NIS2 og den nye digitalsikkerhetsloven: Krav til norske bedrifter

NIS2 er EUs oppdaterte direktiv for nettverks- og informasjonssikkerhet, som erstatter det opprinnelige NIS-direktivet med vesentlig strengere krav. Direktivet utvider kretsen av berørte virksomheter, innfører personlig styreansvar for cybersikkerhet, krever hendelsesrapportering innen 24 timer og har bøter opp til 10 millioner euro. Norge implementerer NIS2 gjennom en oppdatert digitalsikkerhetslov med forventet ikrafttredelse i 2026.

I denne artikkelen gir vi en grundig gjennomgang av hva NIS2 betyr for norske bedrifter, hvilke sektorer som rammes, og konkrete tiltak du bør iverksette nå.

Hva er NIS2?

NIS2 (Network and Information Security Directive 2) er EUs reviderte direktiv for cybersikkerhet, vedtatt i januar 2023. Det stiller ti konkrete minimumskrav til sikkerhet — fra risikoanalyse og hendelseshåndtering til forsyningskjedesikkerhet og flerfaktorautentisering. Direktivet rammer langt flere sektorer og virksomheter enn forgjengeren, og gir tilsynsmyndighetene sterkere håndhevingsverktøy. For norske virksomheter betyr dette at cybersikkerhet ikke lenger bare er et IT-spørsmål, men et styreansvar med juridiske konsekvenser.

Bakgrunn: Fra NIS1 til NIS2

Norges første digitalsikkerhetslov, basert på det opprinnelige NIS-direktivet (NIS1), trådte i kraft i oktober 2024. Loven ga et grunnlag for sikkerhetskrav i utvalgte sektorer, men dekket bare et begrenset antall virksomheter og hadde svakheter i håndhevingsmekanismene.

EU vedtok NIS2-direktivet i januar 2023 som en betydelig utvidelse. Direktivet utvider virkeområdet dramatisk, skjerper kravene til risikostyring, innfører strengere sanksjoner og stiller krav til forsyningskjedesikkerhet. Norge arbeider nå med å implementere NIS2 i norsk lov, med forventet ikrafttredelse i løpet av 2026.

Tidslinje for NIS2 i Norge

• Januar 2023: EU vedtar NIS2-direktivet
• Oktober 2024: NIS1-basert digitalsikkerhetslov trer i kraft i Norge
• Oktober 2024: EU-frist for nasjonal gjennomføring av NIS2 i medlemslandene
• 2025: Norske myndigheter utarbeider lovforslag for NIS2-implementering
• 2026: Forventet ikrafttredelse av oppdatert digitalsikkerhetslov med NIS2-krav
• 2026–2027: Overgangsperiode for virksomheter som må tilpasse seg nye krav

Hvem rammes? Vesentlige og viktige virksomheter

Den største endringen med NIS2 er at langt flere virksomheter omfattes. Direktivet skiller mellom to kategorier: vesentlige virksomheter (essential entities) og viktige virksomheter (important entities). Begge må oppfylle de samme sikkerhetskravene, men tilsynsregimet er forskjellig.

Berørte sektorer

Kategori	Sektorer	Eksempler
Vesentlige virksomheter	Energi	Strømprodusenter, netteiere, fjernvarme
	Transport	Flyselskaper, rederier, jernbane, havner
	Bank og finans	Banker, verdipapirforetak, markedsplasser
	Helse	Sykehus, laboratorier, legemiddelprodusenter
	Drikkevann og avløp	Vannverk, avløpsanlegg
	Digital infrastruktur	DNS-tjenester, skytjenester, datasentre, CDN-leverandører
	Offentlig forvaltning	Sentrale myndigheter, regionale enheter
	Romvirksomhet	Satellittoperatører
Viktige virksomheter	Post og kurervirksomhet	Postselskaper, budfirmaer
	Avfallshåndtering	Renovasjonsselskaper
	Kjemisk industri	Kjemikalieprodusenter og distributører
	Matproduksjon	Næringsmiddelforedling, grossister
	IKT-tjenester	Tilbydere av administrerte tjenester (MSP), sikkerhetstjenester (MSSP)
	Produksjon	Medisinsk utstyr, elektronikk, maskiner, motorvogner
	Forskning	Forskningsinstitusjoner

Størrelseskriteriet

Generelt gjelder NIS2 for virksomheter med minst 50 ansatte eller over 10 millioner euro i omsetning. Men for visse sektorer — som DNS-tjenester, skytjenester og tilbydere av elektronisk kommunikasjon — gjelder kravene uavhengig av størrelse.

Kjernen i NIS2: Ti sikkerhetskrav

NIS2 stiller ti konkrete minimumskrav til cybersikkerhet som alle berørte virksomheter må oppfylle:

Nr.	Krav	Beskrivelse
1	Risikoanalyse og sikkerhetspolicyer	Dokumenterte policyer for risikoanalyse og informasjonssikkerhet
2	Hendelseshåndtering	Prosedyrer for forebygging, deteksjon og respons på sikkerhetshendelser
3	Driftskontinuitet	Beredskapsplaner, backup-håndtering og krisestyring
4	Forsyningskjedesikkerhet	Sikkerhetskrav til leverandører og tjenesteleverandører
5	Sikkerhet i anskaffelse og utvikling	Sårbarhetshåndtering i nettverks- og informasjonssystemer
6	Vurdering av sikkerhetstiltak	Prosedyrer for å evaluere effektiviteten av sikkerhetstiltakene
7	Cyberhygiene og opplæring	Grunnleggende praksis for cyberhygiene og sikkerhetsopplæring
8	Kryptografi	Retningslinjer for bruk av kryptografi og eventuelt kryptering
9	Personellsikkerhet og tilgangsstyring	HR-sikkerhet, tilgangskontroll og aktiva-forvaltning
10	Flerfaktorautentisering	Bruk av MFA, sikret kommunikasjon og nødkommunikasjon

Styrets personlige ansvar

En av de mest betydningsfulle endringene i NIS2 er at styret og ledelsen holdes personlig ansvarlig for virksomhetens cybersikkerhet. Dette innebærer:

• Godkjenningsplikt: Styret må formelt godkjenne risikostyringstiltakene og sikre at de gjennomføres
• Opplæringsplikt: Styremedlemmer og ledelsen må gjennomgå opplæring i cybersikkerhet for å kunne fatte informerte beslutninger
• Personlig ansvar: Ved grov uaktsomhet kan styremedlemmer holdes personlig ansvarlige for brudd på sikkerhetskravene
• Tilsynsplikt: Ledelsen må aktivt overvåke implementeringen av sikkerhetstiltak og sørge for tilstrekkelige ressurser

For mange norske styrer betyr dette en fundamentalt ny situasjon. Cybersikkerhet kan ikke lenger delegeres fullstendig til IT-avdelingen — det er et strategisk lederansvar som krever kompetanse, engasjement og aktiv oppfølging.

Hendelsesrapportering: 24 timer

NIS2 innfører et strengt regime for rapportering av sikkerhetshendelser:

1. Tidlig varsling (24 timer): Innen 24 timer etter at en vesentlig hendelse oppdages, må virksomheten sende en foreløpig rapport til den nasjonale tilsynsmyndigheten. Rapporten skal angi om hendelsen mistenkes å skyldes en ulovlig handling og om den kan ha grenseoverskridende konsekvenser.

2. Hendelsesvurdering (72 timer): Innen 72 timer skal en oppdatert rapport sendes med en innledende vurdering av hendelsens alvorlighetsgrad og konsekvenser, samt indikatorer på kompromittering (IoCs).

3. Sluttrapport (én måned): Innen én måned etter hendelsesrapporten skal en detaljert sluttrapport leveres med rotårsaksanalyse, avbøtende tiltak og grenseoverskridende konsekvenser.

I Norge vil Nasjonal sikkerhetsmyndighet (NSM) gjennom Nasjonalt cybersikkerhetssenter (NCSC) være sentral i mottak og håndtering av hendelsesrapporter.

Forsyningskjedesikkerhet: Ditt ansvar strekker seg utover bedriften

NIS2 stiller eksplisitte krav til sikkerhet i forsyningskjeden. Dette betyr at du ikke bare må sikre egen virksomhet — du må også vurdere og stille krav til leverandørene dine:

• Risikovurdering av leverandører: Kartlegg alle kritiske leverandører og vurder deres sikkerhetsnivå
• Kontraktskrav: Innarbeid konkrete sikkerhetskrav i avtaler med leverandører og tjenesteleverandører
• Kontinuerlig overvåking: Gjennomfør jevnlige revisjoner og vurderinger av leverandørenes sikkerhetspraksis
• Hendelseshåndtering: Etabler prosedyrer for varsling og samarbeid ved sikkerhetshendelser i leverandørkjeden

For virksomheter som benytter skytjenester og infrastruktur fra tredjeparter, er dette særlig relevant. Ansvaret for sikkerheten hviler fortsatt på din virksomhet, selv om tjenesten leveres av en ekstern aktør.

Sanksjoner og bøter

NIS2 har et betydelig bøteregime som varierer etter virksomhetskategori:

Kategori	Maksimal bot	Alternativ beregning
Vesentlige virksomheter	10 millioner EUR	2 % av global omsetning (det høyeste beløpet gjelder)
Viktige virksomheter	7 millioner EUR	1,4 % av global omsetning (det høyeste beløpet gjelder)

I tillegg til bøter kan tilsynsmyndighetene:

• Pålegge korrigerende tiltak med bindende frister
• Ilegge tvangsmulkt ved manglende etterlevelse
• Suspendere sertifiseringer eller autorisasjoner
• Midlertidig forby lederpersoner å utøve ledelsesfunksjoner (for vesentlige virksomheter)

Norske myndigheter har signalisert at NIS2-håndhevelsen vil være betydelig strengere enn det vi har sett under NIS1.

Praktiske tiltak: Slik forbereder din bedrift seg

Uavhengig av om din virksomhet allerede er underlagt digitalsikkerhetsloven eller om NIS2 bringer nye krav, bør du starte forberedelsene nå:

Fase 1: Kartlegging (0–3 måneder)

• Avklar om din virksomhet faller inn under NIS2 (sektor, størrelse, tjenester)
• Gjennomfør en GAP-analyse mot de ti sikkerhetskravene
• Kartlegg kritiske nettverks- og informasjonssystemer
• Identifiser og vurder alle leverandører i forsyningskjeden
• Vurder nåværende kapasitet for hendelseshåndtering og rapportering

Fase 2: Implementering (3–9 måneder)

• Utarbeid eller oppdater sikkerhetspolicyer og risikostyringssystem
• Implementer hendelseshåndteringsprosedyrer med 24-timers varsling
• Etabler eller styrk driftskontinuitets- og beredskapsplaner
• Innarbeid sikkerhetskrav i leverandøravtaler
• Implementer tekniske tiltak: MFA, kryptering, logging, tilgangsstyring
• Gjennomfør sikkerhetsopplæring for styret og ledelsen

Fase 3: Vedlikehold og forbedring (løpende)

• Gjennomfør regelmessige risikovurderinger og sikkerhetstester
• Øv på hendelseshåndtering gjennom tabletop-øvelser
• Hold sikkerhetsopplæring for alle ansatte
• Gjennomfør periodiske revisjoner av leverandører
• Oppdater policyer og prosedyrer basert på trusselvurderinger og erfaringer

Tilsynsmyndigheter i Norge

Flere norske myndigheter vil ha roller i tilsynet med NIS2:

• Nasjonal sikkerhetsmyndighet (NSM): Koordinerende rolle for nasjonal cybersikkerhet, drifter Nasjonalt cybersikkerhetssenter (NCSC)
• Nasjonal kommunikasjonsmyndighet (Nkom): Tilsyn med elektronisk kommunikasjon og digitale tjenesteleverandører
• Sektortilsyn: Finanstilsynet, NVE, Luftfartstilsynet og andre sektormyndigheter vil ha tilsynsansvar innenfor sine områder
• Justis- og beredskapsdepartementet: Overordnet ansvar for nasjonal cybersikkerhetsstrategi

Slik kan vi hjelpe

I UNOS SOFTWARE AS forstår vi at NIS2-compliance kan virke overveldende, særlig for virksomheter som ikke har hatt omfattende regulatoriske krav til cybersikkerhet tidligere. Vi hjelper norske bedrifter med:

• Sikker skyinfrastruktur som oppfyller NIS2-kravene — gjennom vår sky- og infrastrukturtjeneste bygger vi robuste, overvåkede og dokumenterte miljøer med innebygd sikkerhet
• Teknisk rådgivning om NIS2-compliance — vår rådgivningstjeneste hjelper deg med GAP-analyser, risikostyring og implementering av tekniske sikkerhetstiltak
• Sikker programvareutvikling — vi bygger løsninger med sikkerhet integrert fra starten, med logging, tilgangsstyring og hendelseshåndtering innebygd i arkitekturen gjennom vår utviklingstjeneste

NIS2 er ikke bare et regelverk du må etterleve — det er en mulighet til å styrke virksomhetens digitale motstandskraft og bygge tillit hos kunder, partnere og myndigheter.

Er din bedrift klar for NIS2? Ta kontakt for en uforpliktende samtale om hvordan vi kan hjelpe deg med å møte de nye kravene.

---

Kilder og videre lesning

• Europaparlamentet (2023). «Directive (EU) 2022/2555 — NIS2 Directive.» eur-lex.europa.eu
• Justis- og beredskapsdepartementet (2025). «Gjennomføring av NIS2-direktivet i norsk lov.» regjeringen.no
• Nasjonal sikkerhetsmyndighet (2025). «Veiledning om NIS2 for norske virksomheter.» nsm.no
• ENISA (2025). «NIS2 Directive Implementation Guidance.» enisa.europa.eu
• Nasjonal kommunikasjonsmyndighet (2025). «Digitalsikkerhetsloven og NIS2.» nkom.no
• NSM (2025). «Nasjonalt digitalt risikobilde 2025.» nsm.no