Cybersäkerhetslagen (NIS2): vad hostingkunder måste kräva av sin leverantör

En praktisk guide för svenska företag som driver webbplats, webbutik eller SaaS på hosting eller VPS och vill veta vad lagen kräver och vad som ligger kvar hos dem själva. Läget per 30.09.2026.

Kort svar

  1. 1Cybersäkerhetslag (2025:1506) utfärdades den 11 december 2025 och trädde i kraft den 15 januari 2026. Den genomför NIS2-direktivet i Sverige.
  2. 2Enligt 1 kap. 7 § omfattas bland andra tillhandahållare av molntjänster och datacentraltjänster, om verksamheten uppfyller lagens krav på storlek och etablering. Att du hyr en server gör dig inte automatiskt omfattad.
  3. 3Är din verksamhet omfattad ansvarar du själv för riskhantering, incidenthantering och leverantörskedjan. Hostingleverantören är en del av din leverantörskedja, inte en ersättning för dina skyldigheter.
  4. 4Kräv därför skriftligt av leverantören: var servrarna finns, personuppgiftsbiträdesavtal, backuprutiner och incidentkontakter. Läget per 30.09.2026.

Vad lagen innebär

Cybersäkerhetslagen syftar till en hög nivå av cybersäkerhet i samhället. Lagen anger vilka verksamheter som omfattas och vilka säkerhetsåtgärder de ska vidta. Enligt 3 kap. 1 § är det den eller de myndigheter som regeringen bestämmer som är tillsynsmyndighet; kontrollera vilken myndighet som gäller för just din bransch i den officiella texten och hos regeringen.

Första steget är en dokumenterad bedömning av om ni omfattas, utifrån sektor, storlek och etablering. Tröskelvärden och undantag finns i lagtexten och i förarbetena. Osäker? Fråga en jurist eller den behöriga tillsynsmyndigheten.

Vad ansvaret innebär för dig som kund

Enligt lagens krav på säkerhetsåtgärder ska en omfattad verksamhet arbeta med bland annat riskanalys, incidenthantering, kontinuitet och säkerhet i leverantörskedjan. Den som köper hosting eller en VPS bör därför kunna visa hur leverantören ingår i dessa rutiner.

Det gäller också incidentrapportering: en omfattad verksamhet har korta tidsfrister för att rapportera betydande incidenter. Exakta frister och vilken myndighet som tar emot rapporten ska du läsa i den gällande lagtexten, inte i en sammanfattning. Planera därför i förväg vem som beslutar och vem som skickar.

Frågor att ställa till en hostingleverantör

Var finns servrarna och datacentret? 4hosting har infrastruktur i EU, i Frankfurt, inte i Sverige. Det ändrar inte dina skyldigheter enligt svensk lag, men platsen ska skrivas in i din leverantörsdokumentation tillsammans med personuppgiftsbiträdesavtalet (GDPR artikel 28).

Fråga också: Finns det ett biträdesavtal? Vilka standardavtalsklausuler gäller vid överföringar? Hur ser backup och återställning ut? Vem kontaktar du vid en incident, och hur snabbt kan leverantören lämna underlag? Be om svaren skriftligt.

Tre konkreta exempel

Webbutik på en VPS

Ett företag i Göteborg säljer online och undrar om det måste agera. Rätt första steg är att bedöma sektor och storlek mot lagen. Omfattas företaget inte, kvarstår backup, uppdateringar och brandvägg som god praxis.

Programvaruföretag som säljer SaaS

Erbjuder företaget själv molntjänster kan det omfattas direkt av 1 kap. 7 §. Då behöver det en dokumenterad leverantörskedja där hostingen finns med avtal, biträdesavtal, backupbeskrivning och incidentkontakter.

Incident på produktionsservern

Om ett utpressningsprogram låser servern gäller rapporteringsfristerna den omfattade verksamheten, inte den som hyr ut infrastrukturen. Ha en plan: vem beslutar, var finns loggarna och vilken backup återställs.

Vanliga misstag

  • Att tro att en server i EU innebär att man är “täckt”. Skyldigheterna vilar på den omfattade verksamheten, inte på infrastrukturleverantören.
  • Att aldrig ha bedömt om verksamheten omfattas av lagen.
  • Att sakna en skriftlig incidentrutin och börja från noll när en frist väl löper.
  • Att inte dokumentera hostingleverantören som en del av leverantörskedjan (avtal, biträdesavtal, backup, incidentkontakter).

Så hjälper 4hosting

  • Infrastruktur i EU, Frankfurt, inte i Sverige, med DDoS-skydd L3/L4 upp till 1,5 Tbps ingår.
  • Personuppgiftsbiträdesavtal (DPA) enligt GDPR artikel 28, standardavtalsklausuler (SCC) för överföringar och anpassning till ISO 27001. Det är inte ett ISO 27001-certifikat.
  • DevOps- och CyberSecurity-tjänster inom de timmar som ingår i planen: Hardening & Compliance, WAF & DDoS, SIEM & Incident Response, CI/CD & Monitoring. Timmarna begärs i kundpanelen; det som överskrider kvoten faktureras separat.
  • 4hosting har inga NIS2-, ISO- eller SOC 2-certifikat, intygar inte kundens efterlevnad och ersätter inte kundens juridiska bedömning. Vi tar här inte ställning till om 4hosting självt omfattas av lagen.

Vanliga frågor

Gäller cybersäkerhetslagen alla webbplatser i Sverige?

Nej, inte automatiskt. Lagen gäller verksamheter som uppfyller kraven på sektor, storlek och etablering. Kontrollera lagtexten på riksdagen.se eller fråga en jurist.

Intygar 4hosting att jag följer cybersäkerhetslagen?

Nej. 4hosting tillhandahåller infrastruktur, biträdesavtal samt DevOps- och CyberSecurity-tjänster. Din efterlevnad är ditt eget ansvar.

Var finns 4hostings servrar?

I EU, i Frankfurt. Det finns inget datacenter i Sverige.

Se även