Cybersäkerhetslagen gäller sedan den 15 januari 2026 – och kommuner, regioner och myndigheter är mitt i arbetet: verksamheter ska identifieras och anmälas, säkerhetsåtgärder ska fungera i drift och incidenter ska rapporteras inom timmar. Balr Consulting Group tillsätter specialisterna som får det att hålla – från riskhantering och OT-säkerhet till incidentflöden och ledningsstöd. I hela Sverige.
NIS2-direktivet trädde i kraft i Sverige den 15 januari 2026 genom cybersäkerhetslagen (2025:1506) och cybersäkerhetsförordningen. Sedan den 2 februari ska verksamhetsutövare anmäla sig – kommuner och regioner uttryckligen inräknade – och identifieringen styrs av föreskrifter och vägledning. Sedan den 1 juli 2026 tas anmälningarna emot av Nationellt cybersäkerhetscenter vid FRA. Tillsynsstrukturen är på plats, och kraven på riskhantering, incidentrapportering och ledningens ansvar gäller fullt ut.
För offentlig sektor är utmaningen sällan att förstå lagen – vägledningarna är många. Utmaningen är genomförandet: en kommun rymmer ofta flera omfattade verksamheter med olika system, olika mognad och delat IT-stöd, plus bolag som är egna verksamhetsutövare. Säkerhetsåtgärderna ska ner i verklig drift – inklusive OT-miljöer som vattenverk och energianläggningar – och incidentkedjan ska fungera över förvaltningsgränserna när klockan tickar. Balr Consulting Group tillsätter specialisterna som gör jobbet: analytiker, arkitekter, OT-tekniker och incidentledare, inbäddade i er organisation.
Fyra byggstenar återkommer i varje offentlig organisation som omfattas – och alla fyra ska kunna visas i drift.
Varje verksamhetsutövare identifierar själv om den omfattas – per sektor och delsektor – klassificerar sig som väsentlig eller viktig och anmäler sig. En kommun kan behöva göra analysen för flera verksamheter och bolag.
Systematiskt, riskbaserat säkerhetsarbete: riskanalys, incidenthantering, kontinuitet och säkerhetskopiering, leverantörssäkerhet, åtkomststyrning, kryptering och utbildning – proportionerligt men verkligt.
Betydande incidenter rapporteras med tidig varning inom 24 timmar, incidentanmälan inom 72 timmar och slutrapport inom en månad – vilket förutsätter detektion, loggning och övade eskaleringsvägar.
Ledningen ska godkänna riskhanteringen, övervaka genomförandet och utbildas – i en politiskt styrd organisation gäller det både förvaltningsledning och ansvariga i styrelser och nämnder.
Det som gör cybersäkerhetslagen svårare i offentlig sektor än i de flesta företag är organisationen. En och samma kommun kan rymma offentlig förvaltning, dricksvatten och avlopp, energi, avfall och transport – verksamheter som träffas av lagen var för sig, med olika riskbilder, olika system och ofta ett gemensamt IT-stöd som ska räcka till alla. Kommunala bolag kan vara egna verksamhetsutövare med eget ansvar. Identifieringen ska organisationen göra själv, anmälan ska hållas uppdaterad, och incidentkedjan ska fungera över förvaltnings- och bolagsgränser när ett angrepp pågår. Lägg till OT-miljöerna – vattenverk, fjärrvärme, styrsystem – där säkerhetsarbetet kräver en annan kompetens än kontors-IT, och det är tydligt varför gap-analysen var den lätta delen.
Balr Consulting Group tillsätter specialisterna som tar lagen från styrdokument till drift: informationssäkerhetsanalytiker som gör identifierings- och riskarbetet, säkerhetsarkitekter och OT-tekniker som bygger åtgärderna i verklig miljö, incidentledare som sätter och övar rapporteringskedjan, och utbildare som ger ledningen det underlag ansvaret kräver. Inte fler rapporter om vad som borde göras – människorna som gör det.
Ta hela resan eller bara den del ni behöver förstärkning i. Allt utförs av specialister inbäddade i er organisation.
Vilka verksamheter och bolag omfattas, i vilka sektorer? Analys, klassificering och underlag för anmälan.
Riskanalys, åtkomststyrning, loggning, kontinuitet och leverantörssäkerhet – byggt i era miljöer, IT som OT.
Detektion, klassificering, eskaleringsvägar och rapportflöden som klarar 24- och 72-timmarsfristerna – och övas.
Utbildning för ledning, styrelser och nämnder – och rapportering som gör ansvaret möjligt att utöva.
Ja. Kommuner och regioner omfattas och ska anmäla sig – och i praktiken är en kommun ofta flera verksamhetsutövare i en: offentlig förvaltning, dricksvatten och avlopp, energi, avfallshantering och transport kan alla träffas av lagen, och kommunala bolag kan vara egna verksamhetsutövare. Varje organisation ska själv identifiera vilka verksamheter som omfattas – tillsynsmyndigheterna gör inte den bedömningen åt er.
Verksamhetsutövare ska anmäla sig sedan den 2 februari 2026, med sektor, delsektor, klassificering som väsentlig eller viktig samt identifierare mot internet. Identifieringen styrs av föreskrifterna MCFFS 2026:1 med tillhörande vägledning. Sedan den 1 juli 2026 tas anmälningarna emot av Nationellt cybersäkerhetscenter (NCSC) vid FRA, och ändringar i verksamheten ska hållas uppdaterade löpande. Vi hjälper er med identifieringsanalysen och underlagen.
Cybersäkerhetslagen kräver ett systematiskt och riskbaserat informationssäkerhetsarbete med bland annat riskanalys, incidenthantering, kontinuitetshantering och säkerhetskopiering, säkerhet i leverantörskedjan, åtkomststyrning, kryptering samt utbildning. Åtgärderna ska stå i proportion till riskerna – men de ska finnas, fungera och kunna visas i drift, inte bara i styrdokument.
Betydande incidenter ska rapporteras i flera steg: en tidig varning inom 24 timmar, en incidentanmälan inom 72 timmar och en slutrapport inom en månad. Det förutsätter att detektion, loggning, klassificeringskriterier och interna eskaleringsvägar finns på plats i förväg – i en kommun dessutom över flera förvaltningar och bolag. Rutinerna måste byggas och övas innan incidenten inträffar.
Ledningen ska godkänna riskhanteringsåtgärderna, övervaka genomförandet och genomgå utbildning i cybersäkerhet – och kan hållas ansvarig vid brister. I en politiskt styrd organisation innebär det att både förvaltningsledning och ansvariga i styrelser och nämnder behöver förstå sitt ansvar. Vi tillsätter konsulter som utbildar ledningen och bygger den rapportering som gör ansvaret möjligt att utöva.
De är olika regelverk med olika skyddsintressen: cybersäkerhetslagen skyddar samhällsviktiga tjänster, medan säkerhetsskyddslagen skyddar verksamhet av betydelse för Sveriges säkerhet. Säkerhetskänslig verksamhet är som huvudregel undantagen från cybersäkerhetslagen – men samma organisation kan ha verksamheter under båda regelverken, och gränsdragningen behöver göras medvetet. Vi tillsätter kompetens för båda spåren.
Berätta var ni står – en identifieringsanalys som ska göras, åtgärder som ska ner i drift, en incidentkedja som ska övas eller en ledning som ska utbildas. Vi återkommer oftast inom 24 timmar.
Identifiering & anmälan · Riskhantering · Incidentrapportering · OT-säkerhet · Ledningsutbildning
NIS2-efterlevnad vilar på samma kompetens som vår övriga säkerhetspraktik. Här är sidorna som ligger närmast.
Hela vårt erbjudande för myndigheter, kommuner och regioner – säkerhet, digitalisering och data.
När verksamheten rör Sveriges säkerhet – konsulter förberedda för säkerhetsprövning och SUA.
Säkerhetsarkitekter, SOC, incident response och penetrationstestare för alla branscher.
Cybersäkerhetslagens krav ur fastighetsägarens perspektiv – energi, styrsystem och leverantörskedjor.