För investerare
Gå till MyFondia

Juridisk rådgivning inom cybersäkerhet

Säkerhet har blivit en central del av hur organisationer leder sin verksamhet. Regleringen på området utvidgas och skärps kontinuerligt. Med hjälp av våra experter navigerar du det komplexa regelverket kring säkerhet.

Boka ett kostnadsfritt första möte
Boka ett kostnadsfritt första möte
Boka ett kostnadsfritt första möte

Hur påverkar säkerhetsregleringen organisationers verksamhet?

Säkerhetshoten mot digitala tjänster, produkter och kritisk infrastruktur ökar ständigt. Utöver cyberhot måste organisationer också förbereda sig för fysiska risker, hybridhot och störningar i sin verksamhetsmiljö. Skyldigheterna enligt säkerhetsregleringen berör i praktiken alla organisationer, oavsett bransch. Organisationers verksamhet är ju i allt högre grad beroende av fungerande informationssystem, leveranskedjor och kritiska tjänster, och störningar i dessa kan få omfattande konsekvenser för såväl enskilda organisationer som samhället i stort. EU har svarat på denna utveckling genom en omfattande reform av säkerhets- och resiliensregleringen, och de nya reglerna omfattar allt fler sektorer och organisationer. Att tillämpa den nya regleringen på den egna verksamheten medför utmaningar, men ger också möjligheten att på ett hållbart sätt stärka verksamhetens kontinuitet och kundernas förtroende.

Fondias jurister hjälper ditt företag att hantera de juridiska utmaningarna och möjligheterna inom säkerhetsreglering.

Vi hjälper våra kunder med bland annat följande:

  • Vi bedömer vilka säkerhetsregleringar som gäller för ditt företag och i vilken omfattning

  • Vi utarbetar och uppdaterar interna riktlinjer och processer för riskhantering, resiliens och incidentrapportering

  • Vi bistår vid bedömning av säkerhetskrav för leveranskedjor och partners samt vid utformning av avtalsvillkor

  • Vi genomför avtalsgranskningar och uppdaterar avtalsmallar för att tillgodose ny säkerhetsreglering

  • Vi stöttar vid myndighetsrapportering och incidenthantering

  • Vi utbildar ledning och personal i säkerhetsreglering och dess praktiska konsekvenser

  • Vi hjälper till att beakta cybersäkerhetskrav för digitala produkter redan från produktdesignstadiet

Bakgrund och nuvarande status för NIS2-direktivet

NIS2-direktivet (direktiv (EU) 2022/2555) är EU-lagstiftning som syftar till att uppnå en gemensamt hög nivå av cybersäkerhet inom unionen. Det ersätter det tidigare NIS1-direktivet och utvidgar tillämpningsområdet för skyldigheter gällande cybersäkerhet till fler sektorer och organisationer. Direktivet har nu genomförts och organisationer omfattas av den relevanta nationella lagstiftning som varje EU-medlemsstat har antagit för att genomföra det. I Sverige trädde lagen i kraft den 15 januari 2026.

Vem omfattas av NIS2-direktivet?

De tillämpliga nationella lagarna gäller för entiteter som klassificeras som väsentliga eller viktiga inom de sektorer som anges i NIS2:s bilagor, och som huvudregel omfattas åtminstone medelstora företag av tillämpningsområdet. Varje medlemsstat har utsett en eller flera behöriga myndigheter med ansvar för att övervaka efterlevnaden, samt en eller flera CSIRT-enheter (Computer Security Incident Response Teams) med ansvar för att hantera och utreda incidenter, liksom en nationell cybersäkerhetsstrategi och ett ramverk för hantering av cyberkriser.

Centrala skyldigheter

De nationella lagarna kräver att väsentliga och viktiga entiteter vidtar lämpliga och proportionerliga tekniska, operativa och organisatoriska åtgärder för att hantera cybersäkerhetsriskerna för sina nätverks- och informationssystem, inom områden såsom riskanalys, incidenthantering, kontinuitet i verksamheten, säkerhet i leveranskedjan samt säkerheten i nätverks- och informationssystem. Ledningen ska godkänna och övervaka dessa åtgärder samt genomgå relevant utbildning. Vid betydande incidenter ska en varning rapporteras inom 24 timmar från det att incidenten upptäcktes, en uppföljande incidentanmälan ska göras inom 72 timmar, och en slutrapport skickas inom en månad. Medlemsstaterna har utsett behöriga myndigheter för att övervaka efterlevnaden. Bristande efterlevnad kan leda till administrativa sanktionsavgifter på upp till 10 miljoner euro eller 2 % av den globala årsomsättningen för väsentliga entiteter, och upp till 7 miljoner euro eller 1,4 % av den globala årsomsättningen för viktiga entiteter, beroende på vilket belopp som är högst.

Hur kan Fondia hjälpa dig?

Vi hjälper dig med att bedöma om ditt företag omfattas av de nationella lagarna som en väsentlig eller viktig entitet, och att i praktiken bygga upp de riskhanterings- och rapporteringsprocesser som krävs, med beaktande av det särskilda nationella genomförande som är tillämpligt på din verksamhet. Tveka inte att kontakta våra experter om du vill diskutera en fråga som rör NIS2 mer i detalj.

Bakgrund och nuvarande status för NIS2-direktivet

NIS2-direktivet (direktiv (EU) 2022/2555) är EU-lagstiftning som syftar till att uppnå en gemensamt hög nivå av cybersäkerhet inom unionen. Det ersätter det tidigare NIS1-direktivet och utvidgar tillämpningsområdet för skyldigheter gällande cybersäkerhet till fler sektorer och organisationer. Direktivet har nu genomförts och organisationer omfattas av den relevanta nationella lagstiftning som varje EU-medlemsstat har antagit för att genomföra det. I Sverige trädde lagen i kraft den 15 januari 2026.

Vem omfattas av NIS2-direktivet?

De tillämpliga nationella lagarna gäller för entiteter som klassificeras som väsentliga eller viktiga inom de sektorer som anges i NIS2:s bilagor, och som huvudregel omfattas åtminstone medelstora företag av tillämpningsområdet. Varje medlemsstat har utsett en eller flera behöriga myndigheter med ansvar för att övervaka efterlevnaden, samt en eller flera CSIRT-enheter (Computer Security Incident Response Teams) med ansvar för att hantera och utreda incidenter, liksom en nationell cybersäkerhetsstrategi och ett ramverk för hantering av cyberkriser.

Centrala skyldigheter

De nationella lagarna kräver att väsentliga och viktiga entiteter vidtar lämpliga och proportionerliga tekniska, operativa och organisatoriska åtgärder för att hantera cybersäkerhetsriskerna för sina nätverks- och informationssystem, inom områden såsom riskanalys, incidenthantering, kontinuitet i verksamheten, säkerhet i leveranskedjan samt säkerheten i nätverks- och informationssystem. Ledningen ska godkänna och övervaka dessa åtgärder samt genomgå relevant utbildning. Vid betydande incidenter ska en varning rapporteras inom 24 timmar från det att incidenten upptäcktes, en uppföljande incidentanmälan ska göras inom 72 timmar, och en slutrapport skickas inom en månad. Medlemsstaterna har utsett behöriga myndigheter för att övervaka efterlevnaden. Bristande efterlevnad kan leda till administrativa sanktionsavgifter på upp till 10 miljoner euro eller 2 % av den globala årsomsättningen för väsentliga entiteter, och upp till 7 miljoner euro eller 1,4 % av den globala årsomsättningen för viktiga entiteter, beroende på vilket belopp som är högst.

Hur kan Fondia hjälpa dig?

Vi hjälper dig med att bedöma om ditt företag omfattas av de nationella lagarna som en väsentlig eller viktig entitet, och att i praktiken bygga upp de riskhanterings- och rapporteringsprocesser som krävs, med beaktande av det särskilda nationella genomförande som är tillämpligt på din verksamhet. Tveka inte att kontakta våra experter om du vill diskutera en fråga som rör NIS2 mer i detalj.

Bakgrund och nuvarande status för cyberresiliensförordningen (Cyber Resilience Act)

Cyberresiliensförordningen (CRA) är en EU-förordning som fastställer cybersäkerhetskrav för produkter med digitala element. Förordningen är direkt tillämplig lag i alla medlemsstater och kräver för det mesta ingen separat nationell genomförandelagstiftning.

Vem omfattas av cyberresiliensförordningen?

Förordningen gäller för alla mjukvaru- eller hårdvaruprodukter som tillhandahålls på marknaden och vars avsedda ändamål eller rimligen förutsebara användning inkluderar en direkt eller indirekt fysisk eller logisk anslutning till en enhet eller ett nät. Tillämpningsområdet omfattar till exempel alla internetanslutna mjukvaru- och hårdvaruprodukter, såsom IoT-enheter, alltså uppkopplade produkter och cybersäkerhetsprodukter, samt mer allmänt produkter med digitala element, såsom inbyggd programvara, firmware eller nätverksanslutning. Skyldigheterna riktar sig till ekonomiska aktörer som tillverkar, importerar eller distribuerar produkter med digitala element som släpps på EU-marknaden.

Centrala skyldigheter och tidsplan

Tillverkare måste säkerställa processer för hantering av sårbarheter under produktens hela förväntade livslängd, upprätthålla ett ledningssystem för informationssäkerhet och uppfylla minimikrav, såsom principerna om inbyggt dataskydd och dataskydd som standard. Efterlevnaden visas genom CE-märkning. De väsentliga cybersäkerhetskraven tillämpas fullt ut från den 11 december 2027, tillverkarnas rapporteringsskyldigheter började gälla den 11 september 2026. Bristande efterlevnad kan leda till en sanktionsavgift på upp till 15 miljoner euro eller 2,5 % av den globala omsättningen.

Hur kan Fondia hjälpa dig?

Vi hjälper dig att bedöma om dina produkter omfattas av cyberresiliensakten och att i god tid bygga upp de processer för produktutveckling som krävs för hantering av sårbarheter, rapportering och CE-märkning.

Bakgrund och nuvarande status för cyberresiliensförordningen (Cyber Resilience Act)

Cyberresiliensförordningen (CRA) är en EU-förordning som fastställer cybersäkerhetskrav för produkter med digitala element. Förordningen är direkt tillämplig lag i alla medlemsstater och kräver för det mesta ingen separat nationell genomförandelagstiftning.

Vem omfattas av cyberresiliensförordningen?

Förordningen gäller för alla mjukvaru- eller hårdvaruprodukter som tillhandahålls på marknaden och vars avsedda ändamål eller rimligen förutsebara användning inkluderar en direkt eller indirekt fysisk eller logisk anslutning till en enhet eller ett nät. Tillämpningsområdet omfattar till exempel alla internetanslutna mjukvaru- och hårdvaruprodukter, såsom IoT-enheter, alltså uppkopplade produkter och cybersäkerhetsprodukter, samt mer allmänt produkter med digitala element, såsom inbyggd programvara, firmware eller nätverksanslutning. Skyldigheterna riktar sig till ekonomiska aktörer som tillverkar, importerar eller distribuerar produkter med digitala element som släpps på EU-marknaden.

Centrala skyldigheter och tidsplan

Tillverkare måste säkerställa processer för hantering av sårbarheter under produktens hela förväntade livslängd, upprätthålla ett ledningssystem för informationssäkerhet och uppfylla minimikrav, såsom principerna om inbyggt dataskydd och dataskydd som standard. Efterlevnaden visas genom CE-märkning. De väsentliga cybersäkerhetskraven tillämpas fullt ut från den 11 december 2027, tillverkarnas rapporteringsskyldigheter började gälla den 11 september 2026. Bristande efterlevnad kan leda till en sanktionsavgift på upp till 15 miljoner euro eller 2,5 % av den globala omsättningen.

Hur kan Fondia hjälpa dig?

Vi hjälper dig att bedöma om dina produkter omfattas av cyberresiliensakten och att i god tid bygga upp de processer för produktutveckling som krävs för hantering av sårbarheter, rapportering och CE-märkning.

Bakgrund och nuvarande status för DORA-förordningen

DORA-förordningen (Digital Operational Resilience Act) är en EU-förordning som särskilt riktar sig till finanssektorn och vars syfte är att stärka säkerheten i de nätverks- och informationssystem som stödjer finansmarknadernas affärsprocesser. Förordningen började gälla och tillämpas den 17 januari 2025.

Vem omfattas av DORA-förordningen?

DORA-förordningen gäller för finansiella entiteter såsom banker, försäkringsbolag, värdepappersföretag och betalningsinstitut. Förordningens tillämpningsområde är omfattande och täcker nästan alla aktörer som regleras av EU:s finansmarknadslagstiftning. Cybersäkerhetslagens bestämmelser om hantering av cybersäkerhetsrisker, rapportering, tillsyn och verkställighet tillämpas inte på finansiella entiteter, utan DORA-förordningen gäller istället.

Centrala skyldigheter

Bestämmelserna avser hantering av IKT-risker, rapportering av allvarliga IKT-relaterade incidenter och frivillig anmälan av betydande cyberhot, testning av digital operativ motståndskraft, delning av information om cyberhot och sårbarheter samt hantering av IKT-tredjepartsrisker. Vid allvarliga händelser ska incidenter rapporteras inom 4 timmar, följt av en delrapport inom 24 timmar och en månadsrapport. I Sverige fungerar Finansinspektionen som behörig myndighet enligt DORA-förordningen. Bristande efterlevnad kan leda till en sanktionsavgift på upp till 10 miljoner euro eller 2 % av omsättningen.

Hur kan Fondia hjälpa dig?

Vi hjälper aktörer inom finanssektorn att identifiera DORA-förordningens tillämpningsområde i den egna verksamheten och i leverantörsnätverket, samt att uppdatera processer för IKT-riskhantering och avtal med tredje part så att de uppfyller förordningens krav.

Bakgrund och nuvarande status för DORA-förordningen

DORA-förordningen (Digital Operational Resilience Act) är en EU-förordning som särskilt riktar sig till finanssektorn och vars syfte är att stärka säkerheten i de nätverks- och informationssystem som stödjer finansmarknadernas affärsprocesser. Förordningen började gälla och tillämpas den 17 januari 2025.

Vem omfattas av DORA-förordningen?

DORA-förordningen gäller för finansiella entiteter såsom banker, försäkringsbolag, värdepappersföretag och betalningsinstitut. Förordningens tillämpningsområde är omfattande och täcker nästan alla aktörer som regleras av EU:s finansmarknadslagstiftning. Cybersäkerhetslagens bestämmelser om hantering av cybersäkerhetsrisker, rapportering, tillsyn och verkställighet tillämpas inte på finansiella entiteter, utan DORA-förordningen gäller istället.

Centrala skyldigheter

Bestämmelserna avser hantering av IKT-risker, rapportering av allvarliga IKT-relaterade incidenter och frivillig anmälan av betydande cyberhot, testning av digital operativ motståndskraft, delning av information om cyberhot och sårbarheter samt hantering av IKT-tredjepartsrisker. Vid allvarliga händelser ska incidenter rapporteras inom 4 timmar, följt av en delrapport inom 24 timmar och en månadsrapport. I Sverige fungerar Finansinspektionen som behörig myndighet enligt DORA-förordningen. Bristande efterlevnad kan leda till en sanktionsavgift på upp till 10 miljoner euro eller 2 % av omsättningen.

Hur kan Fondia hjälpa dig?

Vi hjälper aktörer inom finanssektorn att identifiera DORA-förordningens tillämpningsområde i den egna verksamheten och i leverantörsnätverket, samt att uppdatera processer för IKT-riskhantering och avtal med tredje part så att de uppfyller förordningens krav.

Bakgrund och nuvarande status för CER-direktivet

CER-direktivet (direktiv (EU) 2022/2557) är EU-lagstiftning som syftar till att förbättra motståndskraften hos kritiska entiteter som tillhandahåller tjänster som är väsentliga för den inre marknadens funktion, upprätthållandet av vitala samhällsfunktioner eller skyddet av allmän säkerhet. Organisationer omfattas av den relevanta nationella lagstiftning som varje EU-medlemsstat antar för att genomföra det.

Vem omfattas av CER-direktivet?

De tillämpliga nationella lagarna omfattar elva sektorer: energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymden samt produktion, bearbetning och distribution av livsmedel. Till skillnad från de nationella lagar som genomför NIS2, beaktar dessa nationella lagar alla typer av risker, såsom cyberrisker, fysiska risker, hybridhot, terrorism och naturkatastrofer.

Centrala skyldigheter

De nationella lagarna fastställer centrala skyldigheter för kritiska entiteter avseende riskbedömning, en plan för motståndskraft och säkerställande av motståndskraft samt förfaranden vid incidenter. Entiteter måste genomföra en riskbedömning, vidta åtgärder för motståndskraft och göra incidentanmälningar, och medlemsstaterna ska utarbeta en fyraårig nationell strategi. En incident ska omedelbart anmälas till den nationella myndigheten, och om incidenten påverkar minst sex medlemsstater även till kommissionen.

Hur kan Fondia hjälpa dig?

Vi hjälper till att bedöma om ditt företag anses vara en kritisk entitet enligt de nationella lagarna, och stödjer dig i att utarbeta riskbedömningar och planer för motståndskraft i samarbete med de behöriga myndigheterna.

Bakgrund och nuvarande status för CER-direktivet

CER-direktivet (direktiv (EU) 2022/2557) är EU-lagstiftning som syftar till att förbättra motståndskraften hos kritiska entiteter som tillhandahåller tjänster som är väsentliga för den inre marknadens funktion, upprätthållandet av vitala samhällsfunktioner eller skyddet av allmän säkerhet. Organisationer omfattas av den relevanta nationella lagstiftning som varje EU-medlemsstat antar för att genomföra det.

Vem omfattas av CER-direktivet?

De tillämpliga nationella lagarna omfattar elva sektorer: energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymden samt produktion, bearbetning och distribution av livsmedel. Till skillnad från de nationella lagar som genomför NIS2, beaktar dessa nationella lagar alla typer av risker, såsom cyberrisker, fysiska risker, hybridhot, terrorism och naturkatastrofer.

Centrala skyldigheter

De nationella lagarna fastställer centrala skyldigheter för kritiska entiteter avseende riskbedömning, en plan för motståndskraft och säkerställande av motståndskraft samt förfaranden vid incidenter. Entiteter måste genomföra en riskbedömning, vidta åtgärder för motståndskraft och göra incidentanmälningar, och medlemsstaterna ska utarbeta en fyraårig nationell strategi. En incident ska omedelbart anmälas till den nationella myndigheten, och om incidenten påverkar minst sex medlemsstater även till kommissionen.

Hur kan Fondia hjälpa dig?

Vi hjälper till att bedöma om ditt företag anses vara en kritisk entitet enligt de nationella lagarna, och stödjer dig i att utarbeta riskbedömningar och planer för motståndskraft i samarbete med de behöriga myndigheterna.

Våra experter inom cybersäkerhet

Lär känna våra experter inom cybersäkerhet bättre eller kontakta dem direkt.

Fredrik Niklasson
Fredrik Niklasson
Head of Legal Team, Senior Legal Counsel
Emelie Zulfijaj
Emelie Zulfijaj
Senior Legal Counsel

Aktuellt

Hur kan vi hjälpa dig?

Vi vill gärna höra mer om era legala behov. Kontakta oss via mail, telefon eller boka ett kostnadsfritt möte redan idag!

Boka ett kostnadsfritt möte
Boka ett kostnadsfritt möte
Boka ett kostnadsfritt möte
Ring eller skicka ett mail
Ring eller skicka ett mail
Ring eller skicka ett mail
We law your business.
Dataskydd⁠Dataskydd⁠
Cookie policy⁠Cookie policy⁠
CSR⁠CSR⁠
Kontakta oss⁠Kontakta oss⁠

Copyright © Fondia 2026. All rights reserved.