La loi suédoise sur la cyber­sécurité, en bref.

État au 17 octobre 2026. La loi suédoise sur la cybersécurité (cybersäkerhetslagen, SFS 2025:1506) s’applique depuis le 15 janvier 2026. Elle transpose en Suède la directive européenne NIS2 (UE) 2022/2555. Il s’agit donc d’une seule et même réglementation. Vous trouverez ci-dessous ce qui concerne la formation, la direction et les incidents. Chaque affirmation a une source.*

L’entretien-conseil gratuit vous donne la synthèse complète. Elle contient six annexes avec le texte de loi, notre interprétation et les questions à examiner pour votre organisation.

Ce qui a changé en 2026

  • La loi n’a pas changé depuis son entrée en vigueur. Le décret sur la cybersécurité (SFS 2025:1507) a été modifié une fois, par le SFS 2026:623.
  • Depuis le 1er juillet 2026, la FRA est le point de contact unique et le CSIRT. Elle exerce ce rôle par son centre national de cybersécurité, le NCSC. La FRA est le service suédois de renseignement électromagnétique. Elle rédige aussi les règlements. Avant, cette responsabilité revenait à la MCF, l’agence suédoise de défense civile.
  • Quatre règlements s’appliquent. Le MCFFS 2026:1 porte sur l’enregistrement et le 2026:8 sur la notification des incidents. Le 2026:11 porte sur les mesures de sécurité et la formation de la direction, le 2026:12 sur l’audit et le scan de sécurité. Le MCFFS 2026:11 s’applique depuis le 1er octobre 2026.
SFS 2026:623 · FRA, Règlements

Qui est concerné

  • Les entités des secteurs énumérés aux annexes I et II de la directive NIS2, si elles sont au moins de taille moyenne, et certaines entités quelle que soit leur taille.
  • Toutes les communes, régions et syndicats de communes, sans critère de taille. La commune entière s’enregistre comme une seule entité. Le conseil élu (fullmäktige) est exclu.
  • Une commune ou une région est une entité essentielle si elle est plus grande qu’une entreprise moyenne. Sinon, c’est une entité importante.
  • Une société communale est concernée si elle remplit elle-même les critères de secteur et de taille. Elle compte alors comme une entité privée, et non publique.
  • L’enregistrement se fait auprès du NCSC, au sein de la FRA, dès que possible. Depuis le 1er juillet 2026, il se fait par email chiffré, selon les instructions du NCSC.
chap. 1, §§ 3–9 et 14, chap. 2, § 2 · NCSC, Enregistrer une entité

La responsabilité de la direction

La loi dit que la direction doit suivre une formation sur les mesures de sécurité. L’obligation pour la direction d’approuver les mesures et d’en superviser la mise en œuvre figure dans le règlement MCFFS 2026:11. Il s’applique depuis le 1er octobre 2026.

  • Dans une société par actions, la direction est le conseil d’administration et le directeur général. Dans une commune ou une région, c’est le comité exécutif de la commune ou de la région.
  • Aucune règle ne fixe un nombre d’heures ni la fréquence de la formation.
  • Les amendes administratives sont infligées à l’entité, et non aux personnes. Une interdiction d’exercer des fonctions de direction ne peut viser que des entités privées essentielles, jamais des communes, des régions ou des administrations.
chap. 2, § 4, chap. 4, § 6 · MCFFS 2026:11 chap. 3, § 4 · projet de loi 2025/26:28

La formation du personnel

Aucune loi n’exige que chaque salarié soit formé d’une manière précise. Depuis le 1er octobre 2026, l’entité doit décider quelle formation le personnel doit suivre, avant et pendant l’emploi. Les règles internes doivent être communiquées au personnel concerné.

Les plans de formation, les journaux et les tests de connaissances sont des recommandations, pas des obligations. Selon notre analyse, une autorité de contrôle les demandera quand même.

chap. 2, § 3, point 7 · MCFFS 2026:11 chap. 3, §§ 3 et 9

Notification des incidents

QuandQuoi
Dans les 24 heuresAlerte précoce sur un incident important
Dans les 72 heuresNotification d’incident
Un mois après la notificationRapport final

Le destinataire est le NCSC, via le cyberportail. La loi compte le délai à partir du moment où l’entité a eu connaissance de l’incident. Le règlement le compte à partir du moment où l’incident a été identifié comme important. Pour l’administration publique, les seuils d’un incident important sont bas.

chap. 2, §§ 5–8 · MCFFS 2026:8 · NCSC, Notifier un incident important

Amendes administratives

EntitéAmende maximale
Privée, essentielleL’équivalent en couronnes de 10 millions d’euros ou de 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu
Privée, importanteL’équivalent en couronnes de 7 millions d’euros ou de 1,4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu
Publique : administration, commune, région, syndicat de communes10 millions de couronnes

L’amende minimale est de 5 000 couronnes. L’amende n’est pas automatique. Au 17 octobre 2026, aucune décision de contrôle et aucune amende administrative n’ont été publiées.

chap. 4, §§ 9–10

Sources

Ceci n’est pas un conseil juridique. Vérifiez toujours le texte en vigueur auprès de la source.