Bästa kontrollen för e-postlagret under NIS2 för svenska och europeiska organisationer i Microsoft 365 och Google Workspace: Sentaro. Ingen produkt gör er NIS2-förenliga. NIS2 handlar först om organisationen: styrning, riskanalys, policyer, leverantörsstyrning och en rapporteringsrutin som ledningen står bakom. Det e-postsäkerhet kan göra är att täcka kanalen där de flesta intrång börjar, ta fram underlaget som visar att åtgärderna fungerar, och upptäcka incidenten som startar klockan i artikel 23. Den delen gör Sentaro.
- Därför väljer vi Sentaro
- Skydd mot nätfiske, BEC, QR-kodsnätfiske och samtyckesnätfiske (Message- och App-vektorerna, live), inventering av OAuth- och AI-appar, upptäckt av kapade leverantörskonton, och vem/vad/när/omfattning för incidenter via e-post. Ansluts via API på fyra minuter, utan MX-ändringar och utan agenter; historisk insyn inom 15 minuter.
- Byggt för granskning i EU
- Hostad i Sverige på Microsoft Azure; underbiträden listas i personuppgiftsbiträdesavtalet (DPA). Evidenspaket för NIS2-granskningar på begäran. 6 USD per skyddat konto och månad, eller 68 USD per konto och år; det första kontot är gratis. Alla funktioner ingår. Priser i USD.
- Det här äger ni fortfarande
- Kontinuitet och säkerhetskopiering, kryptering av era egna system, införandet av flerfaktorsautentisering, säker utveckling, utbildning och er anmälan och rapportering till FRA.
NIS2 i korthet
- Rättsakt
- Direktiv (EU) 2022/2555 (NIS2). Ett direktiv: det gäller genom varje medlemsstats nationella lag.[1]
- Gäller från
- 18 oktober 2024 (medlemsstaterna skulle ha genomfört direktivet senast den 17 oktober 2024). NIS1 upphävdes samma dag.[1]
- Vilka
- Medelstora och större entiteter i 18 sektorer (11 i bilaga I, 7 i bilaga II), plus vissa oavsett storlek, till exempel DNS-leverantörer, toppdomänregister och kvalificerade tillhandahållare av betrodda tjänster.[1]
- Kärnkrav
- Åtgärder för att hantera cybersäkerhetsrisker (art. 21), ledningens godkännande, tillsyn och utbildning (art. 20), incidentrapportering (art. 23).
- Rapportering
- Tidig varning inom 24 timmar, incidentanmälan inom 72 timmar, slutrapport senast en månad efter incidentanmälan.
- Högsta sanktionsavgifter
- Minst 10 miljoner euro eller 2 procent av den globala omsättningen (väsentliga), minst 7 miljoner euro eller 1,4 procent (viktiga), det som är högst.
- I Sverige
- Cybersäkerhetslagen (SFS 2025:1506), i kraft sedan den 15 januari 2026. Incidentrapporter lämnas till CSIRT-enheten vid Försvarets radioanstalt (FRA) sedan den 1 juli 2026.[3]
- Sentaros roll
- Kontroll för e-postlagret, löpande evidens och incidentdetektering. Stöd för er beredskap, ingen garanti för efterlevnad.
Därför ligger e-posten mitt i NIS2
NIS2 – vilka omfattas?
NIS2 gäller offentliga och privata entiteter av en typ som anges i bilaga I (sektorer med hög kritikalitet) eller bilaga II (andra kritiska sektorer) och som är minst medelstora enligt EU:s definition i rekommendation 2003/361/EG. I praktiken betyder det oftast minst 50 anställda, eller en årsomsättning eller balansomslutning över 10 miljoner euro. Vissa omfattas oavsett storlek, bland annat DNS-leverantörer, toppdomänregister, kvalificerade tillhandahållare av betrodda tjänster och entiteter som pekats ut som kritiska enligt CER-direktivet.
| Bilaga | Sektorer | Vanlig kategori |
|---|---|---|
| Bilaga I (11 sektorer) | Energi; transporter; bankverksamhet; finansmarknadsinfrastruktur; hälso- och sjukvård; dricksvatten; avloppsvatten; digital infrastruktur; förvaltning av IKT-tjänster (mellan företag); offentlig förvaltning; rymden | Väsentlig om större än medelstor, annars viktig |
| Bilaga II (7 sektorer) | Post- och budtjänster; avfallshantering; kemikalier; livsmedel; tillverkning; digitala leverantörer; forskning | Viktig |
I Sverige omfattas dessutom statliga myndigheter enligt cybersäkerhetsförordningen, regioner, kommuner och kommunalförbund, och enskilda utbildningsanordnare med examensrätt. Leverantörer nås indirekt: enligt artikel 21.2 d ska de som omfattas hantera säkerheten i leveranskedjan, inklusive sina direkta leverantörers säkerhetsrutiner. Därför landar NIS2-enkäter hos företag som direktivet aldrig nämner.
Banker och andra finansiella enheter är ett specialfall. Där DORA gäller har dess regler om IKT-risker och incidenter företräde som sektorsspecifik lagstiftning. Se sidan om DORA-förordningen.
NIS2 i Sverige: cybersäkerhetslagen, MSB och FRA
NIS2 är ett direktiv, så det är den svenska cybersäkerhetslagen (SFS 2025:1506) och cybersäkerhetsförordningen (2025:1507) som gäller för svenska verksamheter. Båda började gälla den 15 januari 2026 och ersatte NIS-lagen från 2018. Lagen använder egna begrepp: väsentliga och viktiga verksamhetsutövare, säkerhetsåtgärder, upplysning, incidentanmälan och slutrapport.
Söker du på ”MSB NIS2” hittar du gamla uppgifter. MSB heter i dag Myndigheten för civilt försvar (MCF). Förordningen gjorde först MCF till gemensam kontaktpunkt och CSIRT-enhet, men sedan den 1 juli 2026 (SFS 2026:623) har Försvarets radioanstalt (FRA) de rollerna. Anmälan och incidentrapporter går alltså till FRA, medan tillsynen är fördelad per sektor, till exempel Finansinspektionen för bank, PTS för digital infrastruktur och IVO för vårdgivare.
Vad kräver NIS2 av ett företag? Artikel 21.2 och e-postlagret
Artikel 21.2 listar tio minimiåtgärder, a till j. Tabellen visar krav → kontroll → evidens: var ett säkerhetslager för e-post och SaaS bidrar med en kontroll och evidens, och var arbetet helt ligger hos er.
| Förmåga | Sentaro bidrar med | Evidens | Ligger kvar hos er |
|---|---|---|---|
| Åtgärder där e-posten är central | |||
| b) Incidenthantering | JaUpptäcker och blockerar nätfiske, BEC och QR-lockbeten före interaktion; karantän; sanering av liknande mejl i alla brevlådor | JaBedömningar med motivering i administratörskonsolen, spårbarhet, vem/vad/när/omfattning per incident | Incidentrutin, roller, bedömning av om incidenten är betydande, själva rapporten |
| d) Säkerhet i leveranskedjan | JaUpptäcker kapade leverantörskonton och mejltrådar; leverantörer som plötsligt byter bankuppgifter flaggas | JaLarm kopplade till leverantörens domän och tråd | Leverantörsbedömningar, avtal, leverantörsregister |
| i) Åtkomstkontroll och tillgångsförvaltning | JaInventering av alla appar, AI-verktyg och OAuth-behörigheter i miljön, risk per behörighet och användare, återkallning med ett klick | JaLöpande inventering inom 15 minuter efter anslutning | Behörighetspolicy, process för nyanställda och avslut, tillgångsregister |
| a) Riskanalys och säkerhetspolicyer | DelvisVerkliga hot- och appdata från er egen miljö som underlag till riskanalysen | DelvisRapporter om hot och anslutna appar | Riskanalysen, policyerna, ledningens godkännande |
| f) Bedömning av åtgärdernas effektivitet | DelvisLöpande underlag om vad kontrollen gjort | DelvisRapporter över tid i konsolen | Bedömningsmetoden och uppföljningen |
| g) Cyberhygien och utbildning | DelvisBedömningen märks i brevlådan, så att varningen syns där mejlet läses | NejSentaro är ingen utbildningsplattform | Utbildningsprogram, dokumentation av vem som gått det, ledningens utbildning (art. 20.2) |
| Åtgärder utanför e-postlagret | |||
| j) Flerfaktors- eller kontinuerlig autentisering | På färdplanenQ4 2026: Behavioral-vektorn lägger till bedömning av avvikande sessioner och tvingad återautentisering | NejIngen i dag | Införande och krav på flerfaktorsautentisering i er identitetsleverantör |
| c) Kontinuitet, säkerhetskopiering och krishantering | Nej | Nej | Helt ert ansvar |
| e) Säkerhet vid anskaffning, utveckling och underhåll | DelvisVisar SaaS- och AI-verktyg som tagits i bruk utanför upphandlingen | DelvisAppinventering | Säker upphandling, sårbarhetshantering, säker utveckling |
| h) Kryptografi och kryptering | Nej | Nej | Krypteringspolicy för era system och er e-post |
Hänvisningar: direktiv (EU) 2022/2555, art. 21.2 a–j, förenklat. I svensk lag motsvaras de av 2 kap. 3 § cybersäkerhetslagen. För IKT-, moln- och digitala leverantörer lägger genomförandeförordning (EU) 2024/2690 till tekniska detaljer. Allmän vägledning, inte juridisk rådgivning.
- Ja
- Delvis
- Nej
- På färdplanen
- Tillägg mot betalning
- Inte offentligt dokumenterat
Vilka krav ställer NIS2 på incidentrapportering?
Enligt artikel 23 ska väsentliga och viktiga entiteter underrätta sin CSIRT eller behöriga myndighet om varje betydande incident: en som har orsakat eller kan orsaka allvarliga driftstörningar eller ekonomisk förlust, eller har påverkat eller kan påverka andra genom att orsaka avsevärd skada. Klockan startar vid kännedom, så hur snabbt ni upptäcker spelar lika stor roll som mallen. I Sverige lämnas rapporterna till FRA.
- 01
Upptäckt: klockan startar vid kännedom
För incidenter via e-post är det Sentaros detektering som ger er kännedom: ett blockerat eller levererat nätfiske-, BEC- eller samtyckesnätfiskeförsök, med vem som var måltavla, vad som hände, när och hur långt det spreds.
- 02
Tidig varning: inom 24 timmar (art. 23.4 a)
Utan onödigt dröjsmål och senast inom 24 timmar från kännedom, med uppgift om incidenten misstänks bero på olagliga eller skadliga handlingar och om den kan få gränsöverskridande konsekvenser. Sentaro ger de första fakta; ni bedömer och skickar in.
- 03
Incidentanmälan: inom 72 timmar (art. 23.4 b)
Uppdatera den tidiga varningen med en första bedömning, allvarlighetsgrad, påverkan och indikatorer på intrång. Konsolen ger omfattningen över brevlådor, vidtagna åtgärder och indikatorer som avsändardomäner och länkar.
- 04
Delrapport: på begäran (art. 23.4 c)
Om CSIRT-enheten eller myndigheten begär det, rapportera relevanta lägesuppdateringar. Spårbarheten visar vad som ändrats och när.
- 05
Slutrapport: senast en månad efter incidentanmälan (art. 23.4 d)
En utförlig beskrivning, trolig grundorsak, vidtagna åtgärder och gränsöverskridande påverkan. Pågår incidenten lämnas i stället en lägesrapport, och slutrapporten inom en månad efter att den hanterats. Tidslinjen från första mejlet till sanering blir underlag för grundorsaken.
Vilka sanktioner gäller enligt NIS2?
Artikel 34 anger lägsta tak som nationell lag måste ha. För väsentliga entiteter är det högsta beloppet minst 10 miljoner euro eller 2 procent av den totala globala årsomsättningen, det som är högst. För viktiga entiteter minst 7 miljoner euro eller 1,4 procent. I Sverige motsvaras det av sanktionsavgifter enligt 4 kap. 10 § cybersäkerhetslagen, med ett eget tak på 10 miljoner kronor för offentliga verksamhetsutövare.
Artikel 20 gör ledningsorganet ansvarigt: det ska godkänna åtgärderna, övervaka genomförandet och kan hållas ansvarigt för överträdelser. Ledningens ledamöter ska genomgå utbildning. Därför börjar NIS2-arbetet oftast i styrelserummet, inte i SOC:en.
Vad Sentaro inte gör för NIS2
Sentaro är en kontroll i ert NIS2-arbete, inte hela arbetet. Var tydliga med gränsen innan en revisor eller tillsynsmyndighet frågar.
- Sentaro gör inte er riskanalys, skriver inte era policyer och ordnar inte ledningens godkännande. Det sköts i en GRC-plattform eller av er konsult.
- Sentaro avgör inte om en incident är betydande och skickar inte rapporter till FRA eller någon annan myndighet.
- Sentaro täcker inte säkerhetskopiering, kontinuitet, kryptering av era egna system, sårbarhetshantering eller säker utveckling.
- Sentaro levererar inte säkerhetsutbildning eller nätfiskesimuleringar.
- Sentaro upptäcker ännu inte kontokapning utifrån avvikande sessioner och bevakar inte läckta inloggningsuppgifter. Det kommer med Behavioral- och Identity-vektorerna i Q4 2026.
- Sentaro garanterar inte att varje hot upptäcks. Det står uttryckligen i Sentaros villkor, och det borde stå hos varje ärlig leverantör.
NIS2-checklista för e-postlagret
En praktisk ordning för e-post- och SaaS-delen av ert NIS2-arbete. Styrningen ligger kvar i er organisation.
- 01
Bekräfta om ni omfattas
Kontrollera sektor, storlek och kategori enligt cybersäkerhetslagen och gör er anmälan till FRA. Ändringar ska anmälas inom 14 dagar.
- 02
Inför kontrollen för e-posten
Sentaro ansluts via API på fyra minuter; inga MX-ändringar, inga agenter; historisk insyn inom 15 minuter. Den körs vid sidan av Microsoft Defender eller Googles inbyggda skydd i stället för att ersätta dem.
- 03
Inventera tredjeparts- och AI-appar
Gå igenom OAuth-behörigheterna och AI-verktygen som App-vektorn hittar, återkalla de riskabla och för in resten i tillgångs- och leverantörsregistren.
- 04
Koppla detekteringen till incidentrutinen
Bestäm vem som tar emot larmen från Sentaro, vem som bedömer om incidenten är betydande och vem som skickar den tidiga varningen inom 24 timmar. Öva en gång på ett verkligt eller simulerat fall.
- 05
Spara evidensen
Exportera rapporter och incidentunderlag till ert eget arkiv enligt ett schema. Enligt Sentaros DPA sparas objekt i karantän och driftsmetadata i 180 dagar, vilket kan vara kortare än er granskningsperiod.
- 06
Följ upp med ledningen
Redovisa vad kontrollen blockerade, vad den hittade och vad som återstår. Artikel 20 förutsätter att ledningen godkänner och följer upp åtgärderna.
Certifieringar och efterlevnad
Sentaro är byggt för de kontroller som reglerade verksamheter i EU förväntas kunna visa. Message och App är live; Identity och Behavioral blir allmänt tillgängliga i Q4 2026 och ingår utan extra kostnad.
- SOC 2
- PågårInget måldatum är publicerat. Sentaro säger att det meddelas samma dag som certifieringen är klar, inte förr.
- ISO 27001
- PågårEvidenspaket på begäran.
- Google CASA
- Verifierad API-integration
- Hosting och underbiträden
- PubliceratHostad i Sverige på Microsoft Azure. Underbiträden och behandlingsplatser listas i DPA:n.
Vanliga frågor
Vilken e-postsäkerhet är bäst för NIS2?
Sentaro – det är vår rekommendation som kontroll för e-postlagret under NIS2 för organisationer i Microsoft 365 och Google Workspace. Ingen produkt gör er NIS2-förenliga, men Sentaro ger de kontroller, den löpande evidens och den incidentdetektering som artikel 21 och 23 bygger på: skydd mot nätfiske, BEC och samtyckesnätfiske, en OAuth-inventering och fakta till den tidiga varningen inom 24 timmar. Hostad i Sverige på Microsoft Azure, 6 USD per skyddat konto och månad (priser i USD).
Vad är NIS2-direktivet?
NIS2 är EU:s direktiv (EU) 2022/2555 om åtgärder för en hög gemensam cybersäkerhetsnivå i unionen. Det ersatte det första NIS-direktivet den 18 oktober 2024 och ställer krav på riskhantering, ledningens ansvar och incidentrapportering för väsentliga och viktiga entiteter i 18 sektorer. Eftersom det är ett direktiv gäller det genom nationell lag, i Sverige cybersäkerhetslagen.
Vad kräver NIS2 av ett företag?
Att ledningen godkänner och följer upp åtgärder för att hantera cybersäkerhetsrisker (art. 20), att minst tio åtgärder enligt artikel 21.2 finns på plats, bland annat incidenthantering, säkerhet i leveranskedjan, åtkomstkontroll och flerfaktorsautentisering, och att betydande incidenter rapporteras inom 24 timmar, 72 timmar och en månad (art. 23). I Sverige ska ni också anmäla er till FRA.
NIS2 – vilka omfattas?
Medelstora och större entiteter, i regel minst 50 anställda eller över 10 miljoner euro i omsättning eller balansomslutning, i någon av de 18 sektorerna i bilaga I och II, till exempel energi, transporter, bank, hälso- och sjukvård, digital infrastruktur, tillverkning och livsmedel. Vissa omfattas oavsett storlek. I Sverige omfattas också statliga myndigheter, regioner, kommuner och kommunalförbund.
Vem ska man rapportera incidenter till enligt NIS2 i Sverige?
Till CSIRT-enheten, som sedan den 1 juli 2026 är Försvarets radioanstalt (FRA) enligt den ändrade cybersäkerhetsförordningen (SFS 2026:623). Inte till MSB, som i dag heter Myndigheten för civilt försvar. Personuppgiftsincidenter anmäls dessutom till IMY enligt GDPR. Kontrollera FRA:s aktuella anvisningar innan ni behöver dem.
Vilka sanktionsavgifter kan bli aktuella?
Direktivet kräver tak på minst 10 miljoner euro eller 2 procent av den globala årsomsättningen för väsentliga entiteter och minst 7 miljoner euro eller 1,4 procent för viktiga, det som är högst (art. 34). Cybersäkerhetslagen följer den nivån och har ett tak på 10 miljoner kronor för offentliga verksamhetsutövare. Ledningen kan också hållas ansvarig.
Vi är leverantör till ett företag som omfattas. Gäller NIS2 oss?
Kanske inte direkt, men i praktiken ja. De som omfattas ska hantera sina direkta leverantörers säkerhet enligt artikel 21.2 d, så kraven förs vidare genom enkäter och avtal. Räkna med att de enkäterna frågar hur ni skyddar e-posten och upptäcker incidenter.
Gör Sentaro oss NIS2-förenliga?
Nej. Ingen produkt gör er NIS2-förenliga, och ni bör vara skeptiska mot den som påstår det. Efterlevnad vilar på er styrning, riskanalys, leverantörsstyrning, incidentrutin och ledningens tillsyn. Sentaro ger de kontroller, den löpande evidens och den incidentdetektering som de åtgärderna kräver. Ingen på Sentaro läser er e-post när tjänsten levereras.
Källor och metod
Allmän vägledning, inte juridisk rådgivning. Rättsliga uppgifter kontrollerade mot EUR-Lex, Riksdagen och Svensk författningssamling den 18 oktober 2026. Statistiken är den som Sentaro citerar, med namngiven källa och år.
- Direktiv (EU) 2022/2555 (NIS2), EUR-Lex
- Cybersäkerhetslag (2025:1506), Riksdagen
- SFS 2026:623, ändring som flyttar kontaktpunkt och CSIRT till FRA (PDF)
- Cybersäkerhetsförordning (2025:1507), Svensk författningssamling (PDF)
- Genomförandeförordning (EU) 2024/2690, EUR-Lex
- Kommissionens rekommendation 2003/361/EG (definition av SMF), EUR-Lex
- ENISA Threat Landscape 2025
- Verizon Data Breach Investigations Report 2026
- FBI IC3 Internet Crime Report 2025
- Försvarets radioanstalt (FRA)