Om ni har hört att NIS2-registreringen ska vara inne senast den 30 september 2026 har ni hört fel. Det datumet finns inte i den svenska cybersäkerhetslagen, inte i förordningen och inte i någon föreskrift. Det cirkulerar ändå brett, ofta i texter som också pekar ut fel myndighet.
Här är vad som faktiskt gäller för anmälan enligt cybersäkerhetslagen, vad som händer den 1 oktober och vad ni bör göra om ni inte har anmält er ännu.
Finns det en deadline den 30 september?
Nej. Vi har gått igenom cybersäkerhetslagen (2025:1506), cybersäkerhetsförordningen (2025:1507), föreskrifterna och myndigheternas egna tidsplaner. Datumet förekommer inte i någon av dem.
Påståendet cirkulerar i automatgenererat innehåll som spreds under våren, ofta i kombination med uppgiften att anmälan görs hos Myndigheten för samhällsskydd och beredskap. Även det är fel, vilket vi återkommer till.
Vad lagen faktiskt säger
Cybersäkerhetslagen trädde i kraft den 15 januari 2026. Anmälningstjänsten öppnade den 2 februari 2026, samma dag som föreskriften om anmälan och identifiering började gälla.
Lagen sätter ingen kalenderdag. Formuleringen är att en verksamhetsutövare ska anmäla sig så snart det kan ske. Myndigheten har kommunicerat att tillsynsmyndigheterna kan komma att vidta åtgärder om anmälan inte kommit in inom fjorton dagar, vilket i praktiken pekade på mitten av februari 2026.
Den tidpunkten är alltså passerad sedan länge. Har ni inte anmält er är ni inte sena till en kommande deadline, ni är sena mot en frist som gick ut i vintras.
För ändringar finns däremot en tydlig frist i lagen: har förhållandena i en redan gjord anmälan ändrats ska ni anmäla det så snart det kan ske, dock senast fjorton dagar efter att förändringen ägde rum.
Vem tar emot anmälan
Det här har ändrats under året, vilket förklarar en del av förvirringen.
- Fram till den 30 juni 2026 togs anmälningarna emot av Myndigheten för civilt försvar (MCF).
- Från den 1 juli 2026 tas de emot av Nationellt cybersäkerhetscenter (NCSC) vid FRA, dit cyberverksamheten flyttades.
Myndigheten för samhällsskydd och beredskap är alltså inte mottagande myndighet för NIS2-anmälan. Tillsynen i sig utövas sedan av den sektorsansvariga tillsynsmyndigheten, till exempel Energimyndigheten eller Post- och telestyrelsen beroende på verksamhet.
Så gör ni om ni inte anmält er
- Avgör om ni omfattas. Två villkor ska vara uppfyllda samtidigt: att verksamheten ligger i en av de arton utpekade sektorerna och att den storleksmässigt minst motsvarar ett medelstort företag. Vår guide omfattas ert företag av NIS2 går igenom bedömningen.
- Räkna storleken rätt. Minst 50 sysselsatta eller både en omsättning och en balansomslutning över 10 miljoner euro. Partnerföretag och koncernbolag räknas in, så ett dotterbolag med 30 anställda kan omfattas genom sin koncern.
- Anmäl er till NCSC. Anmälan görs via deras e-tjänst eller formulär. Ni behöver uppgifter om verksamheten, kontaktpersoner och vilken sektor ni tillhör.
- Vänta inte på att bli tillfrågade. En sen anmälan är betydligt bättre än ingen. Att anmäla sig självmant efter fristen är inte samma sak som att bli upptäckt vid en tillsyn.
- Anmäl ändringar löpande. Byter ni kontaktperson eller ändras verksamheten gäller fjortondagarsfristen.
Det som faktiskt händer den 1 oktober 2026
Här ligger det datum som borde stå i kalendern. Det handlar inte om anmälan.
Den 1 oktober 2026 träder föreskrifterna om säkerhetsåtgärder och om ledningens utbildning i kraft, tillsammans med föreskrifterna om säkerhetsrevisioner och säkerhetsskanningar.
Två konsekvenser är värda att lyfta:
Ledningens utbildningsplikt blir skarp. Cybersäkerhetslagen lägger ansvaret på de personer som ingår i ledningen, inte på it-avdelningen. Det gäller vd och styrelse.
Kraven följer med ut i avtalen. För avtal som gäller eller tecknas efter den 1 oktober ska kraven föras vidare till leverantörer. Det betyder att även bolag som inte själva omfattas kommer att möta dem, via kunder som gör det. Det är samma mönster vi beskrivit i kundkravens nya väg.
Om ni inte omfattas
De flesta svenska SME gör inte det. Sektorlistan är bred men inte allomfattande. Ett vanligt konsult- eller tjänstebolag hamnar utanför.
Men gör bedömningen en gång och skriv ner den. Två skäl: dels för att kunna svara på frågan när en kund ställer den i en leverantörsenkät, dels för att bedömningen kan ändras när ni växer eller när koncernstrukturen förändras. En anteckning med datum och motivering räcker.
Sedan är cybersäkerhetslagen bara ett av flera regelverk som slår in när ett bolag växer. Att inte omfattas av NIS2 betyder inte att ingenting gäller.
Vanliga frågor (FAQ)
Vi missade fristen i februari. Vad händer nu? Anmäl er så snart ni kan. Lagen anger ingen sanktion kopplad specifikt till en sen anmälan. Tillsynsmyndigheten beslutar självständigt om åtgärder. Att självmant rätta till det väger tyngre än att vänta.
Var anmäler vi oss? Till NCSC vid FRA sedan den 1 juli 2026. Inte till MSB, som ofta anges felaktigt.
Vi är ett litet bolag i en utpekad sektor. Omfattas vi? Storlekskriteriet ska också vara uppfyllt, men räkna in partnerföretag och koncernbolag innan ni drar slutsatsen. Vissa mindre aktörer omfattas dessutom oavsett storlek, till exempel den som är ensam leverantör av en väsentlig tjänst.
Vad kostar det att inte följa lagen? Sanktionsavgifterna är kännbara: upp till två procent av den globala årsomsättningen eller tio miljoner euro för väsentliga verksamhetsutövare och 1,4 procent eller sju miljoner euro för viktiga. Beloppen tar sikte på bristande efterlevnad av kraven, inte på en sen anmälan i sig.
Måste ledningen gå en utbildning? Ja, för verksamheter som omfattas. Kravet blir skarpt den 1 oktober 2026 och riktar sig mot personerna i ledningen.
Vilka tidsfrister gäller vid en incident? Tidig varning inom 24 timmar, incidentanmälan inom 72 timmar och slutrapport inom en månad. Vår genomgång av incidenthantering på 72 timmar beskriver flödet.
Var Polaris kommer in
Polaris håller reda på vilka regelverk som gäller er, vad ni behöver kunna visa upp och när något ändras. Bedömningen av om ni omfattas av NIS2 dokumenteras med datum och motivering, så att den går att svara på när en kund frågar.
Den här artikeln är allmän vägledning, inte juridisk rådgivning. Uppgifterna är kontrollerade mot cybersäkerhetslagen, cybersäkerhetsförordningen och myndigheternas publicerade tidsplaner den 9 september 2026. Regelverket utvecklas löpande; kontrollera aktuellt läge hos NCSC och er sektorsansvariga tillsynsmyndighet.
