Försvars- och totalförsvarspolitik · 5.208
Cybersäkerhetskrav för samhällsviktig verksamhet (NIS2)
Kort version
Alla åtta partier röstade för cybersäkerhetslagen, och ingen effektutvärdering av den sortens reglering finns någonstans — det säger EU-kommissionen och den brittiska regeringen själva. Att införda säkerhetsåtgärder hjälper är belagt; att lagen får dem införda är det inte. Det som fungerar i empirin — tillsyn med rutingolv — är precis vad lagen saknar. Därför: svag evidens.
Cybersäkerhetslagen trädde i kraft den 15 januari 2026. Den genomför EU:s NIS 2-direktiv och antogs med acklamation, utan en enda reservation. Ingen effektutvärdering av instrumentet existerar någonstans — det säger utfärdarna själva. Men mekanismens andra led är kausalt belagt: införda grundåtgärder minskar incidenter. Det svaga ledet är inte om åtgärder hjälper. Det är om lagen får dem införda. Och där saknar den svenska tillsynen det golv som empirin pekar på.
Sakfrågan
Bakgrund. Lagen genomför NIS 2-direktivet. Sverige var fjorton månader försenat. Lagen ålägger tio områden av säkerhetsåtgärder, en rapporteringskedja på 24 timmar, 72 timmar och en månad, och sanktionsavgifter upp till två procent av global omsättning. Hela paketet antogs med acklamation den 10 december 2025, utan reservation. Konflikten gäller inte om samhällsviktig verksamhet ska regleras. Den gäller vem som betalar och vem som hålls ansvarig.
Argumentet. Att reglerade säkerhetskrav, rapporteringsplikt och tillsyn höjer motståndskraften. I propositionen också att NIS 2 ”kan leda till en minskning av kostnaderna för cyberincidenter med 11,3 miljarder euro inom unionen”.
Vad forskningen visar. Målet går inte att mäta — och det är den ansvariga myndigheten som säger det. Antalet rapporterade incidenter föll från 330 (2022) till 266 (2025). Men Myndigheten för civilt försvar kan ”inte bedöma i vilken utsträckning utvecklingen beror på ett faktiskt minskat antal cyberangrepp … eller minskad rapporteringsvilja”. Bara 16 procent av rapporteringspliktiga statliga myndigheter rapporterade alls 2025. 28 procent har inte rapporterat en enda incident sedan 2018. Ingen validerad indikator för motståndskraft finns, prövat mot fyra ramverk.
Ingen effektutvärdering av instrumentet existerar. Det konstaterar utfärdarna själva. EU-kommissionens utvärdering av föregångaren skriver att databristen ”prevented a quantitative analysis”. Storbritanniens lagstadgade efterhandsutvärdering skriver att färre incidenter ”may mean that just less incidents are being detected”. Efter arton år med bindande krav i det amerikanska kraftsystemet (NERC CIP) finns inte den data som skulle krävas för att pröva regimen.
Men mekanismens andra led är kausalt belagt. Det skiljer axeln från fältets tre föregående. Att införda grundläggande säkerhetsåtgärder minskar incidenter är visat med instrumentvariabelskattning (Gandal m.fl. 2023). Lagens katalog täcker de två interventioner den enda peer-reviewade metaöversikten finner starkast: angreppsytereduktion och patchkadens (Woods & Seymour 2023). Det svaga ledet är om lagen får åtgärderna införda. Det som bär empiriskt stöd där är tillsynsintensitet med rutingolv och eskalering — inte regeln, inte sanktionstakets nivå. Den svenska lagen ger tillsyn som befogenhet utan golv. Myndigheten får göra regelbundna revisioner, och bara av väsentliga verksamhetsutövare. Mot viktiga får tillsyn ske ”endast när tillsynsmyndigheten har anledning att anta” brister. Det är direktivets miniminivå. Vad Sverige valde själv är resurserna: 28 miljoner kronor, mot tillsynsmyndigheternas eget angivna behov om över 185 miljoner per år. Tretton myndigheter delar tillsynen och ”ska komma överens”. Föregångaren visar vad som händer utan golv. Tillsynen bedrevs ”i huvudsak” mot anmälningsplikten. Hälso- och sjukvården — 80 procent av all rapportering — fick aldrig någon sektorsföreskrift. Ledningsledet är där avståndet till direktivet är störst. Två av artikel 20.1:s tre ben genomfördes genom att inte reglera. Det enda lagfästa ledningskravet är utbildning. Ordet skadestånd förekommer noll gånger i propositionen.
Varför blir ett konsensusbeslut ”svag evidens” och inte ett godkänt? Därför att enighet inte är mätning. Alla åtta partier bär anspråket att regleringen höjer motståndskraften. Inget parti prövade effektfrågan. Ingen begärde mer tillsynsresurser. Ingen ifrågasatte att målet är omätbart. Ingen begärde en utvärderingsdesign. Det som har stöd i litteraturen — tillsyn med rutingolv — är ingen parts signaturinstrument. Samtidigt sätts inget ✗. Lagen genomför ett bindande EU-direktiv. Mekanismens andra led är belagt. Och bristen som är dokumenterad är direktivets miniminivå, inte ett svenskt partival. Lagen hade varit i kraft åtta månader vid kodningen och utvärderas efter tre år. Outvärderat får därför inte läsas som verkningslöst: Typ 2-risk, inte Typ 2.
Mål, medel, mekanism
- Mål
- ”En hög nivå av cybersäkerhet i samhället” — samhällsviktig verksamhets motståndskraft mot cyberangrepp.
- Medel
- Cybersäkerhetslag (2025:1506): säkerhetsåtgärder på tio områden, rapporteringskedja 24 h / 72 h / en månad, ledningsutbildning, tillsyn med sanktionsavgifter upp till två procent av global omsättning och ledningsförbud.
- Mekanism
- Reglering → åtgärder införs → färre och mindre allvarliga incidenter.
Kriterier (K1–K6)
Saknas: ingen effektutvärdering av instrumentet existerar; lagen åtta månader gammal vid kodningen, utvärderingsklausul tre år.
Motivering
Svag evidens, Blandad (Typ 1 dominant på två led, Typ 2-risk på effektledet). Målet är inte mätbart — den ansvariga myndigheten säger det själv — och ingen effektutvärdering av instrumentet finns någonstans, belagt mot utfärdarnas egna utvärderingar (SWD(2020) 345; DCMS 2022). Mekanismens andra led är kausalt belagt (införda grundåtgärder minskar incidenter), men det empiriska stödet för ledet reglering → åtgärd ligger i tillsynsintensitet med rutingolv, medan lagen ger tillsyn som befogenhet utan golv, rent reaktiv mot viktiga verksamhetsutövare — direktivets miniminivå — och finansierad med 28 mnkr mot ett angivet behov om 185 mnkr per år. Ledningsledet genomfördes genom att inte reglera. Typ 2 kan inte sättas: lagen hade varit i kraft åtta månader och dess utvärderingsklausul löper tre år; frånvaro av uppmätt effekt är inte uppmätt frånvaro.
Studierna om utbildningsklassens svaga beteendeeffekt mäter anställdas klickbeteende, inte ledningars beslut, och kan inte fälla utbildningskravet direkt. Tillsynsbehovet 185 mnkr är en partsuppgift, kallad ”mycket preliminär” av Statskontoret. Tillsynsanalogierna (EPA, Blundell m.fl. 2020) är analogier och redovisas som sådana.
Värdedimensioner
K8 · Vem betalar och vem ansvarar
Kostnadsfördelningen som konflikten faktiskt gäller
K8 · Vem betalar och vem ansvarar. Striden i riksdagen gällde inte om samhällsviktig verksamhet ska tvångsregleras. Den gällde vem som betalar och vem som hålls ansvarig. Regelrådet underkände konsekvensutredningen. Kompensationen till kommuner och regioner är ett politiskt förhandlat belopp, inte en beräkning. Ledningens personliga ansvar lämnades oreglerat. Hur bördan ska fördelas mellan stat, kommun, region och företag är ett värdeval. Forskningen kan bara konstatera att ingen sida begärt att effekten mäts.
Mätlager
- Evidensvalens
- Neutral
- Konsensusstyrka
- Svag
Neutral som utfall av riktningstestet, prövat i tre riktningar och omprövat efter positionspasset: de bäst stödda instrumenten saknar politisk bärare i det svenska materialet. Konsensusstyrkan är svag i betydelsen tunt underlag, inte omtvistad — det finns ingen forskning om denna fråga, och motstridigheten i den angränsande litteraturen löper mellan olika instrument och utfallsmått. Motevidens tillgänglig 2020. Positionerna pinnade mot voteringen 10 december 2025.
Partipositioner
Grad = på påståendet, inte på partiet. Symbolen följer evidensen.
| ~ | Moderaterna | Bär propositionen; röstade ja. Svag premiss: nyttoanspråket 11,3 miljarder euro förs in trots att dess egen moderutvärdering säger att effekten inte kunde kvantifieras; tillsynsanslaget 28 mnkr mot angivet behov 185 mnkr. |
| ~ | Sverigedemokraterna | Bär propositionen; röstade ja. Samma svaga premiss som M. |
| ~ | Kristdemokraterna | Bär propositionen; röstade ja. Samma svaga premiss som M. |
| ~ | Liberalerna | Bär propositionen; röstade ja. Samma svaga premiss som M. |
| ~ | Centerpartiet | Egna yrkanden om instrumentens utformning i reservation — de enda som alls prövade utformningen — men bristöverdrifter utan lagändring; begärde inte tillsynsgolv. |
| ~ | Socialdemokraterna | Egna yrkanden i reservation; begärde inte mer tillsynsresurser eller utvärderingsdesign. |
| ~ | Miljöpartiet | Egna yrkanden i reservation; samma läge som S. |
| ~ | Vänsterpartiet | Votering ensam som belägg — inget eget yrkande; deltar i reservationer som bifaller MP:s och C:s motioner. |
Källbelägg
Ingen effektutvärdering finns: databristen ”prevented a quantitative analysis of the changes introduced by the NIS Directive” (SWD(2020) 345 Annex 5); ingen kontrafaktisk, ingen baslinje, färre incidenter ”may mean that just less incidents are being detected” (DCMS 2022). Målet omätbart: incidenter 330 (2022) → 266 (2025); myndigheten kan ”inte bedöma” om det är färre angrepp eller minskad rapporteringsvilja; 16 procent av statliga myndigheter rapporterade 2025, 28 procent aldrig sedan 2018 (MCF0108). Mekanismens andra led: införda säkerhetsåtgärder minskar självrapporterade incidenter, IV-probit (Gandal m.fl. 2023); starkast: angreppsytereduktion och patchkadens (Woods & Seymour 2023). Tillsynen: 3 kap. 5 § ”får utföra regelbundna säkerhetsrevisioner” — bara väsentliga; 3 kap. 2 § mot viktiga ”endast när tillsynsmyndigheten har anledning att anta” (lag 2025:1506); direktivets miniminivå (art. 32.2, 33.1); 28 mnkr mot angivet behov över 185 mnkr per år; tretton myndigheter som ”ska komma överens” (förordning 2025:1507, 7 §). Föregångaren: tillsyn ”i huvudsak” mot anmälningsplikten; hälso- och sjukvården utan sektorsföreskrift — prövat mot Socialstyrelsens förteckningar (SOU 2024:18, avsnitt 8.3.1). Ledningsledet: ”Ledningen ansvarar för säkerhetsåtgärder utan särskild reglering” (prop. s. 98–99); ordet skadestånd noll gånger; ledningsförbudet ”i första hand … att framtvinga vissa åtgärder och inte att utgöra en reaktion på bristfällig ledning”. Nyttoanspråket: 11,3 miljarder euro (COM(2020) 823) — moderutvärderingen kunde inte kvantifiera; kostnadsbasen spåras till en säkerhetsleverantörs prognos utan publicerad metod. Voteringen: punkt 1 acklamation utan reservation, 10 dec 2025.
Källor
- Cybersäkerhetslag (2025:1506) och cybersäkerhetsförordning (2025:1507)
- prop. 2025/26:28 Ett starkt skydd för nätverks- och informationssystem
- bet. 2025/26:FöU2 (kammarens beslut 10 dec 2025)
- Europeiska kommissionen, SWD(2020) 345 final, Annex 5
- DCMS, Second Post-Implementation Review of the NIS Regulations 2018 (2022)
- Woods & Seymour (2023), Journal of Cyber Policy 8(3):365–383
- Gandal, Moore, Riordan & Barnir (2023), Computers & Security 133:103380
- Myndigheten för civilt försvar, MCF0108 (2026) och MCF0101 (2025)
- SOU 2024:18 Nya regler om cybersäkerhet
- direktiv (EU) 2022/2555, art. 20, 32.2, 33.1
Öppna analysen i den interaktiva vyn →