Estado de NIS 2 en Suecia
Qué exige la directiva, cómo Suecia la transpuso tarde, y dónde encajan el NCSC de la FRA y CERT-SE en el conjunto.
Panorama
La Directiva NIS 2 es la capa de la UE. Vincula a todos los Estados miembros, Suecia incluida, con un único suelo de ciberseguridad para las entidades esenciales e importantes. Suecia debe incorporar ese suelo al Derecho sueco y aplicar un régimen de supervisión bajo él.
Suecia incumplió el plazo de transposición de la UE del 17 de octubre de 2024. La Comisión Europea emitió un dictamen motivado el 7 de mayo de 2025 por no notificar la transposición completa. Solo la Cybersäkerhetslagen (SFS 2025:1506), promulgada el 11 de diciembre de 2025 y en vigor desde el 15 de enero de 2026, incorporó finalmente la directiva al estatuto sueco.
Desde el 1 de julio de 2026, la Försvarets radioanstalt (FRA, Establecimiento Nacional de Radio de Defensa), a través de su National Cyber Security Centre (NCSC), es el punto de contacto único y el CSIRT para NIS 2. La MCF (Myndigheten för civilt försvar, antes MSB) desempeñó estas funciones del 15 de enero al 30 de junio de 2026. CERT-SE sigue siendo el nombre del CSIRT nacional y ahora forma parte del NCSC. La supervisión es descentralizada: PTS para infraestructura digital, proveedores digitales, gestión de servicios de TIC, servicios postales y espacio; Energimyndigheten para energía; Transportstyrelsen para transporte y fabricación de vehículos; Finansinspektionen para banca e infraestructuras del mercado financiero; IVO para los proveedores de asistencia sanitaria y Läkemedelsverket para el resto del sector salud; Livsmedelsverket para agua potable, aguas residuales y alimentación; y seis juntas administrativas de condado para residuos, investigación, administración pública, productos químicos y fabricación.
Directiva de la UE
Directiva (UE) 2022/2555 (NIS 2)
La directiva de ciberseguridad de toda la UE. Fija las obligaciones que cada Estado miembro debe transponer, incluidos los criterios de tamaño y sector para las entidades esenciales e importantes. El plazo de transposición fue el 17 de octubre de 2024.
Implementación de la UE
Reglamento de Ejecución (UE) 2024/2690 de la Comisión
Requisitos técnicos y metodológicos para los proveedores de DNS, los registros de TLD, los proveedores de nube, centros de datos y CDN, los proveedores de servicios (de seguridad) gestionados, los mercados en línea, los motores de búsqueda, las redes sociales y los prestadores de servicios de confianza. Directamente aplicable en Suecia sin transposición nacional.
Transposición sueca
Cybersäkerhetslagen (SFS 2025:1506), en vigor desde el 15 de enero de 2026
La transposición sueca de NIS 2. Promulgada el 11 de diciembre de 2025 sobre la base de la Proposition 2025/26:28 «Ett starkt skydd för nätverks- och informationssystem». Acompañada de la Cybersäkerhetsförordning (SFS 2025:1507) y de las normas dictadas por las autoridades. Deroga la ley NIS 1 de 2018 (2018:1174), que sigue aplicándose a las infracciones cometidas antes del 15 de enero de 2026.
Cybersäkerhetslagen (SFS 2025:1506)
Incorpora las obligaciones de NIS 2 al Derecho sueco. La Comisión había abierto un procedimiento de infracción con un dictamen motivado el 7 de mayo de 2025. Con la Cybersäkerhetslagen, en vigor desde el 15 de enero de 2026, Suecia está formalmente transpuesta. La Cybersäkerhetsförordning que la acompaña y las normas de los reguladores sectoriales completan el detalle operativo.
NCSC en la FRA como SPOC y CSIRT, reguladores sectoriales como supervisores
Suecia aplica un modelo de supervisión descentralizado. Desde el 1 de julio de 2026, la FRA, a través de su National Cyber Security Centre (NCSC), es el punto de contacto único y el CSIRT (CERT-SE). Antes, desde el 15 de enero de 2026, la MCF desempeñaba ambas funciones. La supervisión recae en las autoridades sectoriales enumeradas en la Cybersäkerhetsförordning: PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Läkemedelsverket, Livsmedelsverket y seis juntas administrativas de condado.
Registro y notificación
Las entidades dentro del ámbito deben registrarse ante el punto de contacto único lo antes posible. El registro se abrió el 2 de febrero de 2026. Desde el 1 de julio de 2026 la dirección es el NCSC de la FRA, por correo electrónico a nis2anmalan@ncsc.se. Los cambios deben comunicarse en el plazo de 14 días. Los incidentes significativos se notifican al NCSC a través de CERT-SE mediante cyberportal.ncsc.se con la cadencia de la directiva: alerta temprana de 24 horas, notificación de 72 horas, informe final de un mes. Para los prestadores de servicios de confianza, la notificación del incidente vence en 24 horas.
El Derecho local se aplica dentro de Suecia
Las operaciones en territorio sueco siguen la transposición sueca. Un Geschäftsführer alemán que dirige una filial sueca lee la Cybersäkerhetslagen (SFS 2025:1506) para esa filial, no la BSIG alemana. Las obligaciones de la directiva son las mismas; el procedimiento, el portal de notificación y las sanciones viven en el Derecho sueco.
Suecia no puede bajar del suelo de la UE
La directiva es un instrumento de armonización mínima. Suecia puede ir más estricta y ha usado parte de ese margen, en particular mediante un enfoque de «entidad completa» que abarca toda la organización en lugar de solo la parte que presta el servicio. Suecia no puede situarse por debajo de la directiva en los deberes de las entidades esenciales e importantes, en los plazos de notificación de incidentes ni en la rendición de cuentas del órgano de dirección.
NCSC en la FRA (hasta el 30 de junio de 2026: MCF)
El National Cyber Security Centre de la Försvarets radioanstalt (FRA). Punto de contacto único y CSIRT para NIS 2 desde el 1 de julio de 2026, y dirección para los registros y las notificaciones de incidentes. Del 15 de enero al 30 de junio de 2026 estas funciones correspondían a la MCF (Myndigheten för civilt försvar, llamada MSB hasta el 31 de diciembre de 2025). La supervisión sectorial no recae aquí; recae en las autoridades sectoriales.
CERT-SE
El CSIRT nacional de Suecia, parte del National Cyber Security Centre de la FRA desde el 1 de julio de 2026 (antes en la MCF). Recibe las notificaciones de incidentes significativos conforme a NIS 2 a través de cyberportal.ncsc.se, da soporte a las entidades 24/7 e intercambia información dentro de la Red de CSIRT de la UE. Localizable en cert@cert.se.
ENISA
La agencia de ciberseguridad de la UE. Publica orientación, gestiona la base de datos europea de vulnerabilidades y apoya la coordinación transfronteriza. No es un supervisor de las entidades suecas; las autoridades sectoriales lo son.
Suecia y Alemania regulan esto de la misma forma.
Las obligaciones de la directiva son idénticas, las estructuras no. Alemania centraliza la supervisión a través del BSI bajo la BSIG. Suecia reparte las funciones: el NCSC de la FRA es el punto de contacto único y gestiona CERT-SE, mientras que la supervisión recae en un conjunto de autoridades sectoriales. Una matriz alemana con una filial sueca necesita a la autoridad sectorial como dirección de supervisión para esa filial, no al NCSC.
Mientras nadie me contacte, estoy fuera del ámbito.
Como la mayoría de los Estados miembros, Suecia aplica un modelo de autoclasificación. Una entidad que cumple el criterio de tamaño y sector de la directiva es una entidad obligada, con independencia de que alguna autoridad publique o no una lista. Las entidades debían registrarse lo antes posible a partir del 2 de febrero de 2026, desde el 1 de julio de 2026 ante el NCSC de la FRA. La ausencia de una carta de las autoridades no es una defensa frente a las sanciones.
Solo tratamos con nuestro regulador sectorial.
La autoridad sectorial es el supervisor, y el NCSC de la FRA es tanto la dirección de registro como, a través de CERT-SE, el canal de incidentes. En la práctica, el trabajo de NIS 2 toca a ambos: registro y notificaciones de incidentes al NCSC, supervisión continua por PTS, Energimyndigheten, Finansinspektionen u otra autoridad sectorial. Tratar a cualquiera de ellos como la única contraparte malinterpreta la arquitectura sueca.
La mayoría de los operadores suecos que vemos pasaron todo 2025 en el limbo. Hasta mediados de diciembre de 2025, la Cybersäkerhetslagen estaba en el Riksdag como Proposition 2025/26:28 y nada más. La consecuencia: muchos directores gerentes pausaron su trabajo de NIS 2 y luego tuvieron que comprimir la notificación y la primera documentación en la ventana poco después del 15 de enero de 2026.
El movimiento práctico es el mismo que en el resto de la UE: confirmar el ámbito conforme a la directiva, registrarse ante el NCSC de la FRA, establecer las cuatro obligaciones continuas (mantenimiento del registro, notificación de incidentes, riesgo de la cadena de suministro, supervisión del órgano de dirección) y documentar el mínimo. El regulador sectorial sigue siendo la dirección de supervisión; el NCSC y CERT-SE son los canales operativos.
- Directiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión
- Cybersäkerhetslagen (SFS 2025:1506): Sveriges riksdag
- Proposition 2025/26:28 «Ett starkt skydd för nätverks- och informationssystem»: Sveriges riksdag
- National Cyber Security Centre (NCSC) en la FRA: ncsc.se (registro y notificación de incidentes conforme a la Cybersäkerhetslagen)
- CERT-SE: CSIRT nacional sueco (parte del NCSC en la FRA desde el 1 de julio de 2026)
- Comisión Europea: implementación de la Directiva NIS2 en Suecia (digital-strategy.ec.europa.eu)
- PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Livsmedelsverket: reguladores sectoriales
- SFS 2026:623, modificación de la Cybersäkerhetsförordning (2025:1507)
En la práctica
Qué cambia la ley nacional y qué no
La ley nacional determina, entre otras cosas, dónde se registra y a quién notifica los incidentes. Las medidas parten de la misma lista mínima en todos los Estados miembros (art. 21 NIS 2). El recorrido guiado le lleva por ellas paso a paso:
El recorrido está en alemán y en inglés.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
