De Zweedse Cybersecuritywet is live: wat EU-leveranciers moeten weten

Op 15 januari 2026 trad de Zweedse Cybersäkerhetslag (SFS 2025:1506) in werking. Deze zet NIS2 om in Zweeds recht, vervangt het oude informatiebeveiligingsregime uit 2018 en bevat een detail dat de meeste leveranciers over het hoofd zagen: toezichtsmaatregelen zijn mogelijk als een entiteit binnen de reikwijdte zich niet binnen 14 dagen na inwerkingtreding registreert.

Die deadline ligt al achter ons. Bedien je Zweedse klanten of zit je in hun toeleveringsketen, dan is de Zweedse Cybersecuritywet nu ook jouw probleem — of je eigen bedrijf nu juridisch binnen de reikwijdte valt of niet.

Dit is een praktische uiteenzetting voor IT-consultants, MSP's en vCISO's. Wat de Zweedse Cybersecuritywet werkelijk vereist, wie er toezicht houdt en waar de valkuilen zitten.

Zweden ging van achterblijver naar live terwijl vier grotere landen bleven steken

Een groot deel van 2025 stond Zweden op de langzame lijst. De Cybersecuritywet trad pas op 15 januari 2026 in werking — ruim na de EU-omzettingsdeadline van 17 oktober 2024.

Maar Zweden is nu live en handhaaft, terwijl Ierland, Spanje, Frankrijk en Nederland zijn doorverwezen naar het Hof van Justitie van de EU wegens het niet melden van volledige omzetting. De Commissie vraagt het Hof om forfaitaire en dagelijkse boetes tegen die overheden.

De les voor leveranciers: "het land van onze klant heeft de omzetting nog niet afgerond" is geen veilige aanname meer. Medio 2026 hebben 22 van de 27 lidstaten omzettingswetgeving aangenomen. De kaart vult zich maand na maand.

+ $$```$$ +infographic component: country-status + $$```$$ +

Als je compliance-houding afhangt van precies weten welke nationale wetten live zijn, behandel dit dan als een bewegend doel en controleer elk kwartaal opnieuw. Hetzelfde patroon speelde in Oostenrijk (NISG 2026) en Nederland — zie onze notitie over de Nederlandse Cyberbeveiligingswet.

De toezichthouder heeft een nieuwe naam, en dat is niet langer "MSB"

Dit is het eerste waar mensen over struikelen. Op 1 januari 2026 werd MSB (Myndigheten för samhällsskydd och beredskap) gereorganiseerd, en de instantie die nu optreedt als nationaal coördinator en enig EU-aanspreekpunt is MCF (Myndigheten för civilt försvar).

CERT-SE, het nationale CSIRT van Zweden, valt onder MCF en blijft het orgaan waaraan je incidenten meldt. Sectorspecifiek toezicht is verdeeld over aangewezen autoriteiten — Post- och telestyrelsen (PTS) dekt bijvoorbeeld telecom en digitale infrastructuur.

Voor een leverancier is de praktische implicatie eenvoudig. Als je klant vraagt "aan wie melden we," hangt het antwoord af van hun sector, en de coördinerende autoriteit is MCF, niet het oude MSB-merk. Zorg dat de namen in je documentatie kloppen. Auditors merken slordige verwijzingen op.

De reikwijdte volgt de NIS2-omvangsregel, maar de keten reikt verder

De Zweedse wet gebruikt het standaard NIS2-model. Een organisatie valt binnen de reikwijdte als ze 50 of meer werknemers heeft, of een jaaromzet en balanstotaal boven €10 miljoen, en actief is in een van de 18 aangewezen sectoren — energie, transport, bankwezen, gezondheidszorg, drink- en afvalwater, digitale infrastructuur, ICT-servicebeheer, openbaar bestuur, productie, voedsel, chemie, postdiensten en de rest.

Entiteiten worden geclassificeerd als essentieel of belangrijk. Die classificatie bepaalt hoe hard het toezicht bijt: essentiële entiteiten krijgen proactief toezicht, belangrijke entiteiten worden reactief gecontroleerd na een incident of klacht.

Maar de omvangsdrempel is een valkuil als je hem te letterlijk leest. Leveranciers onder de drempel worden alsnog meegetrokken via de ketenverplichtingen van hun klanten. Je Zweedse klant moet risico's in zijn toeleveringsketen analyseren en beheren onder Article 21 — wat betekent dat ze via contract beveiligingseisen op jou afwentelen, ongeacht je personeelsbestand.

+ $$```$$ +infographic component: decision-tree + $$```$$ +

Twijfel je of een bepaalde klantrelatie je binnen de reikwijdte trekt, loop het dan door onze logica van valt NIS2 op mij van toepassing, en kijk daarna naar het contract. Het contract beslist meestal eerder dan de wet. Die cascade behandelden we in leverancierscontracten en NIS2.

Het registratievenster was de scherpste deadline, en die is al gesloten

De meeste NIS2-berichtgeving richt zich op de beveiligingsmaatregelen. De Zweedse wet zette een administratieve maatregel vooraan: entiteiten binnen de reikwijdte moesten zich registreren bij hun toezichthouder, en toezichtsmaatregelen worden mogelijk als de registratie niet binnen 14 dagen na inwerkingtreding is ontvangen.

Dat legde de eerste harde deadline eind januari 2026. Als een klant je daarna aan boord nam en zich nog steeds niet heeft geregistreerd, is dat een open gat — signaleer het. Zelfidentificatie is de verantwoordelijkheid van de entiteit onder NIS2; de autoriteit stuurt je geen uitnodiging.

Voor MSP's is dit een snelle, concrete meerwaarde. Voordat je één technische maatregel aanraakt, bevestig dat je klanten binnen de reikwijdte daadwerkelijk geregistreerd zijn. Het is de goedkoopste bevinding die je ooit oplevert.

Incidentmelding draait op de standaard NIS2-driefasenklok

Zweden heeft geen eigen tijdlijn uitgevonden. Het gebruikt de NIS2-standaard voor significante incidenten, gemeld aan CERT-SE.

Een vroege waarschuwing is verschuldigd binnen 24 uur nadat je op de hoogte raakt van een significant incident. Een uitgebreidere incidentmelding volgt binnen 72 uur. Een eindrapport is verschuldigd binnen één maand.

CERT-SE verplaatst de melding in de loop van 2026 naar een nieuwe onlinedienst, ter vervanging van het huidige IRON-tool. Als je incidentrespons voor Zweedse klanten uitvoert, bevestig welk indieningskanaal live is voordat je het echt nodig hebt — 02:00 uur tijdens een lopend incident is het verkeerde moment om te ontdekken dat het portaal is veranderd.

+ $$```$$ +infographic component: incident-timeline + $$```$$ +

De vroege waarschuwing van 24 uur is waar onvoorbereide teams verliezen. Het is geen volledig rapport — het is een snel signaal dat er iets significants gaande is. Bouw nu een eenpagina-waarschuwingssjabloon per klant. Onze gids over meldingsdeadlines voor incidenten legt uit wat "significant" in de praktijk betekent.

De boetes komen overeen met het NIS2-plafond, en ze raken individuen

Zweden nam het volledige NIS2-sanctieplafond over. Essentiële entiteiten riskeren boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van wat hoger is. Belangrijke entiteiten riskeren tot €7 miljoen of 1,4% van de omzet.

Belangrijker voor het bestuurskamergesprek: bestuurdersaansprakelijkheid. Onder de Zweedse wet, net als onder NIS2 in het algemeen, dragen bestuurders en directieleden persoonlijke verantwoordelijkheid voor cyberbeveiligingsfouten. Boetes zijn een bedrijfskost. Persoonlijke aansprakelijkheid verandert wie je telefoontjes beantwoordt.

Benut dat. Wanneer de leiding van een Zweedse klant NIS2 als een IT-ticket behandelt, is de snelste manier om het gesprek te resetten uit te leggen dat de richtlijn de verantwoordelijkheid persoonlijk bij hen legt, niet bij de servicedesk.

Wat je deze week moet doen als je Zweedse klanten hebt

Begin smal en concreet. Bevestig welke van je Zweedse klanten binnen de reikwijdte vallen, en bevestig dat elk van hen zich heeft geregistreerd bij de juiste toezichthouder — want die deadline is al verstreken en niet-registratie is een actuele blootstelling.

Breng vervolgens hun meldingsroute naar CERT-SE in kaart, verifieer het huidige indieningskanaal en zet een waarschuwingssjabloon van 24 uur op. Pas daarna ga je over naar de Article 21-maatregelen: risicobeheer, toegangscontrole, ketenbeveiliging en de rest.

Wil je een snelle, gestructureerde lezing van waar een klant staat voordat je een volledige opdracht afbakent, laat ze dan door onze gratis NIS2 quick scan lopen. Die verandert een vaag "zijn we compliant?" in een concrete gatenlijst waarmee je aan de slag kunt.

Zweden is klaar met wachten. Als MSP of consultant zijn de leveranciers die de Cybersecuritywet als een actuele verplichting behandelen — niet als een toekomstige — degenen die hun Zweedse accounts behouden door de eerste handhavingsgolf.