Vem omfattas av Cybersäkerhetslagen (NIS2)?

3 § Lagen gäller för en verksamhetsutövare som är
1. en statlig myndighet med befogenhet att fatta beslut som påverkar
fysiska eller juridiska personers rättigheter när det gäller gränsöverskridande rörlighet för personer, varor, tjänster eller kapital, och
2. en region, en kommun eller ett kommunalförbund.
De övriga statliga myndigheter som regeringen bestämmer ska också
omfattas av lagen.

4 § Lagen gäller också för en verksamhetsutövare som
1. omfattas av bilaga 1 eller 2 till NIS 2-direktivet i den ursprungliga 4 lydelsen, men inte av 5 § 4, 6 § eller 7 § 1–3, eller är en enskild utbildningsanordnare med tillstånd att utfärda examina enligt lagen (1993:792)
om tillstånd att utfärda vissa examina,
2. är etablerad i Sverige, och
3. storleksmässigt motsvarar eller är större än ett medelstort företag.

5 § Lagen gäller också för en verksamhetsutövare som uppfyller kraven
i 4 § 1 och 2, om
1. verksamhetsutövaren är den enda leverantören av en tjänst i Sverige
som är väsentlig för att upprätthålla kritisk samhällelig eller ekonomisk
verksamhet,

2. en störning av den tjänst som verksamhetsutövaren tillhandahåller
kan ha en betydande påverkan på skyddet för människors liv och hälsa,
allmän säkerhet eller folkhälsa eller kan medföra betydande systemrisker,
3. verksamhetsutövaren har särskild betydelse på nationell eller regional
nivå för en särskild sektor eller typ av tjänst, eller för andra sektorer som
är beroende av verksamhetsutövaren, eller
4. verksamhetsutövaren tillhandahåller betrodda tjänster

6 § Lagen gäller också för en verksamhetsutövare som i Sverige tillhandahåller allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster.

7 § Lagen gäller också för en verksamhetsutövare som har huvudsakligt
etableringsställe i Sverige eller en företrädare som är etablerad här, om
verksamhetsutövaren
1. uppfyller kravet i 4 § 3 eller kraven i någon av 5 § 1–3 och erbjuder
molntjänster, datacentraltjänster, nätverk för leverans av innehåll, utlokaliserade driftstjänster, utlokaliserade säkerhetstjänster, marknadsplatser
online, sökmotorer eller plattformar för sociala nätverkstjänster,
2. är en registreringsenhet för toppdomäner,
3. erbjuder DNS-tjänster, eller
4. erbjuder domännamnsregistreringstjänster.

8 § Som väsentlig verksamhetsutövare räknas
1. en verksamhetsutövare som är en statlig myndighet,
2. en verksamhetsutövare som är större än ett medelstort företag och
som
a) är en kommun eller en region,
b) i övrigt omfattas av bilaga 1 till NIS 2-direktivet i den ursprungliga
lydelsen men inte av 7 § 2 eller 3, eller
c) är en enskild utbildningsanordnare med tillstånd att utfärda examina
enligt lagen (1993:792) om tillstånd att utfärda vissa examina,
3. en verksamhetsutövare som avses i 6 § och som storleksmässigt motsvarar eller är större än ett medelstort företag,
4. en verksamhetsutövare som avses i 7 § 2 eller 3,
5. en verksamhetsutövare som är en kvalificerad tillhandahållare av
betrodda tjänster, och
6. en verksamhetsutövare som räknas som väsentlig enligt föreskrifter
som har meddelats med stöd av 14 § andra stycket 2.
Verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare.

9 § Om det i lag eller annan författning finns bestämmelser som innehåller krav på säkerhetsåtgärder eller incidentrapportering ska de bestämmelserna gälla om verkan av kraven minst motsvarar verkan av skyldigheterna enligt 2 kap. 3–10 §§, med beaktande av bestämmelsernas omfattning samt vilken tillsyn och vilka sanktioner som är kopplade till kraven i
bestämmelserna.

10 § Denna lag gäller inte för verksamhetsutövare som har undantagits
enligt artikel 2.4 i Europaparlamentets och rådets förordning
(EU) 2022/2554 av den 14 december 2022 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr
1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och
(EU) 2016/1011 (DORA-förordningen).
För en verksamhetsutövare som omfattas av DORA-förordningen gäller
inte skyldigheterna enligt 2 kap. 3–10 §§.

Säkerhetskänslig verksamhet och brottsbekämpande verksamhet
11 § Denna lag gäller inte för en statlig myndighet som till övervägande
del bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen
(2018:585) eller som till övervägande del bedriver brottsbekämpande
verksamhet.
Lagen gäller inte heller för en enskild verksamhetsutövare som enbart
bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen eller
som enbart erbjuder tjänster till sådana statliga myndigheter som avses i
första stycket.
För andra verksamhetsutövare som till någon del bedriver sådan verksamhet eller erbjuder sådana tjänster som avses i första eller andra stycket
gäller inte skyldigheterna i 2 kap. 3–10 §§ för den delen av verksamheten.
Undantagen i första–tredje styckena gäller inte för en verksamhetsutövare som tillhandahåller betrodda tjänster.

12 § Skyldigheterna att lämna uppgifter enligt denna lag gäller inte uppgifter som är säkerhetsskyddsklassificerade enligt säkerhetsskyddslagen
(2018:585).

13 § Denna lag gäller inte för regeringen, Regeringskansliet, utlandsmyndigheter, kommittéväsendet, myndigheter under riksdagen, domstolar
och nämnder som utövar rättskipning.
Lagen gäller inte heller för förbundsfullmäktige eller förbundsdirektion i ett kommunalförbund, kommunfullmäktige och regionfullmäktige.