Cybersäkerhetslagen kan leda till kundfrågor om AI

Den 15 januari 2026 trädde cybersäkerhetslagen i kraft. Den genomför EU:s NIS 2-direktiv, och regeringen skriver att kommuner och företag får högre krav på sin egen cybersäkerhet. Lagen nämner inte AI. Vår bedömning är att den ändå kan nå er som leverantör, om en av era kunder omfattas av den. Resonemanget bygger på lagens krav på säkerhet i leveranskedjan, och 2 kap. 3 § anger inga krav på leverantörerna.

Paragrafen om leveranskedjan anger inga krav på leverantörer

Verksamhetsutövare är de organisationer som omfattas av lagen. Enligt 1 kap. 3 § är det bland annat kommuner och regioner. Enligt 1 kap. 4 § gäller lagen även verksamhetsutövare som omfattas av bilaga 1 eller 2 till NIS 2-direktivet, som är etablerade i Sverige och som är minst medelstora företag. Lagen delar enligt 9 § in dem i väsentliga och viktiga. Vilka sektorer bilagorna räknar upp har vi inte gått igenom. Ett bolag som själv är medelstort och verkar i en av dem kan omfattas direkt, och om en kund omfattas bör ni kontrollera mot tillsynsmyndigheternas vägledning.

Enligt 2 kap. 3 § ska verksamhetsutövaren vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda sina nätverks- och informationssystem. Säkerhet i leveranskedjan är ett av tio områden som åtgärderna minst ska omfatta. Paragrafen beskriver inte närmare vilka krav som ska ställas på leverantörerna.

Tillsyn och ingripande gäller dem som omfattas

Regeringen skriver att lagen innehåller regler om tillsyn och om möjligheter att ingripa mot verksamhetsutövare som inte följer den. Enligt 2 kap. 4 § ska personer i ledningen genomgå utbildning om säkerhetsåtgärder.

Som mest långtgående åtgärd kan en befattningshavare hos en väsentlig verksamhetsutövare förbjudas att ha en ledningsfunktion. Det kräver enligt 4 kap. 6 § att ett föreläggande inte följts, att överträdelsen är allvarlig och att befattningshavaren orsakat den uppsåtligen eller av grov oaktsamhet. En allmän förvaltningsdomstol beslutar på ansökan av tillsynsmyndigheten, och förbudet gäller ett till tre år enligt 4 kap. 7 och 8 §§. Bestämmelserna gäller de verksamhetsutövare som själva omfattas.

Kunder kan behöva fråga er hur ni hanterar AI

Det här är vår bedömning. En kund som omfattas kan behöva visa vad den gjort för säkerheten hos sina leverantörer, och ett sätt är att fråga dem hur de hanterar information och system. Ett AI-verktyg där kundens information skrivs in kan ingå i frågorna, om verktyget körs hos en extern leverantör.

Hur frågorna ställs vet vi inte. De kan komma som ett frågeformulär eller som ett tillägg i ett avtal. Den som då saknar svar kan tvingas skriva dem under tidspress, med den kunskap som råkar finnas hos mottagaren.

Tre frågor går att besvara redan nu

Den första frågan är vilka AI-verktyg som används i arbete som rör kunders information, och via vilka avtal. Den andra är om svaren är samlade i ett dokument som kan skickas till en kund. Den tredje är vem i bolaget som ansvarar för svaren när kunden hör av sig.

För att besvara den första måste ni veta vilka verktyg som används, vilket artikeln om att hitta alla AI-initiativ som redan pågår tar upp. Vem som ska ha rollen behandlar artikeln om AI-ansvarig i teamet. Hur information skyddas rättsligt beskriver artikeln om företagshemligheter och AI.

Fråga era tre största kunder om de omfattas av cybersäkerhetslagen och om de planerar att ställa nya krav på leverantörer. Svaret ger en fingervisning om huruvida frågorna är på väg.