Status NIS 2 w Szwecji
Czego wymaga dyrektywa, jak Szwecja ją spóźnioną transponowała oraz gdzie w tym obrazie umiejscowione są NCSC przy FRA i CERT-SE.
Przegląd
Dyrektywa NIS 2 to warstwa UE. Wiąże każde państwo członkowskie, w tym Szwecję, jednym progiem cyberbezpieczeństwa dla podmiotów kluczowych i ważnych. Szwecja musi wpisać ten próg do prawa szwedzkiego i prowadzić pod nim reżim nadzoru.
Szwecja przekroczyła unijny termin transpozycji 17 października 2024 r. Komisja Europejska wydała uzasadnioną opinię 7 maja 2025 r. za niezgłoszenie pełnej transpozycji. Dopiero Cybersäkerhetslagen (SFS 2025:1506), wydana 11 grudnia 2025 r. i obowiązująca od 15 stycznia 2026 r., ostatecznie wprowadziła dyrektywę do szwedzkiej ustawy.
Od 1 lipca 2026 r. Försvarets radioanstalt (FRA, Krajowy Zakład Radiowy Obrony), przez swoje Krajowe Centrum Cyberbezpieczeństwa (NCSC), jest pojedynczym punktem kontaktowym i CSIRT dla NIS 2. MCF (Myndigheten för civilt försvar, dawniej MSB) pełnił te role od 15 stycznia do 30 czerwca 2026 r. CERT-SE pozostaje nazwą krajowego CSIRT i jest teraz częścią NCSC. Nadzór jest zdecentralizowany: PTS dla infrastruktury cyfrowej, dostawców cyfrowych, zarządzania usługami ICT, usług pocztowych i przestrzeni kosmicznej; Energimyndigheten dla energii; Transportstyrelsen dla transportu i produkcji pojazdów; Finansinspektionen dla bankowości i infrastruktury rynków finansowych; IVO dla świadczeniodawców opieki zdrowotnej i Läkemedelsverket dla reszty ochrony zdrowia; Livsmedelsverket dla wody pitnej, ścieków i żywności; oraz sześć zarządów administracyjnych okręgów (county administrative boards) dla odpadów, badań naukowych, administracji publicznej, chemikaliów i produkcji.
Dyrektywa UE
Directive (EU) 2022/2555 (NIS 2)
Ogólnoeuropejska dyrektywa o cyberbezpieczeństwie. Ustanawia obowiązki, które każde państwo członkowskie musi transponować, w tym testy wielkości i sektora dla podmiotów kluczowych i ważnych. Termin transpozycji upłynął 17 października 2024 r.
Wdrożenie UE
Commission Implementing Regulation (EU) 2024/2690
Wymogi techniczne i metodyczne dla dostawców DNS, rejestrów TLD, dostawców chmury, centrów danych i CDN, dostawców usług zarządzanych (bezpieczeństwa), internetowych platform handlowych, wyszukiwarek, sieci społecznościowych i dostawców usług zaufania. Bezpośrednio stosowane w Szwecji bez transpozycji krajowej.
Szwedzka transpozycja
Cybersäkerhetslagen (SFS 2025:1506), obowiązuje od 15 stycznia 2026 r.
Szwedzka transpozycja NIS 2. Wydana 11 grudnia 2025 r. na podstawie Proposition 2025/26:28 „Ett starkt skydd för nätverks- och informationssystem”. Wraz z Cybersäkerhetsförordning (SFS 2025:1507) oraz przepisami wydanymi przez organy. Uchyla ustawę NIS 1 z 2018 r. (2018:1174), która nadal stosuje się do naruszeń popełnionych przed 15 stycznia 2026 r.
Cybersäkerhetslagen (SFS 2025:1506)
Wprowadza obowiązki NIS 2 do prawa szwedzkiego. Komisja wszczęła postępowanie w sprawie uchybienia zobowiązaniom z uzasadnioną opinią 7 maja 2025 r. Wraz z Cybersäkerhetslagen, obowiązującą od 15 stycznia 2026 r., Szwecja jest formalnie transponowana. Towarzysząca Cybersäkerhetsförordning oraz przepisy regulatorów sektorowych uzupełniają szczegóły operacyjne.
NCSC przy FRA jako SPOC i CSIRT, regulatorzy sektorowi jako nadzorcy
Szwecja prowadzi zdecentralizowany model nadzoru. Od 1 lipca 2026 r. FRA, przez swoje Krajowe Centrum Cyberbezpieczeństwa (NCSC), jest pojedynczym punktem kontaktowym i CSIRT (CERT-SE). Wcześniej, od 15 stycznia 2026 r., obie role pełniło MCF. Nadzór spoczywa na organach sektorowych wymienionych w Cybersäkerhetsförordning: PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Läkemedelsverket, Livsmedelsverket oraz sześć zarządów administracyjnych okręgów.
Rejestracja i zgłaszanie
Podmioty objęte zakresem muszą zarejestrować się u pojedynczego punktu kontaktowego jak najszybciej. Rejestracja ruszyła 2 lutego 2026 r. Od 1 lipca 2026 r. adresem jest NCSC przy FRA, e-mailem na nis2anmalan@ncsc.se. Zmiany należy zgłaszać w ciągu 14 dni. Poważne incydenty zgłasza się do NCSC przez CERT-SE za pośrednictwem cyberportal.ncsc.se w rytmie dyrektywy: 24-godzinne wczesne ostrzeżenie, 72-godzinne zgłoszenie, jednomiesięczne sprawozdanie końcowe. Dla dostawców usług zaufania zgłoszenie incydentu jest wymagane w ciągu 24 godzin.
Wewnątrz Szwecji stosuje się prawo lokalne
Operacje na terytorium szwedzkim podlegają szwedzkiej transpozycji. Niemiecki Geschäftsführer prowadzący szwedzką spółkę zależną czyta dla tej spółki Cybersäkerhetslagen (SFS 2025:1506), a nie niemiecką BSIG. Obowiązki dyrektywy są takie same; procedura, adres rejestracji i sankcje żyją w prawie szwedzkim.
Szwecja nie może zejść poniżej progu UE
Dyrektywa to instrument harmonizacji minimalnej. Szwecja może iść surowiej i wykorzystała część tego marginesu, w szczególności poprzez podejście „całopodmiotowe”, które obejmuje całą organizację, a nie tylko część świadczącą usługi. Szwecja nie może zejść poniżej dyrektywy w zakresie obowiązków podmiotów kluczowych i ważnych, terminów zgłaszania incydentów ani rozliczalności organu zarządzającego.
NCSC przy FRA (do 30 czerwca 2026 r.: MCF)
Krajowe Centrum Cyberbezpieczeństwa przy Försvarets radioanstalt (FRA). Pojedynczy punkt kontaktowy i CSIRT dla NIS 2 od 1 lipca 2026 r. oraz adres rejestracji i zgłoszeń incydentów. Od 15 stycznia do 30 czerwca 2026 r. te role pełniło MCF (Myndigheten för civilt försvar, do 31 grudnia 2025 r. nazywane MSB). Nadzór sektorowy nie spoczywa tutaj; spoczywa na organach sektorowych.
CERT-SE
Krajowy CSIRT dla Szwecji, od 1 lipca 2026 r. część Krajowego Centrum Cyberbezpieczeństwa przy FRA (wcześniej przy MCF). Przyjmuje zgłoszenia poważnych incydentów na podstawie NIS 2 przez cyberportal.ncsc.se, wspiera podmioty 24/7 i wymienia informacje wewnątrz sieci CSIRT-ów UE. Dostępny pod adresem cert@cert.se.
ENISA
Unijna agencja ds. cyberbezpieczeństwa. Publikuje wytyczne, zarządza europejską bazą danych o podatnościach i wspiera koordynację transgraniczną. Nie jest nadzorcą dla podmiotów szwedzkich; są nimi organy sektorowe.
Szwecja i Niemcy regulują to tak samo.
Obowiązki dyrektywy są identyczne, struktury nie. Niemcy centralizują nadzór przez BSI na podstawie BSIG. Szwecja dzieli role: NCSC przy FRA jest pojedynczym punktem kontaktowym i prowadzi CERT-SE, podczas gdy nadzór spoczywa na zestawie organów sektorowych. Niemiecki podmiot dominujący ze szwedzką spółką zależną potrzebuje organu sektorowego jako adresu nadzoru dla tej spółki, a nie NCSC.
Dopóki nikt się ze mną nie kontaktuje, jestem poza zakresem.
Jak większość państw członkowskich, Szwecja prowadzi model samoklasyfikacji. Podmiot, który spełnia test wielkości i sektora dyrektywy, jest podmiotem zobowiązanym, niezależnie od tego, czy jakikolwiek organ publikuje listę. Podmioty musiały zarejestrować się jak najszybciej od 2 lutego 2026 r., od 1 lipca 2026 r. w NCSC przy FRA. Brak pisma od organów nie jest obroną przed sankcjami.
Mamy do czynienia tylko z naszym regulatorem sektorowym.
Organ sektorowy jest nadzorcą, a NCSC przy FRA jest zarówno adresem rejestracji, jak i, przez CERT-SE, kanałem incydentów. W praktyce praca z NIS 2 dotyka obu: rejestracja i zgłoszenia incydentów do NCSC, bieżący nadzór ze strony PTS, Energimyndigheten, Finansinspektionen lub innego organu sektorowego. Traktowanie któregokolwiek z nich jako jedynego partnera to błędne odczytanie szwedzkiej architektury.
Większość szwedzkich operatorów, których widzimy, spędziła cały 2025 r. w zawieszeniu. Do połowy grudnia 2025 r. Cybersäkerhetslagen leżała w Riksdagu jako Proposition 2025/26:28 i nic więcej. Konsekwencja: wielu dyrektorów zarządzających wstrzymało prace nad NIS 2, a potem musiało skompresować powiadomienie i pierwszą dokumentację w okno krótko po 15 stycznia 2026 r.
Praktyczny ruch jest taki sam jak wszędzie indziej w UE: potwierdź zakres na podstawie dyrektywy, zarejestruj się w NCSC przy FRA, ustanów cztery ciągłe obowiązki (utrzymanie rejestracji, zgłaszanie incydentów, ryzyko łańcucha dostaw, nadzór organu zarządzającego) i udokumentuj minimum. Regulator sektorowy pozostaje adresem nadzoru; NCSC i CERT-SE to kanały operacyjne.
- Directive (EU) 2022/2555 (NIS 2): EUR-Lex
- Commission Implementing Regulation (EU) 2024/2690
- Cybersäkerhetslagen (SFS 2025:1506): Sveriges riksdag
- Proposition 2025/26:28 „Ett starkt skydd för nätverks- och informationssystem”: Sveriges riksdag
- National Cyber Security Centre (NCSC) przy FRA: ncsc.se (rejestracja i zgłaszanie incydentów na podstawie Cybersäkerhetslagen)
- CERT-SE: szwedzki krajowy CSIRT (od 1 lipca 2026 r. część NCSC przy FRA)
- Komisja Europejska: wdrożenie dyrektywy NIS2 w Szwecji (digital-strategy.ec.europa.eu)
- PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Livsmedelsverket: regulatorzy sektorowi
- SFS 2026:623, zmiana Cybersäkerhetsförordning (2025:1507)
W praktyce
Co zmienia prawo krajowe, a czego nie
Prawo krajowe określa między innymi, gdzie się rejestrujesz i komu zgłaszasz incydenty. Same środki wychodzą w każdym państwie członkowskim z tej samej minimalnej listy (art. 21 NIS 2). Przewodnik prowadzi przez nie krok po kroku:
Sam przewodnik jest po niemiecku i po angielsku.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
