EU-wide cybersecurity directive. Sets the obligations every member state must transpose, including the size and sector tests for essential and important entities. The transposition deadline was 17 October 2024.
EU implementation
Commission Implementing Regulation (EU) 2024/2690
Technische en methodologische eisen voor DNS-aanbieders, TLD-registers, cloud-, datacenter- en CDN-aanbieders, aanbieders van beheerde (beveiligings)diensten, online marktplaatsen, zoekmachines, sociale netwerken en verleners van vertrouwensdiensten. Rechtstreeks van toepassing in Zweden zonder nationale omzetting.
Swedish transposition
Cybersäkerhetslagen (SFS 2025:1506), in force since 15 January 2026
De Zweedse NIS 2-omzetting. Uitgevaardigd op 11 december 2025 op basis van Proposition 2025/26:28 'Ett starkt skydd för nätverks- och informationssystem'. Vergezeld van de Cybersäkerhetsförordning (SFS 2025:1507) en regels van de autoriteiten. Heft de NIS 1-wet van 2018 (2018:1174) op, die nog van toepassing is op overtredingen die vóór 15 januari 2026 zijn begaan.
Cybersäkerhetslagen (SFS 2025:1506)
Carries the NIS 2 obligations into Swedish law. The Commission had opened an infringement procedure with a reasoned opinion on 7 May 2025. With the Cybersäkerhetslagen, in force since 15 January 2026, Sweden is formally transposed. The accompanying Cybersäkerhetsförordning and sector-regulator rules fill in the operational detail.
NCSC bij de FRA als centraal contactpunt en CSIRT, sectorale autoriteiten als toezichthouders
Zweden kent een gedecentraliseerd toezichtsmodel. Sinds 1 juli 2026 is de FRA, via haar National Cyber Security Centre (NCSC), het centrale contactpunt en het CSIRT (CERT-SE). Daarvoor, vanaf 15 januari 2026, vervulde MCF beide rollen. Het toezicht ligt bij de sectorale autoriteiten die in de Cybersäkerhetsförordning worden genoemd: PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Läkemedelsverket, Livsmedelsverket en zes provinciale bestuursorganen.
Registration and reporting
Entiteiten binnen de reikwijdte moeten zich zo snel mogelijk registreren bij het centrale contactpunt. De registratie is geopend op 2 februari 2026. Sinds 1 juli 2026 is het adres het NCSC bij de FRA, per e-mail naar nis2anmalan@ncsc.se. Wijzigingen moeten binnen 14 dagen worden doorgegeven. Significante incidenten worden via CERT-SE aan het NCSC gemeld, via cyberportal.ncsc.se, in het ritme van de richtlijn: vroege waarschuwing binnen 24 uur, melding binnen 72 uur, eindrapport binnen een maand. Voor verleners van vertrouwensdiensten moet de incidentmelding binnen 24 uur plaatsvinden.
Local law applies inside Sweden
Activiteiten op Zweeds grondgebied volgen de Zweedse omzetting. Een Duitse Geschäftsführer die een Zweedse dochter leidt, leest voor die dochter de Cybersäkerhetslagen (SFS 2025:1506), niet de Duitse BSIG. De verplichtingen uit de richtlijn zijn dezelfde; de procedure, het registratieadres en de sancties staan in het Zweedse recht.
Sweden cannot go below the EU floor
The directive is a minimum harmonisation instrument. Sweden can go stricter and has used some of that headroom, in particular through a 'whole-entity' approach that captures the full organisation rather than only the service-providing part. Sweden cannot drop below the directive on essential and important entity duties, incident reporting deadlines or management body accountability.
NCSC bij de FRA (tot 30 juni 2026: MCF)
Het National Cyber Security Centre bij de Försvarets radioanstalt (FRA). Sinds 1 juli 2026 centraal contactpunt en CSIRT voor NIS 2, en het adres voor registraties en incidentmeldingen. Van 15 januari tot 30 juni 2026 lagen deze rollen bij MCF (Myndigheten för civilt försvar, tot 31 december 2025 MSB genoemd). Sectoraal toezicht ligt hier niet; dat ligt bij de sectorale autoriteiten.
CERT-SE
Het nationale CSIRT van Zweden, sinds 1 juli 2026 onderdeel van het National Cyber Security Centre bij de FRA (daarvoor bij MCF). Ontvangt meldingen van significante incidenten onder NIS 2 via cyberportal.ncsc.se, ondersteunt entiteiten 24/7 en wisselt informatie uit binnen het EU CSIRTs Network. Bereikbaar via cert@cert.se.
ENISA
Het cyberbeveiligingsagentschap van de EU. Publiceert richtsnoeren, beheert de Europese kwetsbaarhedendatabank en ondersteunt grensoverschrijdende coördinatie. Geen toezichthouder voor Zweedse entiteiten; dat zijn de sectorale autoriteiten.
Sweden and Germany regulate this the same way.
De verplichtingen uit de richtlijn zijn identiek, de structuren niet. Duitsland centraliseert het toezicht via het BSI onder de BSIG. Zweden splitst de rollen: het NCSC bij de FRA is het centrale contactpunt en beheert CERT-SE, terwijl het toezicht bij een reeks sectorale autoriteiten ligt. Een Duitse moeder met een Zweedse dochter heeft voor die dochter de sectorale autoriteit nodig als toezichtadres, niet het NCSC.
As long as nobody contacts me, I am out of scope.
Zoals de meeste lidstaten hanteert Zweden een model van zelfclassificatie. Een entiteit die aan de grootte- en sectortoets van de richtlijn voldoet, is een verplichte entiteit, ongeacht of een autoriteit een lijst publiceert. Entiteiten moesten zich vanaf 2 februari 2026 zo snel mogelijk registreren, sinds 1 juli 2026 bij het NCSC bij de FRA. Een ontbrekende brief van de autoriteiten is geen verweer tegen sancties.
We only deal with our sector regulator.
De sectorale autoriteit is de toezichthouder, en het NCSC bij de FRA is zowel het registratieadres als, via CERT-SE, het incidentkanaal. In de praktijk raakt NIS 2-werk beide: registratie en incidentmeldingen bij het NCSC, doorlopend toezicht door PTS, Energimyndigheten, Finansinspektionen of een andere sectorale autoriteit. Een van beide als enige tegenpartij beschouwen is een verkeerde lezing van de Zweedse opzet.
Most Swedish operators we see spent the whole of 2025 in limbo. Until mid-December 2025 the Cybersäkerhetslagen sat at the Riksdag as Proposition 2025/26:28 and nothing more. The consequence: many managing directors paused their NIS 2 work, then had to compress notification and first documentation into the window shortly after 15 January 2026.
De praktische stap is dezelfde als overal in de EU: bevestig de reikwijdte onder de richtlijn, registreer u bij het NCSC bij de FRA, zet de vier doorlopende verplichtingen op (registratie bijhouden, incidentmelding, toeleveringsketenrisico, toezicht door het leidinggevend orgaan) en documenteer het minimum. De sectorale autoriteit blijft het toezichtadres; het NCSC en CERT-SE zijn de operationele kanalen.
- Directive (EU) 2022/2555 (NIS 2): EUR-Lex
- Commission Implementing Regulation (EU) 2024/2690
- Cybersäkerhetslagen (SFS 2025:1506): Sveriges riksdag
- Proposition 2025/26:28 'Ett starkt skydd för nätverks- och informationssystem': Sveriges riksdag
- National Cyber Security Centre (NCSC) bij de FRA: ncsc.se (registratie en incidentmelding onder de Cybersäkerhetslagen)
- CERT-SE: Zweeds nationaal CSIRT (sinds 1 juli 2026 onderdeel van het NCSC bij de FRA)
- European Commission: NIS2 Directive implementation in Sweden (digital-strategy.ec.europa.eu)
- PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Livsmedelsverket: sector regulators
- SFS 2026:623, wijziging van de Cybersäkerhetsförordning (2025:1507)
In de praktijk
Wat de nationale wet verandert, en wat niet
De nationale wet bepaalt onder meer waar u zich registreert en aan wie u incidenten meldt. De maatregelen zelf gaan in elke lidstaat uit van dezelfde minimumlijst (art. 21 NIS 2). De begeleide doorloop neemt u er stap voor stap doorheen:
De doorloop zelf is in het Duits en het Engels.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
