NIS 2 Status in Schweden
Was die Richtlinie fordert, wie Schweden sie verspätet umgesetzt hat, und wo das NCSC der FRA und CERT-SE im Bild stehen.
Überblick
Die NIS 2 Richtlinie ist die EU Ebene. Sie bindet jeden Mitgliedstaat, auch Schweden, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Schweden muss dieses Niveau in schwedisches Recht überführen und eine Aufsicht darunter führen.
Schweden hat die EU Umsetzungsfrist vom 17. Oktober 2024 verfehlt. Die Europäische Kommission hat am 7. Mai 2025 eine mit Gründen versehene Stellungnahme wegen fehlender vollständiger Notifizierung an Schweden gerichtet. Erst mit der Cybersäkerhetslagen (SFS 2025:1506), ausgefertigt am 11. Dezember 2025 und in Kraft seit dem 15. Januar 2026, ist die Umsetzung im Gesetzbuch verankert.
Seit dem 1. Juli 2026 ist die Försvarets radioanstalt (FRA) mit ihrem Nationalen Cybersicherheitszentrum (NCSC) zentrale Anlaufstelle und CSIRT nach NIS 2. Vom 15. Januar bis 30. Juni 2026 lagen diese Rollen bei MCF (Myndigheten för civilt försvar, vormals MSB). CERT-SE bleibt der Name des nationalen CSIRT und gehört jetzt zum NCSC. Die Aufsicht ist dezentral: PTS für digitale Infrastruktur, digitale Anbieter, IKT Dienstleistungsmanagement, Post und Weltraum; Energimyndigheten für Energie; Transportstyrelsen für Verkehr und Fahrzeugbau; Finansinspektionen für Banken und Finanzmarktinfrastrukturen; IVO für Gesundheitsdienstleister und Läkemedelsverket für den übrigen Gesundheitssektor; Livsmedelsverket für Trinkwasser, Abwasser und Lebensmittel; sechs Provinzialregierungen für Abfall, Forschung, öffentliche Verwaltung, Chemie und verarbeitendes Gewerbe.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU-weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen- und Sektorprüfung für wesentliche und wichtige Einrichtungen. Umsetzungsfrist war der 17. Oktober 2024.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Anforderungen für DNS Anbieter, TLD Registries, Cloud, Rechenzentrums und CDN Anbieter, Managed (Security) Service Provider, Online Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter. In Schweden unmittelbar anwendbar, ohne nationale Umsetzung.
Schwedische Umsetzung
Cybersäkerhetslagen (SFS 2025:1506), in Kraft seit dem 15. Januar 2026
Die schwedische NIS 2 Umsetzung. Ausgefertigt am 11. Dezember 2025 auf Basis der Proposition 2025/26:28 'Ett starkt skydd för nätverks- och informationssystem'. Begleitet von der Cybersäkerhetsförordning (SFS 2025:1507) sowie Vorschriften der Behörden. Hebt das NIS 1 Gesetz von 2018 (2018:1174) auf, das für Verstöße vor dem 15. Januar 2026 weiter gilt.
Cybersäkerhetslagen (SFS 2025:1506)
Bringt die NIS 2 Pflichten in schwedisches Recht. Die Kommission hatte am 7. Mai 2025 ein Vertragsverletzungsverfahren mit begründeter Stellungnahme eröffnet. Mit der Cybersäkerhetslagen, in Kraft seit dem 15. Januar 2026, ist Schweden formal umgesetzt. Begleitende Cybersäkerhetsförordning und Vorschriften der Sektorbehörden füllen den operativen Detailrahmen.
NCSC bei der FRA als Anlaufstelle und CSIRT, Sektorbehörden als Aufsicht
Schweden setzt auf ein dezentrales Aufsichtsmodell. Seit dem 1. Juli 2026 ist die FRA mit ihrem Nationalen Cybersicherheitszentrum (NCSC) zentrale Anlaufstelle und CSIRT (CERT-SE). Davor, ab dem 15. Januar 2026, lagen beide Rollen bei MCF. Die Aufsicht liegt bei den Sektorbehörden der Cybersäkerhetsförordning: PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Läkemedelsverket, Livsmedelsverket und sechs Provinzialregierungen.
Registrierung und Meldung
Erfasste Einrichtungen müssen sich so bald wie möglich bei der zentralen Anlaufstelle anmelden, die Anmeldung ist seit dem 2. Februar 2026 offen. Seit dem 1. Juli 2026 ist das NCSC bei der FRA die Adresse, per E-Mail an nis2anmalan@ncsc.se. Änderungen sind binnen 14 Tagen zu melden. Erhebliche Sicherheitsvorfälle gehen über CERT-SE an das NCSC, über cyberportal.ncsc.se, im Takt der Richtlinie: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat. Für Vertrauensdiensteanbieter ist die Meldung nach 24 Stunden fällig.
In Schweden gilt schwedisches Recht
Aktivitäten auf schwedischem Staatsgebiet folgen der schwedischen Umsetzung. Ein deutscher Geschäftsführer mit schwedischer Tochter liest für diese Tochter die Cybersäkerhetslagen (SFS 2025:1506), nicht das BSIG. Die Richtlinienpflichten sind identisch. Verfahren, Anmeldestelle und Sanktionen stehen aber im schwedischen Recht.
Schweden darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Schweden darf strenger werden und hat in einigen Punkten von der Spielraumklausel Gebrauch gemacht, etwa beim 'whole-entity' Ansatz, der die gesamte Einrichtung erfasst, nicht nur den dienstebenden Teil. Schweden darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Verantwortung des Leitungsorgans.
NCSC bei der FRA (bis 30. Juni 2026: MCF)
Das Nationale Cybersicherheitszentrum bei der Försvarets radioanstalt (FRA). Seit dem 1. Juli 2026 zentrale Anlaufstelle und CSIRT für NIS 2 und Adresse für Anmeldungen und Vorfallmeldungen. Vom 15. Januar bis 30. Juni 2026 lagen diese Rollen bei MCF (Myndigheten för civilt försvar, bis 31. Dezember 2025 MSB). Die Sektoraufsicht liegt nicht hier, sondern bei den Sektorbehörden.
CERT-SE
Das nationale CSIRT für Schweden, seit dem 1. Juli 2026 Teil des Nationalen Cybersicherheitszentrums bei der FRA (davor bei MCF). Nimmt erhebliche Sicherheitsvorfälle nach NIS 2 über cyberportal.ncsc.se entgegen, unterstützt Einrichtungen 24/7 und tauscht Informationen im EU CSIRT Netzwerk aus. Erreichbar unter cert@cert.se.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht für schwedische Einrichtungen. Die liegt bei den Sektorbehörden.
Schweden und Deutschland regeln das gleich.
Die Pflichten aus der Richtlinie sind identisch, die Strukturen nicht. Deutschland setzt mit dem BSI auf eine zentrale Aufsicht über das BSIG. Schweden trennt: Das NCSC bei der FRA ist zentrale Anlaufstelle und betreibt CERT-SE, die Aufsicht liegt bei einer Reihe von Sektorbehörden. Eine deutsche Mutter mit schwedischer Tochter braucht für die Tochter die Sektorbehörde als Aufsichtsadresse, nicht das NCSC.
Solange ich nicht angeschrieben werde, bin ich nicht im Scope.
Schweden arbeitet wie die meisten Mitgliedstaaten mit einer Selbsteinstufung. Wer die Größen und Sektorprüfung der Richtlinie erfüllt, ist pflichtige Einrichtung, unabhängig davon, ob eine Behörde eine Liste herausgibt. Einrichtungen mussten sich ab dem 2. Februar 2026 so bald wie möglich anmelden, seit dem 1. Juli 2026 beim NCSC der FRA. Eine fehlende Aufforderung schützt nicht vor Sanktionen.
Wir reden nur mit unserer Sektorbehörde.
Die Sektorbehörde ist die Aufsicht, das NCSC bei der FRA ist Anmeldestelle und über CERT-SE die Vorfallannahme. In der Praxis berühren NIS 2 Themen beide: Anmeldung und Vorfallmeldung an das NCSC, laufende Aufsicht durch PTS, Energimyndigheten, Finansinspektionen oder eine andere Sektorbehörde. Wer nur einen Adressaten kennt, hat die schwedische Architektur halb gelesen.
Die meisten schwedischen Mittelstandsbetreiber, die uns begegnen, haben das gesamte Jahr 2025 in der Schwebe verbracht. Bis Mitte Dezember 2025 stand die Cybersäkerhetslagen nur als Proposition 2025/26:28 im Riksdag. Die Folge: viele Geschäftsführer haben die NIS 2 Vorbereitung pausiert und mussten dann kurz nach dem 15. Januar 2026 Anmeldung und Erstdokumentation parallel erledigen.
Der praktische Schritt ist der gleiche wie überall in der EU: Anwendbarkeit gegen die Richtlinie prüfen, beim NCSC der FRA anmelden, die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. Die Sektorbehörde bleibt Aufsichtsadresse, NCSC und CERT-SE die operativen Kanäle.
- Richtlinie (EU) 2022/2555 (NIS 2): EUR-Lex
- Durchführungsverordnung (EU) 2024/2690
- Cybersäkerhetslagen (SFS 2025:1506): Sveriges riksdag
- Proposition 2025/26:28 'Ett starkt skydd för nätverks- och informationssystem': Sveriges riksdag
- Nationales Cybersicherheitszentrum (NCSC) bei der FRA: ncsc.se (Anmeldung und Vorfallmeldung nach Cybersäkerhetslagen)
- CERT-SE: nationales schwedisches CSIRT (seit 1. Juli 2026 Teil des NCSC bei der FRA)
- Europäische Kommission: NIS2 Directive implementation in Sweden (digital-strategy.ec.europa.eu)
- PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Livsmedelsverket: Sektoraufsichten
- SFS 2026:623, Änderung der Cybersäkerhetsförordning (2025:1507)
In der Praxis
Was das nationale Gesetz ändert und was nicht
Das nationale Gesetz regelt unter anderem, wo Sie sich registrieren und wem Sie Vorfälle melden. Die Maßnahmen selbst gehen in jedem Mitgliedstaat von derselben Mindestliste aus (Art. 21 NIS 2). Der Durchgang führt Sie Schritt für Schritt hindurch:
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
