La Ley sueca de ciberseguridad y NIS2, en breve.
Situación a 17 de octubre de 2026. La Ley sueca de ciberseguridad (cybersäkerhetslagen, SFS 2025:1506) se aplica desde el 15 de enero de 2026. Transpone en Suecia la directiva NIS2 de la UE. Es, por tanto, una sola regulación. Aquí está lo que afecta a la formación, la dirección y los incidentes. Cada afirmación tiene una fuente.*
En la consulta gratuita recibes el resumen completo. Contiene seis anexos con el texto de la ley, nuestra interpretación y las preguntas que conviene repasar para tu organización.
Qué ha cambiado en 2026
- La ley no ha cambiado desde que entró en vigor. El reglamento (SFS 2025:1507) se ha modificado una vez, con la SFS 2026:623.
- Desde el 1 de julio de 2026, el FRA es el punto de contacto único y el CSIRT a través del NCSC. El FRA también redacta los reglamentos técnicos. Antes esa responsabilidad era de la MCF.
- Están en vigor cuatro reglamentos técnicos. MCFFS 2026:1 trata del registro, 2026:8 de la notificación de incidentes, 2026:11 de las medidas de seguridad y de la formación de la dirección y 2026:12 de la auditoría y el escaneo. MCFFS 2026:11 se aplica desde el 1 de octubre de 2026.
A quién afecta
- Las organizaciones de los sectores que enumeran los anexos I y II de NIS2, si son al menos medianas, y algunas organizaciones sea cual sea su tamaño.
- Todos los municipios, regiones y mancomunidades suecos, sin requisito de tamaño. Todo el municipio se registra como una sola entidad. El pleno municipal queda excluido.
- Un municipio o una región es esencial si es mayor que una empresa mediana, y si no, importante.
- Una empresa municipal está afectada si cumple por sí misma los requisitos de sector y tamaño. En ese caso cuenta como entidad privada, no pública.
- El registro se hace ante el NCSC del FRA en cuanto sea posible. Desde el 1 de julio de 2026 se hace por correo cifrado según las instrucciones del NCSC.
La responsabilidad de la dirección
La ley dice que la dirección debe recibir formación sobre las medidas de seguridad. El requisito de que la dirección apruebe y supervise las medidas está en el reglamento técnico MCFFS 2026:11, que se aplica desde el 1 de octubre de 2026.
- En una sociedad anónima, la dirección son el consejo y el consejero delegado. En un municipio o una región es la junta de gobierno municipal o regional.
- Ninguna norma fija un número de horas ni cada cuánto debe hacerse la formación.
- Las sanciones se imponen a la organización, no a las personas. La prohibición de ejercer funciones de dirección solo puede dirigirse contra entidades esenciales privadas, nunca contra municipios, regiones o autoridades.
La formación de la plantilla
Ninguna ley exige que cada empleado reciba una formación concreta. Desde el 1 de octubre de 2026, la organización debe decidir qué formación debe recibir el personal, antes y durante la relación laboral. Las normas internas deben comunicarse al personal al que afectan.
Los planes de formación, los registros y las pruebas de conocimientos son recomendaciones, no requisitos. Nuestra valoración es que una autoridad supervisora los pedirá de todos modos.
Capítulo 2, artículo 3, punto 7 · MCFFS 2026:11, capítulo 3, artículos 3 y 9Notificación de incidentes
| Cuándo | Qué |
|---|---|
| En 24 horas | Aviso de un incidente significativo |
| En 72 horas | Notificación del incidente |
| Un mes después de la notificación | Informe final |
El destinatario es el NCSC a través del ciberportal. La ley cuenta el tiempo desde que la organización tiene conocimiento del incidente. El reglamento técnico cuenta desde que se identifica como significativo. Para la administración pública, los umbrales de lo que es significativo son bajos.
Capítulo 2, artículos 5–8 · MCFFS 2026:8 · NCSC, Notificar un incidente significativoSanciones
| Entidad | Sanción máxima |
|---|---|
| Privada, esencial | El equivalente en coronas de 10 millones de euros o el 2 % del volumen de negocio anual mundial, lo que sea mayor |
| Privada, importante | El equivalente en coronas de 7 millones de euros o el 1,4 % del volumen de negocio anual mundial, lo que sea mayor |
| Pública: autoridad, municipio, región, mancomunidad | 10 millones de coronas suecas |
La sanción mínima es de 5.000 coronas. La sanción no es automática. A 17 de octubre de 2026 no se ha publicado ninguna decisión de supervisión ni ninguna sanción.
Capítulo 4, artículos 9–10Fuentes
- Cybersäkerhetslag (2025:1506), la Ley sueca de ciberseguridad, comprobado el 17 de octubre de 2026
- Cybersäkerhetsförordning (2025:1507), el Reglamento sueco de ciberseguridad, comprobado el 17 de octubre de 2026
- SFS 2026:623, comprobado el 17 de octubre de 2026
- MCFFS 2026:11, comprobado el 17 de octubre de 2026
- FRA, Reglamentos técnicos, comprobado el 17 de octubre de 2026
- NCSC, Registrar una entidad, comprobado el 17 de octubre de 2026
- NCSC, Notificar un incidente significativo, comprobado el 17 de octubre de 2026
- NCSC, Preguntas y respuestas, comprobado el 17 de octubre de 2026
- Proyecto de ley 2025/26:28, comprobado el 17 de octubre de 2026
Esto no es asesoramiento jurídico. Comprueba siempre el texto vigente en la fuente.