NIS2 in Schweden: Cybersäkerhetslag (2025:1506), FRA und CERT-SE

Schweden hat die NIS2-Richtlinie mit gut fünfzehn Monaten Verspätung in nationales Recht überführt. Die schwedische Cybersäkerhetslag (Cybersicherheitsgesetz, SFS 2025:1506) trat am 15. Januar 2026 in Kraft und schafft einen verbindlichen Rechtsrahmen für die Netz- und Informationssicherheit wesentlicher und wichtiger Einrichtungen. Seit dem 1. Juli 2026 bündelt die Försvarets radioanstalt (FRA) mit ihrem Nationalen Cybersicherheitszentrum (NCSC) die zentralen NIS2-Funktionen: Registrierungen und Vorfallmeldungen gehen dorthin. Für deutsche Unternehmen ist das relevant, weil Tochtergesellschaften, Niederlassungen und IT-Dienstleister in Schweden seit 2026 unter die schwedischen Pflichten fallen können. Den europäischen Rahmen beschreibt der Leitfaden zu den NIS2-Grundlagen.

Schwedische NIS2-Umsetzung: Cybersäkerhetslag 2025:1506

Die Umsetzungsfrist der NIS2-Richtlinie endete am 17. Oktober 2024. Schweden verpasste sie; die EU-Kommission richtete am 7. Mai 2025 deshalb eine mit Gründen versehene Stellungnahme an Schweden und 18 weitere Mitgliedstaaten. Die Cybersäkerhetslag (SFS 2025:1506) wurde am 11. Dezember 2025 ausgefertigt, gilt seit dem 15. Januar 2026 und hob das bisherige NIS1-Gesetz (lag (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster) auf.

Das Gesetz setzt die zentralen Anforderungen der NIS-2-Richtlinie (EU) 2022/2555 um und wird durch die Cybersäkerhetsförordning (Verordnung SFS 2025:1507) sowie durch Vorschriften (föreskrifter) der zuständigen Behörden ergänzt. Im Einzelnen:

• Zweistufiges Einrichtungssystem: wesentliche (väsentliga) und wichtige (viktiga) verksamhetsutövare (Einrichtungen)
• Zehn Sicherheitsmaßnahmenkategorien entsprechend Artikel 21 NIS2 (Kap. 2 § 3) – Risikoanalyse, Vorfallbewältigung, Business Continuity, Lieferkettensicherheit, Kryptografie und weitere; konkretisiert durch die Vorschriften MCFFS 2026:11, die seit dem 1. Oktober 2026 gelten
• Dreistufige Meldepflichten: Frühwarnung (24 Stunden), Vorfallmeldung (72 Stunden), Abschlussbericht (ein Monat)
• Registrierungspflicht (anmälan) bei der zentralen Anlaufstelle – seit dem 1. Juli 2026 die FRA
• Pflichten der Leitung: Das Gesetz verpflichtet die Leitung zur Schulung über Sicherheitsmaßnahmen (Kap. 2 § 4); nach MCFFS 2026:11 soll die Leitung die Umsetzung der Maßnahmen zudem billigen und überwachen. Bei wesentlichen privaten Einrichtungen kann ein Verwaltungsgericht unter engen Voraussetzungen ein befristetes Tätigkeitsverbot für Leitungspersonen aussprechen
• Sanktionsgebühren: bis zum Gegenwert von 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes (der höhere Betrag) für wesentliche Einrichtungen; bis zum Gegenwert von 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen

Eine schwedische Besonderheit betrifft den öffentlichen Sektor: Neben bestimmten staatlichen Behörden fallen auch alle Kommunen, Regionen und Kommunalverbände unter das Gesetz – die Richtlinie stellt die Einbeziehung der lokalen Ebene den Mitgliedstaaten frei. Staatliche Behörden im Anwendungsbereich gelten stets als wesentliche Einrichtungen. Ausgenommen sind unter anderem die Regierung, die Regierungskanzlei, Gerichte und Behörden des Reichstags. Zusätzlich erfasst Schweden private Bildungsträger mit dem Recht zur Verleihung akademischer Grade, sofern sie mindestens mittelgroß sind.

FRA und NCSC als zentrale NIS2-Stelle

Die Försvarets radioanstalt (FRA) ist die dem Verteidigungsressort zugeordnete Behörde für Signalaufklärung und Cyberabwehr; bei ihr ist das Nationale Cybersicherheitszentrum (NCSC) angesiedelt. Vom 15. Januar bis 30. Juni 2026 lagen die NIS2-Zentralfunktionen bei der Myndigheten för civilt försvar (MCF), die bis Ende 2025 Myndigheten för samhällsskydd och beredskap (MSB) hieß. Mit der Änderungsverordnung SFS 2026:623 gingen sie zum 1. Juli 2026 auf die FRA über, zusammen mit der Informations- und Cybersicherheitsarbeit der MCF.

Nach der Cybersäkerhetsförordning in der Fassung von SFS 2026:623 übernimmt die FRA folgende Aufgaben:

• Zentrale Anlaufstelle (gemensam kontaktpunkt, Art. 8 Abs. 3 NIS2) – Empfang der Registrierungen
• Nationales CSIRT (Art. 10 NIS2) – Empfang der Vorfallmeldungen über CERT-SE
• Behörde für das Cyberkrisenmanagement (Art. 9 NIS2) und Teilnahme am EU-CyCLONe-Netzwerk
• Vorschriftenkompetenz zu Registrierung, Gruppenausnahmen, Hauptniederlassung, Schulung, Vorfallmeldung sowie Audits und Sicherheitsscans; die bereits von der MCF erlassenen Vorschriften (MCFFS 2026:1, 2026:8, 2026:11, 2026:12) gelten unverändert fort
• Leitung eines Kooperationsforums der Aufsichtsbehörden für eine einheitliche Aufsicht

Die eigentliche Aufsicht und die Verhängung von Sanktionen liegen in Schweden nicht bei einer Zentralbehörde, sondern bei Sektorbehörden. Die Cybersäkerhetsförordning (§ 7) weist unter anderem zu: Statens energimyndighet (Energie), Transportstyrelsen (Verkehr, Fahrzeugbau), Finansinspektionen (Bankwesen, Finanzmarktinfrastruktur), Inspektionen för vård och omsorg (Gesundheitsdienstleister), Läkemedelsverket (übriges Gesundheitswesen, Medizinprodukte), Livsmedelsverket (Trink- und Abwasser, Lebensmittel), Post- och telestyrelsen (digitale Infrastruktur, digitale Anbieter, IKT-Dienstleistungsmanagement, Post, Raumfahrt) sowie sechs Provinzialverwaltungen (länsstyrelser) für Abfall, Forschung, öffentliche Verwaltung, Chemie und Teile des verarbeitenden Gewerbes einschließlich Maschinenbau. Für Finanzunternehmen im Anwendungsbereich von DORA entfallen die Sicherheits- und Meldepflichten der Cybersäkerhetslag. Eine Ersteinschätzung, welche Sektoren grundsätzlich in den NIS2-Anwendungsbereich fallen, bietet der Leitfaden zum NIS2-Anwendungsbereich.

CERT-SE: nationales CSIRT und Meldestelle

CERT-SE (Computer Emergency Response Team Sweden) ist das nationale CSIRT Schwedens. Bis Juni 2026 gehörte CERT-SE zur MCF; seit dem 1. Juli 2026 ist es Teil des NCSC bei der FRA. Die FRA beschreibt CERT-SE als die nationale Funktion für die Vorfallmeldung nach dem Cybersicherheitsrecht.

Zu den gesetzlich vorgesehenen Aufgaben des CSIRT gehören unter anderem:

• Warnungen und Lageinformationen zu Cyberbedrohungen, Schwachstellen und Vorfällen für Einrichtungen und Aufsichtsbehörden
• Unterstützung bei Vorfällen sowie auf Anfrage proaktive Scans der Systeme einer Einrichtung
• Koordinierte Offenlegung von Schwachstellen (Art. 12 Abs. 1 NIS2)
• Anbindung an das EU-CSIRT-Netzwerk für den europäischen Informationsaustausch

Meldungen nach der Cybersäkerhetslag gehen an das CSIRT bei der FRA, über die von der FRA vorgegebenen Kanäle. Die Fristen entsprechen dem europaweiten Modell, das auch in Deutschland gilt: Frühwarnung spätestens 24 Stunden nach Kenntnis eines erheblichen Vorfalls, Vorfallmeldung spätestens nach 72 Stunden (für Vertrauensdiensteanbieter nach 24 Stunden), auf Anforderung Zwischenberichte und ein Abschlussbericht spätestens einen Monat nach der Vorfallmeldung. Erheblich ist ein Vorfall nach Kap. 2 § 5, wenn er schwere Betriebsstörungen oder finanzielle Schäden verursacht hat oder verursachen kann oder Dritte erheblich schädigen kann. MCFFS 2026:8 konkretisiert das, etwa wenn die Sektortätigkeit wegen ausgefallener kritischer Systeme länger als zwölf Stunden nur eingeschränkt möglich war. Ist ein Konzern sowohl mit deutschen als auch mit schwedischen Einheiten betroffen, meldet in der Regel jede erfasste Einrichtung an die Stelle ihres Mitgliedstaats – in Deutschland an das BSI, in Schweden an die FRA.

Betroffene Einrichtungen und Pflichten im Überblick

Die Cybersäkerhetslag folgt der europäischen Zweistufenstruktur und knüpft an die KMU-Empfehlung 2003/361/EG an. Erfasst sind Einrichtungen der Sektoren aus Anhang I oder II NIS2, die in Schweden niedergelassen und mindestens mittelgroß sind (in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme). Wesentliche Einrichtungen sind insbesondere große Unternehmen in Anhang-I-Sektoren (in der Regel ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme), staatliche Behörden, größere Kommunen und Regionen sowie bestimmte Anbieter wie qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Dienste. Alle übrigen erfassten Einrichtungen – also auch mittelgroße Unternehmen in Anhang-I-Sektoren – sind wichtige Einrichtungen. MCFFS 2026:1 erfasst zusätzlich bestimmte Einrichtungen unabhängig von der Größe, etwa Trinkwasserversorger für mindestens 20.000 Personen.

Merkmal	Wesentliche Einrichtung (väsentlig verksamhetsutövare)	Wichtige Einrichtung (viktig verksamhetsutövare)
Typische Zuordnung	Große Einrichtungen in Anhang-I-Sektoren (u. a. Energie, Verkehr, Bankwesen, Gesundheit, Wasser, digitale Infrastruktur, Raumfahrt), staatliche Behörden, größere Kommunen und Regionen	Mittelgroße Einrichtungen in Anhang-I-Sektoren sowie Einrichtungen in Anhang-II-Sektoren (u. a. Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, Forschung, digitale Anbieter)
Aufsichtsmodus	Proaktiv (ex ante) durch die zuständige Sektorbehörde	Reaktiv (ex post) – Eingriff bei Anhaltspunkten für Verstöße
Sanktionsgebühr (Höchstbetrag)	2 % des weltweiten Jahresumsatzes oder Gegenwert von 10 Mio. € (der höhere Betrag)	1,4 % des weltweiten Jahresumsatzes oder Gegenwert von 7 Mio. € (der höhere Betrag)
Registrierungspflicht	Ja – bei der FRA (NCSC) als zentraler Anlaufstelle	Ja – bei der FRA (NCSC) als zentraler Anlaufstelle
Sicherheitsaudits	Regelmäßige Audits durch die Aufsicht oder ein unabhängiges Organ möglich	Gezielte Audits bei Anhaltspunkten für Verstöße
Meldepflicht	CSIRT bei der FRA / CERT-SE (24 h / 72 h / 1 Monat)	CSIRT bei der FRA / CERT-SE (24 h / 72 h / 1 Monat)

Für den Raumfahrtsektor ist in Schweden nicht die Raumfahrtbehörde, sondern die Post- och telestyrelsen (PTS) Aufsichtsbehörde – relevant für Unternehmen der Satelliten- und Telematikbranche mit schwedischem Standbein. Für bestimmte digitale Dienste – etwa Cloud- und Rechenzentrumsdienste, Managed (Security) Services, Online-Marktplätze und Suchmaschinen – gilt eine EU-weite Sonderregelung: Diese Einrichtungen werden grundsätzlich in dem Mitgliedstaat beaufsichtigt, in dem sie ihre Hauptniederlassung in der EU haben.

Was deutsche Unternehmen mit Schweden-Bezug beachten sollten

Deutsche Konzerne halten Beteiligungen an schwedischen Industrieunternehmen, deutsche Maschinenbauer beliefern schwedische Infrastrukturbetreiber, und IT-Dienstleister aus Deutschland betreuen schwedische NIS2-Einrichtungen. Für diese Konstellationen ergeben sich unter anderem folgende Fragen:

• Schwedische Tochtergesellschaften: Eine in Schweden niedergelassene Tochter, die die Kriterien erfüllt, kann unabhängig von den Pflichten der deutschen Muttergesellschaft gegenüber dem BSI eigenständig registrierungs-, umsetzungs- und meldepflichtig sein. Registrierungen sind „so bald wie möglich“ bei der FRA einzureichen, Änderungen spätestens 14 Tage danach (laut NCSC derzeit per Formular und verschlüsselter E-Mail)
• Konzernausnahme: Erreicht eine schwedische Gesellschaft die Größenschwelle nur durch die Zurechnung von Partner- oder verbundenen Unternehmen, kann sie nach MCFFS 2026:1 ausgenommen sein – vorausgesetzt, ihre Produktionsumgebung wird im Wesentlichen unabhängig vom Konzern betrieben und sie ist auch sonst weitgehend eigenständig. Bei zentraler Konzern-IT dürfte sie oft nicht greifen
• Lieferkette: Deutsche Unternehmen, die als IT-Dienstleister, Cloud-Anbieter oder Maschinenbauer für schwedische NIS2-Einrichtungen tätig sind, werden über die Pflicht zur Lieferkettensicherheit (Art. 21 Abs. 2 lit. d NIS2) häufig mit vertraglichen Sicherheitsanforderungen ihrer schwedischen Kunden konfrontiert
• Schwedische Niederlassungen: Nach MCFFS 2026:1 zählt die tatsächliche Tätigkeit über eine feste Struktur, gleich ob Filiale oder Tochter – auch eine Zweigniederlassung kann daher erfasst sein
• Digitale Dienstleister: Cloud-Provider, Managed-Security-Service-Provider und andere in der Sonderregelung genannte Anbieter mit Hauptniederlassung in Deutschland werden grundsätzlich in Deutschland beaufsichtigt und melden dort; die zentralen Anlaufstellen leiten Meldungen bei Bedarf an andere betroffene Mitgliedstaaten weiter

Im Vergleich zum deutschen System zeigt das schwedische NIS2-Regime eine dezentralere Aufsichtsstruktur: Registrierung und Meldungen laufen zentral über die FRA, die Aufsicht dagegen über rund ein Dutzend Sektor- und Regionalbehörden. Synergien sind möglich: Die Vorschriften MCFFS 2026:11 empfehlen ausdrücklich ISO/IEC 27001 und 27002 als Stütze; wer in Deutschland bereits ISO 27001 oder BSI IT-Grundschutz umgesetzt hat, kann viele Kontrollen auf die schwedischen Anforderungen abbilden. Registrierung, Kenntnis der lokalen Meldewege und die schwedischen Detailvorschriften bleiben jedoch eigenständige Aufgaben. Einen direkten Vergleich mit der deutschen Umsetzung bietet der Leitfaden zu NIS2 in Deutschland.

Häufig gestellte Fragen

Hat Schweden NIS2 fristgerecht umgesetzt?

Nein. Die Umsetzungsfrist endete am 17. Oktober 2024; die EU-Kommission übermittelte Schweden am 7. Mai 2025 eine mit Gründen versehene Stellungnahme. Die Cybersäkerhetslag (SFS 2025:1506) trat erst am 15. Januar 2026 in Kraft und ersetzte das NIS1-Gesetz von 2018. Ergänzt wird sie durch die Cybersäkerhetsförordning (SFS 2025:1507) und behördliche Vorschriften (MCFFS 2026:1, 2026:8, 2026:11).

Wer ist die nationale Aufsichtsbehörde für NIS2 in Schweden?

Eine einzelne Aufsichtsbehörde gibt es nicht. Die FRA (Försvarets radioanstalt) ist seit dem 1. Juli 2026 zentrale Anlaufstelle, nationales CSIRT und Cyberkrisenbehörde; sie nimmt Registrierungen und über CERT-SE Vorfallmeldungen entgegen. Zuvor lagen diese Rollen bei der Myndigheten för civilt försvar (ehemals MSB). Die Aufsicht üben Sektorbehörden aus, etwa Statens energimyndighet (Energie), Finansinspektionen (Finanzsektor), Post- och telestyrelsen (digitale Infrastruktur, Raumfahrt) und sechs Provinzialverwaltungen (u. a. öffentliche Verwaltung, Maschinenbau).

Welche Bußgelder drohen bei Verstößen gegen die Cybersäkerhetslagen?

Die zuständige Aufsichtsbehörde kann eine Sanktionsgebühr (sanktionsavgift) festsetzen, mindestens 5.000 Kronen. Für wesentliche private Einrichtungen reicht der Rahmen bis zu 2 Prozent des weltweiten Vorjahresumsatzes oder bis zum Gegenwert von 10 Millionen Euro in Kronen, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegt die Obergrenze bei 1,4 Prozent oder dem Gegenwert von 7 Millionen Euro; für öffentliche Einrichtungen bei 10 Millionen Kronen. Die tatsächliche Höhe hängt unter anderem von Schwere, Dauer und Verschulden ab. Bei wesentlichen privaten Einrichtungen ist zudem ein gerichtliches Leitungsverbot von ein bis drei Jahren möglich.

Müssen deutsche Unternehmen mit schwedischen Tochtergesellschaften doppelt Compliance betreiben?

Häufig ja. Eine schwedische Tochtergesellschaft, die die Kriterien erfüllt, unterliegt der Cybersäkerhetslag und der Aufsicht der zuständigen schwedischen Sektorbehörde – unabhängig von den Pflichten der deutschen Muttergesellschaft gegenüber dem BSI. Eine Ausnahme kommt in Betracht, wenn die Tochter die Größenschwelle nur über die Konzernzurechnung erreicht und ihre IT weitgehend eigenständig betreibt (MCFFS 2026:1). Die materiellen Anforderungen beruhen in beiden Ländern auf Art. 21 NIS2; Unterschiede liegen vor allem in Registrierung und Meldung bei der FRA sowie in den schwedischen Detailvorschriften. Konzerne mit einheitlichem Sicherheitsrahmenwerk (z. B. ISO 27001) können Synergien nutzen – die länderspezifische Compliance bleibt dennoch erforderlich.

Gilt die schwedische Cybersäkerhetslagen auch für öffentliche Verwaltungen?

Ja – und zwar weiter als die Richtlinie zwingend verlangt. Erfasst sind staatliche Behörden mit Entscheidungsbefugnissen im grenzüberschreitenden Verkehr, weitere von der Regierung bestimmte Behörden sowie alle Kommunen, Regionen und Kommunalverbände, unabhängig von ihrer Größe. Staatliche Behörden gelten stets als wesentlich, Kommunen und Regionen ab Überschreiten der Größe eines mittleren Unternehmens. Ausgenommen sind unter anderem Regierung, Gerichte und Behörden des Reichstags. Die Aufsicht über die öffentliche Verwaltung liegt bei sechs Provinzialverwaltungen; für die Provinzialverwaltungen selbst ist die PTS zuständig. Relevant ist das etwa für deutsche IT-Dienstleister schwedischer Kommunen.

Quellen

1. Sveriges riksdag: Cybersäkerhetslag (2025:1506), riksdagen.se, ausgefertigt am 11.12.2025
2. Sveriges riksdag: Cybersäkerhetsförordning (2025:1507), geändert bis SFS 2026:623, riksdagen.se
3. Svensk författningssamling: SFS 2026:623 – Förordning om ändring i cybersäkerhetsförordningen (2025:1507), 21.05.2026
4. Försvarets radioanstalt: Föreskrifter (MCFFS 2026:1, 2026:8, 2026:11, 2026:12), fra.se, 2026
5. Försvarets radioanstalt: Nationellt cybersäkerhetscenter (NCSC), fra.se, 2026
6. NCSC: Att anmäla en verksamhet enligt cybersäkerhetslagen, ncsc.se, 2026
7. Europäische Kommission: Commission calls on 19 Member States to fully transpose the NIS2 Directive, 07.05.2025
8. Europäisches Parlament und Rat der EU: Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS2), ABl. L 333 vom 27.12.2022

Rechtshinweis: Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Stand: Oktober 2026. Für verbindliche Aussagen zur NIS2-Compliance empfehlen wir die Konsultation eines qualifizierten Rechtsanwalts oder Datenschutzbeauftragten.