De Zweedse cyber­beveiligings­wet, kort.

Stand 17 oktober 2026. De Zweedse cyberbeveiligingswet (cybersäkerhetslagen, SFS 2025:1506) geldt sinds 15 januari 2026. Ze zet de NIS2-richtlijn (EU) 2022/2555 om in Zweeds recht. Het is dus één en dezelfde regeling. Hieronder staat wat opleiding, bestuur en incidenten raakt. Elke bewering heeft een bron.*

In het gratis adviesgesprek krijg je het volledige overzicht. Het bevat zes bijlagen met de wettekst, onze uitleg en de vragen die je voor je eigen organisatie doorloopt.

Wat er in 2026 is veranderd

  • De wet is niet veranderd sinds de inwerkingtreding. Het cyberbeveiligingsbesluit (SFS 2025:1507) is één keer gewijzigd, door SFS 2026:623.
  • Sinds 1 juli 2026 is FRA, de Zweedse dienst voor verbindingsinlichtingen, via zijn National Cyber Security Centre (NCSC) het centrale contactpunt en het CSIRT. FRA schrijft ook de voorschriften. Daarvoor lag die taak bij MCF, de Zweedse dienst voor civiele paraatheid.
  • Er gelden vier voorschriften. MCFFS 2026:1 gaat over registratie, 2026:8 over het melden van incidenten, 2026:11 over beveiligingsmaatregelen en de opleiding van het bestuur, en 2026:12 over audits en scans. MCFFS 2026:11 geldt vanaf 1 oktober 2026.
SFS 2026:623 · FRA, Voorschriften

Voor wie de wet geldt

  • Entiteiten in de sectoren uit bijlage I en bijlage II van de NIS2-richtlijn, als ze minstens middelgroot zijn, en bepaalde entiteiten ongeacht hun omvang.
  • Alle gemeenten, regio's en gemeentelijke samenwerkingsverbanden, zonder eis aan de omvang. De hele gemeente registreert zich als één entiteit. De gekozen raad is uitgezonderd.
  • Een gemeente of regio is een essentiële entiteit als ze groter is dan een middelgrote onderneming, anders een belangrijke entiteit.
  • Een gemeentelijk bedrijf valt onder de wet als het zelf aan de eisen voor sector en omvang voldoet. Het telt dan als private entiteit, niet als publieke.
  • Registreer je zo snel mogelijk bij het NCSC van FRA. Sinds 1 juli 2026 gaat dat per versleutelde e-mail, volgens de instructie van het NCSC.
hfst. 1 §§ 3–9 en 14, hfst. 2 § 2 · NCSC, Een entiteit registreren

De verantwoordelijkheid van het bestuur

De wet zegt dat het bestuursorgaan een opleiding over beveiligingsmaatregelen moet volgen. De eis dat het bestuursorgaan de maatregelen goedkeurt en erop toeziet, staat in het voorschrift MCFFS 2026:11. Dat geldt sinds 1 oktober 2026.

  • In een vennootschap zijn de raad van bestuur en de ceo het bestuursorgaan. In een gemeente of regio is dat het dagelijks bestuur van de gemeente of de regio.
  • Geen enkele regel noemt een aantal uren of hoe vaak de opleiding moet plaatsvinden.
  • Bestuurlijke boetes worden opgelegd aan de entiteit, niet aan personen. Een verbod om leidinggevende functies uit te oefenen kan alleen gelden voor private essentiële entiteiten, nooit voor gemeenten, regio's of overheidsinstanties.
hfst. 2 § 4, hfst. 4 § 6 · MCFFS 2026:11 hfst. 3 § 4 · Wetsvoorstel 2025/26:28

Opleiding van het personeel

Geen enkele wet eist dat elke medewerker op een bepaalde manier wordt opgeleid. Sinds 1 oktober 2026 moet de organisatie bepalen welke opleiding het personeel volgt, voor en tijdens het dienstverband. Interne regels moeten worden gedeeld met het personeel voor wie ze gelden.

Opleidingsplannen, logboeken en kennistoetsen zijn adviezen, geen eisen. Wij verwachten dat een toezichthouder er toch naar vraagt.

hfst. 2 § 3 punt 7 · MCFFS 2026:11 hfst. 3 §§ 3 en 9

Incidenten melden

WanneerWat
Binnen 24 uurVroegtijdige waarschuwing over een significant incident
Binnen 72 uurIncidentmelding
Een maand na de meldingEindverslag

Meldingen gaan naar het NCSC via het cyberportaal. De wet telt de tijd vanaf het moment dat de organisatie van het incident op de hoogte is. Het voorschrift telt vanaf het moment dat het incident als significant is aangemerkt. Voor de publieke sector liggen de drempels voor een significant incident laag.

hfst. 2 §§ 5–8 · MCFFS 2026:8 · NCSC, Een significant incident melden

Bestuurlijke boetes

EntiteitHoogste boete
Privaat, essentieelHet bedrag in kronen dat overeenkomt met 10 miljoen euro of 2% van de wereldwijde jaaromzet, het hoogste van beide
Privaat, belangrijkHet bedrag in kronen dat overeenkomt met 7 miljoen euro of 1,4% van de wereldwijde jaaromzet, het hoogste van beide
Publiek: overheidsinstantie, gemeente, regio, gemeentelijk samenwerkingsverband10 miljoen Zweedse kronen

De laagste boete is 5.000 kronen. De boete volgt niet automatisch. Op 17 oktober 2026 is er nog geen toezichtsbesluit en geen bestuurlijke boete gepubliceerd.

hfst. 4 §§ 9–10

Bronnen

Dit is geen juridisch advies. Controleer altijd de actuele tekst bij de bron.