NIS2 och e-handelslagen — vad som faktiskt gäller er 2026

Regelverk känns lätt som något för juristerna. Men flera av kraven landar direkt i arkitekturen — och där är de tekniska långt innan de är juridiska.

Det här är ingen juridisk rådgivning — för den exakta tillämpningen ska ni prata med jurist. Men vi ser regelkraven landa i tekniken varje vecka, och målet här är att ge er ett hederligt sätt att tänka: vad NIS2 och det svenska regelverket handlar om, och vad ni bör ta reda på innan det blir bråttom.

Vad NIS2 handlar om

NIS2 är EU:s uppdaterade direktiv för cybersäkerhet. Det höjer kraven på riskhantering, incidentrapportering och styrning för verksamheter i vissa sektorer och storlekar. Om ni omfattas beror på er verksamhet och storlek — och även om ni inte gör det direkt kan ni påverkas via kunder och leverantörer som ställer kraven vidare. Första frågan är alltså inte "vad måste vi göra" utan "omfattas vi, direkt eller via kedjan?".

E-handelslagen och det svenska regelverket

Vid sidan av säkerhetskraven finns det regelverk som styr själva handeln — konsumentskydd, information, ångerrätt och hur ni får hantera kunddata. För de flesta e-handlare är det inte ett enskilt krav som är problemet, utan att kraven ligger på olika ställen och ingen äger helheten. Regelefterlevnad blir hållbar först när den är någons ansvar, inte allas.

Det här bör ni ta reda på

• Omfattas ni av NIS2 — direkt genom sektor och storlek, eller indirekt via kunder och leverantörer?

• Har ni en aktuell bild av era leverantörer och integrationer, och vilka som bär känslig data?

• Finns det en plan för incidenter — vem gör vad, och hur snabbt — innan den behövs?

• Vet ni var kunddatan bor, och kan ni visa hur den skyddas och hanteras?

Regelefterlevnad är en arkitekturfråga

Det är svårt att bära säkerhets- och dataskyddskrav i en hårt sammanflätad monolit, där ingen vet exakt var datan tar vägen. En tydligt uppdelad arkitektur gör regelefterlevnad enklare: när varje system har ett avgränsat ansvar går det att visa var datan bor och hur den skyddas. Det är samma resonemang som med tillgänglighet och EAA — krav som är billiga att bygga in från början och dyra att lägga på i efterhand.

Var man börjar

Börja med två kartor: en över om och hur ni omfattas, och en över var er data och era integrationer faktiskt finns. Med dem på bordet blir samtalet med jurist och säkerhetsansvarig konkret i stället för ångestfyllt — och ni ser vilka åtgärder som är tekniska och vilka som är rutiner.

Vill ni ha hjälp att rita den tekniska kartan? Boka ett discovery-samtal, så går vi igenom er arkitektur och era integrationer tillsammans.