Cybersäkerhetslagen (2025:1506) är den svenska lag som genomför EU:s NIS2-direktiv. Den trädde i kraft 15 januari 2026 och ersätter den tidigare NIS-lagen (2018:1174). För svenska organisationer är det denna lag som binder, medan NIS2 är EU-ramen bakom.

Lagen beskrivs som den mest omfattande förändringen av svenska cybersäkerhetskrav på över ett decennium och berör omkring 8 000 organisationer i 18 samhällsviktiga sektorer, indelade i väsentliga och viktiga entiteter. Tröskeln går i huvudsak vid minst 50 anställda eller en omsättning över 10 miljoner euro inom en omfattad sektor. Kraven gäller riskhantering, incidentrapportering, personligt ledningsansvar och sanktionsavgifter, där den högsta nivån anges till 10 miljoner euro eller 2 procent av global årsomsättning.

Tillsynen delas mellan flera myndigheter: MSB samordnar, medan PTS, Finansinspektionen och Energimyndigheten ansvarar för sina respektive sektorer. Detaljerade krav kommer i myndighetsföreskrifter, vilket gör att regleringsstrukturen fortfarande fylls på under 2026. Uppdatering 2026-09: registrering hos MSB via NIS2-portalen krävs senast 30 september 2026; full efterlevnad för väsentliga entiteter senast 31 december 2026.