Das schwedische Cyber­sicherheits­gesetz und NIS2, kurz.

Stand 17. Oktober 2026. Das schwedische Cybersicherheitsgesetz (cybersäkerhetslagen, SFS 2025:1506) gilt seit dem 15. Januar 2026. Es setzt die NIS2-Richtlinie der EU in Schweden um. Es ist also ein und dieselbe Regelung. Hier steht, was Schulung, Geschäftsleitung und Vorfälle betrifft. Jede Aussage hat eine Quelle.*

In der kostenlosen Beratung bekommen Sie die vollständige Zusammenstellung. Sie enthält sechs Anlagen mit Gesetzestext, unserer Auslegung und den Fragen, die Sie für Ihre Organisation durchgehen sollten.

Was sich 2026 geändert hat

  • Das Gesetz ist seit Inkrafttreten unverändert. Die Verordnung (SFS 2025:1507) wurde einmal geändert, durch SFS 2026:623.
  • Seit dem 1. Juli 2026 ist die FRA zentrale Anlaufstelle und CSIRT über das NCSC. Die FRA erlässt auch die Vorschriften. Zuvor lag diese Verantwortung bei der MCF.
  • Vier Vorschriften gelten. MCFFS 2026:1 regelt die Registrierung, 2026:8 die Meldung von Vorfällen, 2026:11 die Sicherheitsmaßnahmen und die Schulung der Geschäftsleitung und 2026:12 Prüfung und Scans. MCFFS 2026:11 gilt seit dem 1. Oktober 2026.
SFS 2026:623 · FRA, Vorschriften

Wer betroffen ist

  • Einrichtungen in den Sektoren, die die Anhänge I und II der NIS2 aufzählen, wenn sie mindestens mittelgroß sind, und bestimmte Einrichtungen unabhängig von der Größe.
  • Alle schwedischen Kommunen, Regionen und Kommunalverbände, ohne Größenschwelle. Die ganze Kommune registriert sich als eine Einrichtung. Die Gemeindevertretung ist ausgenommen.
  • Eine Kommune oder Region ist wesentlich, wenn sie größer als ein mittleres Unternehmen ist, sonst wichtig.
  • Ein kommunales Unternehmen ist betroffen, wenn es selbst die Anforderungen an Sektor und Größe erfüllt. Es zählt dann als private Einrichtung, nicht als öffentliche.
  • Die Registrierung erfolgt beim NCSC der FRA, sobald es möglich ist. Seit dem 1. Juli 2026 per verschlüsselter E-Mail nach Anleitung des NCSC.
Kapitel 1 §§ 3–9 und 14, Kapitel 2 § 2 · NCSC, Eine Einrichtung registrieren

Die Verantwortung der Geschäftsleitung

Das Gesetz sagt, dass die Geschäftsleitung an einer Schulung zu Sicherheitsmaßnahmen teilnehmen muss. Die Anforderung, dass die Geschäftsleitung die Maßnahmen billigt und überwacht, steht in der Vorschrift MCFFS 2026:11, die seit dem 1. Oktober 2026 gilt.

  • In einer Aktiengesellschaft sind die Geschäftsleitung Vorstand und Geschäftsführung. In einer Kommune oder Region ist es der Kommunalvorstand oder der Regionalvorstand.
  • Keine Regel legt fest, wie viele Stunden oder wie oft die Schulung stattfinden muss.
  • Sanktionen werden gegen die Einrichtung verhängt, nicht gegen Personen. Ein Verbot der Leitungstätigkeit kann sich nur gegen private wesentliche Einrichtungen richten, nie gegen Kommunen, Regionen oder Behörden.
Kapitel 2 § 4, Kapitel 4 § 6 · MCFFS 2026:11 Kapitel 3 § 4 · Gesetzentwurf 2025/26:28

Die Schulung der Mitarbeitenden

Kein Gesetz verlangt, dass alle Mitarbeitenden auf eine bestimmte Weise geschult werden. Seit dem 1. Oktober 2026 muss die Einrichtung festlegen, welche Schulung die Mitarbeitenden vor und während des Beschäftigungsverhältnisses durchlaufen. Interne Regeln müssen den betroffenen Mitarbeitenden mitgeteilt werden.

Schulungspläne, Protokolle und Wissenstests sind Empfehlungen, keine Pflicht. Nach unserer Einschätzung fragt eine Aufsichtsbehörde trotzdem danach.

Kapitel 2 § 3 Nr. 7 · MCFFS 2026:11 Kapitel 3 §§ 3 und 9

Meldung von Vorfällen

WannWas
Innerhalb von 24 StundenFrühwarnung zu einem erheblichen Vorfall
Innerhalb von 72 StundenMeldung des Vorfalls
Einen Monat nach der MeldungAbschlussbericht

Empfänger ist das NCSC über das Cyberportal. Das Gesetz rechnet ab dem Zeitpunkt, zu dem die Einrichtung Kenntnis vom Vorfall erlangt hat. Die Vorschrift rechnet ab dem Zeitpunkt, zu dem er als erheblich erkannt wurde. Für die öffentliche Verwaltung sind die Schwellen für einen erheblichen Vorfall niedrig.

Kapitel 2 §§ 5–8 · MCFFS 2026:8 · NCSC, Einen erheblichen Vorfall melden

Sanktionen

EinrichtungHöchstbetrag
Privat, wesentlichDer Gegenwert von 10 Millionen Euro in Kronen oder 2 % des weltweiten Jahresumsatzes, je nachdem, was höher ist
Privat, wichtigDer Gegenwert von 7 Millionen Euro in Kronen oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist
Öffentlich: Behörde, Kommune, Region, Kommunalverband10 Millionen schwedische Kronen

Der Mindestbetrag liegt bei 5.000 Kronen. Die Sanktion ist nicht automatisch. Bis zum 17. Oktober 2026 wurde keine Aufsichtsentscheidung und keine Sanktion veröffentlicht.

Kapitel 4 §§ 9–10

Quellen

Dies ist keine Rechtsberatung. Prüfen Sie immer den aktuellen Wortlaut bei der Quelle.