Om du bor i EU finns det tre lagar som formar hur snabbt ett företag måste erkänna att det har hackats. En jämförelse från 2026 av NIS2, DORA och GDPR tittar på tillämpningsområde, 24- och 72-timmarsklockor för incidenter, böter i ett spann från 10 miljoner euro till 20 miljoner euro, och vilka medlemsstater som hade agerat i november 2026. Det här inlägget översätter det till klarspråk. Den korta versionen av NIS2 DORA GDPR breach reporting: klockorna är tighta, påföljderna är stora, och reglerna gäller inte på samma sätt i varje land.

Vad NIS2, DORA och GDPR:s anmälningstider vid intrång faktiskt innebär

De två siffrorna som sticker ut i jämförelsen är 24 timmar och 72 timmar. Det är tidsfrister som börjar löpa när en organisation blir medveten om en allvarlig incident. De är inte löften om att du kommer att få veta inom en dag eller tre.

I praktiken handlar dessa klockor främst om att företaget rapporterar till en tillsynsmyndighet eller behörig myndighet. Den tidiga rapporten låter tjänstemän se om en attack drabbar flera organisationer samtidigt. En kortare första tidsfrist (24 timmar) innebär i allmänhet en tidig förvarning, medan en längre (72 timmar) lämnar tid för en mer fullständig bild av vad som hänt. Källjämförelsen redogör inte för varje detalj i hur varje lag tilldelar sina klockor, så kontrollera den officiella texten i varje förordning eller din nationella myndighet för den exakta formuleringen.

De tre lagarna täcker också olika områden:

  • GDPR handlar om personuppgifter och gäller organisationer som hanterar uppgifter om personer i EU.
  • NIS2 handlar om säkerheten i nätverks- och informationssystem inom sektorer som anses viktiga för samhället.
  • DORA handlar om digital operativ motståndskraft inom finanssektorn.

På grund av denna överlappning kan en och samma incident utlösa mer än en lag samtidigt. En cyberattack mot ett finansföretag som exponerar kunduppgifter kan väcka frågor enligt alla tre.

När ett företag måste berätta om ett intrång för dig: vad detta innebär för dig

Här behöver förväntningarna justeras. En 24-timmars- eller 72-timmarsklocka betyder inte att din inkorg kommer att lysa upp nästa dag. Den första rapporten går vanligtvis till myndigheter, och underrättelse till drabbade individer är ett separat steg med egna villkor. Dessa villkor beror på vilken lag som är aktuell och hur allvarlig risken är för dig.

Vad du rimligen kan ta med dig från ramverket:

  • Tillsynsmyndigheterna hör först. Förvänta dig att den formella klockan gäller rapporten till myndigheten, inte ett offentligt tillkännagivande.
  • Tidiga underrättelser kan vara ofullständiga. En kort första rapport kan utelämna orsaken, omfattningen eller huruvida dina uppgifter var inblandade.
  • Dina rättigheter kommer främst från GDPR. Det är lagen som kretsar kring personuppgifter, så det är den du bör titta på när du vill veta vad du har rätt att få höra.
  • Sektorn spelar roll. Om din bank, en betalningsleverantör eller en samhällsviktig tjänst drabbas kan NIS2- eller DORA-skyldigheter gälla ovanpå GDPR.

Inget av detta ersätter din egen försiktighet. Även ett välskött rapporteringssystem lämnar ett gap mellan en incident och din underrättelse, så det hjälper att byta lösenord, aktivera flerfaktorsautentisering och hålla koll på dina konton för ovanlig aktivitet så snart du hör talas om ett intrång.

Hur NIS2-, DORA- och GDPR-böter jämförs

Jämförelsen ramar in påföljder som ett spann från 10 miljoner euro till 20 miljoner euro. Det intervallet signalerar hur allvarligt lagstiftarna ser på missade tidsfrister och svag säkerhet. Att inte rapportera i tid är i sig ett compliance-misslyckande, separat från intrånget.

En varning om precision. Källsammanfattningen anger det övergripande spannet men inte en rad-för-rad-uppdelning som visar vilken lag som sätter vilken siffra. Vi kommer inte att gissa på beloppen per lag, eftersom påföljdsstrukturer kan omfatta olika tak, procentandelar av omsättningen och nationella implementeringsval. För DORA i synnerhet kan detaljerna bero på hur varje medlemsstat fastställer sina påföljder. Om du behöver exakta siffror för en viss lag, läs förordningen själv eller din nationella myndighets vägledning.

Vad spannet däremot säger dig är att tillsynsmyndigheterna har verklig hävstång. För företag som måste uppfylla flera överlappande skyldigheter kan en incident som hanteras dåligt skapa mer än ett compliance-problem samtidigt.

Hur du kontrollerar om ditt EU-land har införlivat NIS2 och DORA

Jämförelsen spårar också vilka EU-stater som hade agerat i november 2026, vilket är en påminnelse om att EU-regler inte alltid träder i kraft överallt samtidigt. NIS2 är ett direktiv, så varje medlemsstat måste införliva det i nationell lag, och framstegen kan skilja sig från land till land. Praktiska sätt att kontrollera var ditt land står:

  1. Sök på din nationella regerings cybersäkerhetsmyndighet. Den publicerar vanligtvis statusen för nationell NIS2-lagstiftning och listar vilka som måste registrera sig eller rapportera.
  2. Titta på din finansinspektion. För DORA är den nationella finansinspektionen den bästa källan till hur reglerna tillämpas på banker, försäkringsbolag och betalningsföretag.
  3. Kontrollera din dataskyddsmyndighet. För GDPR förklarar den hur man lämnar in ett klagomål och vilka underrättelserättigheter du har.
  4. Läs de officiella EU-texterna. Förordningarna och direktiven själva är den slutliga sanningen om tidsfrister och tillämpningsområde.

Om ditt land har varit långsamt tar det inte bort GDPR. Det har gällt i hela EU i åratal och är fortfarande ditt mest direkta verktyg när personuppgifter exponeras.

Viktiga slutsatser

Att förstå NIS2 DORA GDPR breach reporting kokar ner till några punkter: 24-timmars- och 72-timmarsklockorna styr mestadels rapporter till tillsynsmyndigheter, böterna är betydande och nationellt införlivande varierar. Ta några minuter den här veckan för att slå upp ditt eget lands NIS2- och DORA-status och granska dina GDPR-rättigheter att bli informerad och att klaga till din dataskyddsmyndighet.

Om du vill se hur en regim utanför EU hanterar liknande frågor kan du läsa vår bevakning av UK Cyber Security Resilience Bill, som drar in kritisk infrastruktur i ett formellt nationellt ramverk och tar itu med egna incidentrapporteringsskyldigheter. Att jämföra den med EU:s synsätt visar hur olika regeringar närmar sig snabbare och mer strukturerad avslöjande av intrång.