Behöver ni stöd i bedömningen?
Livsmedelsverket har tagit fram en sektorsspecifik vägledning för verksamhetsutövare inom avlopp, dricksvatten eller livsmedel. Vägledningen kompletterar till Myndigheten för civilt försvars generella vägledning om anmälan och identifiering av verksamhetsutövare.
Livsmedelsverkets vägledning om verksamhetsutövare enligt cybersäkerhetslagen
Så gör ni bedömningen
1.Identifiera om verksamheten omfattas av någon verksamhetstyp i NIS2-direktivets bilagor
Börja med att bedöma om den verksamhet ni bedriver motsvarar någon av de verksamhetstyper som anges i NIS2-direktivets bilaga 1 eller bilaga 2.
Bilaga 1: Högkritiska sektorer
Bilagan omfattar typer av verksamheter som kategoriseras som högkritiska sektorer. Här ingår bland annat sektorerna dricksvatten och avloppsvatten.
EU:s webbplats Bilaga 1 - Högkritiska sektorer
Bilaga 2: Andra kritiska sektorer
Bilagan omfattar typer av verksamheter som kategoriseras som andra kritiska sektorer. Här ingår bland annat sektorn produktion, bearbetning och distribution av livsmedel.
EU:s webbplats Bilaga 2 - Andra kritiska sektorer
2. Identifiera vilken juridisk person som bedriver verksamheten
Om verksamheten bedöms omfattas av lagstiftningen ska bedömningen göras för den juridiska person som bedriver verksamheten.
Om en juridisk person bedriver flera verksamheter behöver varje verksamhet bedömas separat. En juridisk person kan omfattas av cybersäkerhetslagen inom flera sektorer samtidigt. Det innebär att olika verksamheter och samma juridiska person kan omfattas av tillsyn från olika tillsynsmyndigheter.
3. Bedöm om verksamheten uppfyller lagens övriga kriterier
När ni gjort steg ett och två, ska ni bedöma om övriga kriterier för att omfattas av cybersäkerhetslagen är uppfyllda.
Kriterierna omfattar bland annat
- om verksamheten är etablerad i Sverige (och därmed lyder under svensk cybersäkerhetslag)
- om tillämpliga storlekskrav är uppfyllda: minst 50 årsanställda, en balansomslutning, och en årsomsättning på över 10 miljoner Euro
- om verksamheten omfattas av särskilda undantag eller kompletterande kriterier
- om verksamheten omfattas direkt enligt särskilda bestämmelser.
Bestämmelser om vilka verksamhetsutövare som omfattas finns i Myndighetens för civilt försvars föreskrifter om anmälan och identifiering av väsentliga och viktiga verksamhetsutövare (MCFFS 2026:1)
4. Ta hänsyn till koncern- och ägarförhållanden - det kan påverka bedömningen
Om verksamheten ingår i en koncern eller har nära kopplingar till andra företag som har ett betydande inflytande kan dessa behöva beaktas vid beräkningen av storlekskraven.
Vilka företag som ska räknas med, och i vilken omfattning, beror på hur organisationens ägande och inflytande mellan företagen ser ut. Bedömningen ska utgå från EU:s definition av små och medelstora företag EU:s definition av små och medelstora företag och begreppen partnerföretag och anknutna företag.
Exempel
Svensk Mat AB producerar livsmedel i Sverige och har 30 anställda. Företaget ingår i en koncern med andra bolag i Sverige, Danmark och Finland. Vid bedömningen om storlekskraven är uppfyllda kan uppgifter från de övriga bolagen behöva räknas med.
Det kan innebära att Svensk Mat AB omfattas av cybersäkerhetslagen trots att bolaget inte uppfyller storlekskravet om minst 50 anställda på egen hand.
Om koncernen består av juridiska personer etablerade i flera EU-länder behöver varje juridisk person bedöma om den omfattas av den nationella lagstiftningen som genomför NIS2-direktivet i det land där den är etablerad.
Läs mer i Myndigheten för civilt försvars vägledning:
Vägledning för anmälan och identifiering av verksamhetsutövare som omfattas av cybersäkerhetslagen
Dokumentera och spara er bedömning
Dokumentera hur bedömningen har gjorts och vilka överväganden som ligger till grund för slutsatsen. Det underlättar om bedömningen senare behöver följas upp, omprövas eller redovisas vid dialog med tillsynsmyndigheten.
Särskilt om kommuner och kommunal VA-verksamhet
Kommuner omfattas av cybersäkerhetslagen inom sektorn offentlig förvaltning oavsett storlek. Kommunal VA-verksamhet kan även omfattas inom sektorerna dricksvatten och avloppsvatten. Dessa sektorer behöver bedömas separat utifrån kriterierna för respektive sektor. Att kommunen omfattas inom offentlig förvaltning innebär inte i sig att kommunens VA-verksamhet omfattas inom sektorerna dricksvatten och avloppsvatten. Börja med att klarlägga vilken juridisk person som bedriver VA-verksamheten. Verksamheten kan bedrivas av kommunen själv eller av en separat juridisk person, exempelvis ett kommunalt bolag eller ett kommunalförbund.
Om det är oklart vem som är huvudman för den allmänna VA-anläggningen kan lagen om allmänna vattentjänster (2006:412) användas som stöd. Huvudmannen är den som äger anläggningen, men behöver inte själv sköta driften. Uppgiften kan därför bidra till att klarlägga hur VA-verksamheten är organiserad, men avgör inte i sig om verksamheten omfattas av cybersäkerhetslagen.
Bedöm därefter om den juridiska person som bedriver verksamheten uppfyller kriterierna för att omfattas av cybersäkerhetslagen inom sektorerna dricksvatten respektive avloppsvatten. Om kommunen bedriver verksamheten inom den egna organisationen ska de sektorer som kommunen omfattas av anges i kommunens anmälan. Om verksamheten bedrivs av en separat juridisk person ska den organisationen bedöma om den omfattas av lagen och, i så fall, göra en egen anmälan.
Bedöm därefter vilken juridisk person som bedriver eller ansvarar för VA-verksamheten och om den omfattas av cybersäkerhetslagen inom respektive sektor. Om verksamheten bedrivs av ett separat kommunalt bolag behöver även bolagets omfattning bedömas.
Här anmäler ni er verksamhet
Om ni kommer fram till att verksamheten omfattas av cybersäkerhetslagen ska ni så snart som möjligt anmäla in er verksamhet till Nationellt cybersäkerhetscenter (NCSC). Anmälan vidarebefordras därefter till ansvariga tillsynsmyndigheter.
