Stare NIS 2 în Suedia
Ce impune directiva, cum a transpus-o Suedia cu întârziere și unde se situează NCSC de la FRA și CERT-SE în tablou.
Prezentare generală
Directiva NIS 2 este nivelul UE. Obligă fiecare stat membru, inclusiv Suedia, cu un singur prag minim de securitate cibernetică pentru entitățile esențiale și importante. Suedia trebuie să introducă acel prag în legislația suedeză și să deruleze un regim de supraveghere sub acesta.
Suedia a ratat termenul de transpunere UE de 17 octombrie 2024. Comisia Europeană a emis un aviz motivat la 7 mai 2025 pentru neîndeplinirea obligației de a notifica transpunerea completă. Abia Cybersäkerhetslagen (SFS 2025:1506), emisă la 11 decembrie 2025 și în vigoare din 15 ianuarie 2026, a introdus în cele din urmă directiva în legislația suedeză.
Din 1 iulie 2026, Försvarets radioanstalt (FRA), prin National Cyber Security Centre (NCSC) al său, este punctul unic de contact și CSIRT pentru NIS 2. MCF (Myndigheten för civilt försvar, fostă MSB) a deținut aceste roluri între 15 ianuarie și 30 iunie 2026. CERT-SE rămâne numele CSIRT-ului național și face acum parte din NCSC. Supravegherea este descentralizată: PTS pentru infrastructură digitală, furnizori digitali, gestionarea serviciilor TIC, servicii poștale și spațiu; Energimyndigheten pentru energie; Transportstyrelsen pentru transport și producția de vehicule; Finansinspektionen pentru sectorul bancar și infrastructurile piețelor financiare; IVO pentru furnizorii de servicii de sănătate și Läkemedelsverket pentru restul sănătății; Livsmedelsverket pentru apa potabilă, apele uzate și alimente; și șase consilii administrative județene pentru deșeuri, cercetare, administrație publică, substanțe chimice și producție.
Directiva UE
Directiva (UE) 2022/2555 (NIS 2)
Directiva de securitate cibernetică la nivelul UE. Stabilește obligațiile pe care fiecare stat membru trebuie să le transpună, inclusiv testele de mărime și sector pentru entitățile esențiale și importante. Termenul de transpunere a fost 17 octombrie 2024.
Implementarea UE
Regulamentul de punere în aplicare al Comisiei (UE) 2024/2690
Cerințe tehnice și metodologice pentru furnizorii de DNS, registrele TLD, furnizorii de cloud, centre de date și CDN, furnizorii de servicii (de securitate) gestionate, piețele online, motoarele de căutare, rețelele sociale și furnizorii de servicii de încredere. Direct aplicabil în Suedia fără transpunere națională.
Transpunerea suedeză
Cybersäkerhetslagen (SFS 2025:1506), în vigoare din 15 ianuarie 2026
Transpunerea suedeză a NIS 2. Emisă la 11 decembrie 2025 pe baza Proposition 2025/26:28 „Ett starkt skydd för nätverks- och informationssystem”. Însoțită de Cybersäkerhetsförordning (SFS 2025:1507) și de norme emise de autorități. Abrogă legea NIS 1 din 2018 (2018:1174), care se aplică în continuare încălcărilor săvârșite înainte de 15 ianuarie 2026.
Cybersäkerhetslagen (SFS 2025:1506)
Introduce obligațiile NIS 2 în legislația suedeză. Comisia deschisese o procedură de constatare a neîndeplinirii obligațiilor cu un aviz motivat la 7 mai 2025. Cu Cybersäkerhetslagen, în vigoare din 15 ianuarie 2026, Suedia este formal transpusă. Cybersäkerhetsförordning însoțitor și normele autorităților de reglementare sectoriale completează detaliile operaționale.
NCSC la FRA drept SPOC și CSIRT, autoritățile de reglementare sectoriale drept supraveghetori
Suedia derulează un model de supraveghere descentralizat. Din 1 iulie 2026, FRA, prin National Cyber Security Centre (NCSC) al său, este punctul unic de contact și CSIRT-ul (CERT-SE). Înainte de aceasta, din 15 ianuarie 2026, MCF a deținut ambele roluri. Supravegherea revine autorităților sectoriale enumerate în Cybersäkerhetsförordning: PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Läkemedelsverket, Livsmedelsverket și șase consilii administrative județene.
Înregistrare și raportare
Entitățile vizate trebuie să se înregistreze la punctul unic de contact cât mai curând posibil. Înregistrarea s-a deschis la 2 februarie 2026. Din 1 iulie 2026, adresa este NCSC la FRA, prin e-mail la nis2anmalan@ncsc.se. Modificările trebuie comunicate în 14 zile. Incidentele semnificative se raportează la NCSC prin CERT-SE, via cyberportal.ncsc.se, pe ritmul directivei: avertizare timpurie în 24 de ore, notificare în 72 de ore, raport final în decurs de o lună. Pentru furnizorii de servicii de încredere, notificarea incidentului se face în 24 de ore.
Legea locală se aplică în interiorul Suediei
Operațiunile pe teritoriul suedez urmează transpunerea suedeză. Un Geschäftsführer german care conduce o filială suedeză citește Cybersäkerhetslagen (SFS 2025:1506) pentru acea filială, nu BSIG-ul german. Obligațiile din directivă sunt aceleași; procedura, adresa de înregistrare și sancțiunile se află în legislația suedeză.
Suedia nu poate coborî sub pragul minim al UE
Directiva este un instrument de armonizare minimă. Suedia poate merge mai strict și a folosit o parte din această marjă, în special printr-o abordare de „entitate în ansamblu” care cuprinde întreaga organizație, nu doar partea care furnizează serviciul. Suedia nu poate coborî sub directivă în privința obligațiilor entităților esențiale și importante, a termenelor de raportare a incidentelor sau a responsabilizării organului de conducere.
NCSC la FRA (până la 30 iunie 2026: MCF)
National Cyber Security Centre de la Försvarets radioanstalt (FRA). Punct unic de contact și CSIRT pentru NIS 2 din 1 iulie 2026 și adresa pentru înregistrări și rapoarte de incidente. Între 15 ianuarie și 30 iunie 2026, aceste roluri au revenit MCF (Myndigheten för civilt försvar, numită MSB până la 31 decembrie 2025). Supravegherea sectorială nu se află aici; revine autorităților sectoriale.
CERT-SE
CSIRT-ul național pentru Suedia, parte a National Cyber Security Centre de la FRA din 1 iulie 2026 (înainte, la MCF). Primește rapoartele de incidente semnificative conform NIS 2 prin cyberportal.ncsc.se, sprijină entitățile non-stop și schimbă informații în cadrul Rețelei de CSIRT-uri a UE. Contactabil la cert@cert.se.
ENISA
Agenția UE pentru securitate cibernetică. Publică orientări, gestionează baza europeană de date privind vulnerabilitățile și sprijină coordonarea transfrontalieră. Nu este un supraveghetor pentru entitățile suedeze; autoritățile sectoriale sunt.
Suedia și Germania reglementează acest lucru în același mod.
Obligațiile din directivă sunt identice, structurile nu. Germania centralizează supravegherea prin BSI conform BSIG. Suedia împarte rolurile: NCSC de la FRA este punctul unic de contact și operează CERT-SE, în timp ce supravegherea revine unui set de autorități sectoriale. O societate-mamă germană cu o filială suedeză are nevoie de autoritatea sectorială drept adresă de supraveghere pentru acea filială, nu de NCSC.
Atât timp cât nimeni nu mă contactează, sunt în afara domeniului de aplicare.
Ca majoritatea statelor membre, Suedia derulează un model de autoclasificare. O entitate care îndeplinește testul de mărime și sector al directivei este o entitate obligată, indiferent dacă vreo autoritate publică o listă. Entitățile trebuiau să se înregistreze cât mai curând posibil de la 2 februarie 2026, iar din 1 iulie 2026 la NCSC de la FRA. O scrisoare lipsă din partea autorităților nu este o apărare împotriva sancțiunilor.
Avem de-a face doar cu autoritatea noastră de reglementare sectorială.
Autoritatea sectorială este supraveghetorul, iar NCSC de la FRA este atât adresa de înregistrare, cât și, prin CERT-SE, canalul pentru incidente. În practică, activitatea NIS 2 le atinge pe amândouă: înregistrarea și rapoartele de incidente către NCSC, supravegherea continuă de către PTS, Energimyndigheten, Finansinspektionen sau o altă autoritate sectorială. A trata pe oricare dintre ele drept singura contraparte înseamnă a citi greșit arhitectura suedeză.
Majoritatea operatorilor suedezi pe care îi vedem au petrecut tot anul 2025 în incertitudine. Până la mijlocul lui decembrie 2025, Cybersäkerhetslagen se afla la Riksdag drept Proposition 2025/26:28 și nimic mai mult. Consecința: mulți directori generali și-au pus pe pauză activitatea NIS 2, apoi au fost nevoiți să comprime notificarea și prima documentare în fereastra de la scurt timp după 15 ianuarie 2026.
Mișcarea practică este aceeași ca peste tot în UE: confirmați domeniul de aplicare conform directivei, înregistrați-vă la NCSC de la FRA, instituiți cele patru obligații continue (menținerea înregistrării, raportarea incidentelor, riscul lanțului de aprovizionare, supravegherea organului de conducere) și documentați minimul. Autoritatea de reglementare sectorială rămâne adresa de supraveghere; NCSC și CERT-SE sunt canalele operaționale.
- Directiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamentul de punere în aplicare al Comisiei (UE) 2024/2690
- Cybersäkerhetslagen (SFS 2025:1506): Sveriges riksdag
- Proposition 2025/26:28 „Ett starkt skydd för nätverks- och informationssystem”: Sveriges riksdag
- National Cyber Security Centre (NCSC) de la FRA: ncsc.se (înregistrare și raportarea incidentelor conform Cybersäkerhetslagen)
- CERT-SE: CSIRT-ul național suedez (parte a NCSC de la FRA din 1 iulie 2026)
- Comisia Europeană: implementarea Directivei NIS2 în Suedia (digital-strategy.ec.europa.eu)
- PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Livsmedelsverket: autorități de reglementare sectoriale
- SFS 2026:623, modificare a Cybersäkerhetsförordning (2025:1507)
În practică
Ce schimbă legea națională și ce nu
Legea națională stabilește, printre altele, unde vă înregistrați și cui raportați incidentele. Măsurile pornesc, în fiecare stat membru, de la aceeași listă minimă (art. 21 NIS 2). Parcursul ghidat vă conduce prin ele pas cu pas:
Parcursul în sine este în germană și engleză.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
