Slik forbereder du bedriften på NIS2: en praktisk plan

Isometrisk trappetrinn illustrerer en trinnvis tilnærming til NIS2-forberedelse

Slik forbereder du bedriften på NIS2: finn ut om dere er omfattet direkte eller som leverandør, kartlegg systemer og leverandører, gjør en risikovurdering, lukk de største sikkerhetshullene, lag en plan for hendelser og varsling, og gjør ledelsen til eier av arbeidet. NIS2 er ennå ikke norsk lov, men Norge har allerede digitalsikkerhetsloven, som stiller mange av de samme kravene. Det dere gjør nå, kan dere bruke igjen når NIS2 kommer. Nedenfor går vi gjennom hva som gjelder i dag, hvem som berøres og hvordan en liten eller mellomstor bedrift kan gjøre arbeidet steg for steg.

Clevo

Få oversikt over sikkerhetshull

Clevo identifiserer sikkerhetshull, oppsummerer funnene for ledelsen og bidrar direkte med konkrete tiltak for å styrke bedriftens cybersikkerhet.

Utforsk Clevos tjenester

Kort oppsummert

Status: Digitalsikkerhetsloven og -forskriften har gjeldt i Norge siden 1. oktober 2025. NIS2 er til vurdering for innlemmelse i EØS-avtalen.
Hvem: Tilbydere av samfunnsviktige og digitale tjenester er direkte omfattet. Mange andre blir berørt fordi kundene deres må stille sikkerhetskrav til leverandørene sine.
Kravene: Et dokumentert styringssystem for sikkerhet, risikovurderinger, tiltak, beredskapsplaner og varsling innen 24 timer.
Ansvar: Lederen har ansvar for at sikkerhetsnivået er forsvarlig, og skal godkjenne styringssystemet.
Start nå: Forberedelse er gjenbrukbart arbeid. En risikovurdering og en hendelsesplan har dere nytte av uansett hvordan den norske NIS2-loven ender opp.

Innholdsfortegnelse

Hvor står NIS2 i Norge nå?
Gjelder NIS2 din bedrift?
Hva kravene går ut på
Sju steg for å forberede bedriften
Ledelsens ansvar
Tilsyn og sanksjoner
Slik ser vi det
Slik hjelper Clevo med NIS2-forberedelsene
Vanlige spørsmål
Kilder

Hvor står NIS2 i Norge nå?

NIS2 er et EU-direktiv. Det gjelder ikke automatisk i Norge. Direktivet må først tas inn i EØS-avtalen og deretter gjennomføres i norsk rett. Ifølge Stortingets EU/EØS-nytt ligger NIS2 til vurdering for innlemmelse i EØS, og direktivet skal erstatte det eldre NIS1-direktivet. Norske myndigheter utreder hvordan NIS2 og det tilhørende CER-direktivet om kritiske enheter skal gjennomføres.

Samtidig er det ikke slik at Norge står uten regler. Digitalsikkerhetsloven og digitalsikkerhetsforskriften trådte i kraft 1. oktober 2025, og de bygger på NIS1. Loven stiller grunnleggende krav til digital sikkerhet i virksomheter som er særlig viktige for samfunnet, og Nasjonal sikkerhetsmyndighet (NSM) gir veiledning.

For deg som leder betyr det to ting:

Det finnes plikter allerede i dag for virksomheter som faller inn under digitalsikkerhetsloven.
NIS2 vil utvide og skjerpe kravene når det blir norsk rett. Kravene i dagens forskrift gir et godt bilde av retningen: styringssystem, risikostyring, leveranser fra underleverandører og rask varsling.

Vil du ha grunnleggende forklaring av selve direktivet først, har vi skrevet en egen gjennomgang av hva NIS2 betyr for norske bedrifter.

Gjelder NIS2 din bedrift?

Det er det første spørsmålet å svare på, og svaret er sjelden bare ja eller nei. En liten eller mellomstor bedrift kan bli berørt på tre måter.

1. Dere er direkte omfattet

Digitalsikkerhetsloven gjelder tilbydere av samfunnsviktige tjenester og tilbydere av digitale tjenester. Driver dere innen sektorer som energi, transport, helse, vann eller digital infrastruktur, bør dere sjekke med tilsynsmyndigheten i egen sektor om dere er definert som tilbyder.

For digitale tjenester finnes det et viktig unntak. NSMs veileder om digitalsikkerhetsloven og -forskriften viser at kravene til sikkerhet og varslingsplikten ikke gjelder for tilbydere av digitale tjenester med færre enn 50 ansatte og en årlig omsetning eller balanse som ikke overstiger 10 millioner euro, jf. digitalsikkerhetsforskriften § 2. Næringslivets Sikkerhetsråd påpeker at dette unntaket kan ha stor betydning for mange små og mellomstore teknologibedrifter.

2. Dere leverer tjenester av en type som NIS2 regulerer særskilt

EU har vedtatt en gjennomføringsforordning til NIS2 med detaljerte krav for enkelte virksomhetskategorier. Regjeringens EØS-notat om forordningen lister blant annet opp:

DNS-tjenesteleverandører og TLD-navneregistre
skytjenester og datasentertjenester
administrerte tjenester og administrerte sikkerhetstjenester (typisk IT-driftsleverandører)
online markedsplasser, søkemotorer og sosiale nettverk
tillitstjenester

Leverer dere IT-drift, hosting eller skyløsninger, eller selger dere til kunder i EU-land som allerede har innført NIS2, bør dere ta dette på alvor nå.

3. Dere er leverandør til en virksomhet som er omfattet

Dette er den vanligste veien inn for små bedrifter. Digitalsikkerhetsforskriften krever at tilbydere av samfunnsviktige tjenester følger opp relevante leverandører og gjør sikkerhetstiltak gjeldende gjennom avtale eller på annen egnet måte. I praksis betyr det spørreskjemaer, nye avtalevilkår og krav om at dere kan dokumentere sikkerheten deres. Bedriften som kan svare godt på slike spørsmål, står sterkere når kontrakten skal fornyes.

Situasjon	Hva det betyr for dere	Første tiltak
Direkte omfattet av digitalsikkerhetsloven	Lovpålagte krav og varslingsplikt i dag	Kontakt egen tilsynsmyndighet, gjennomgå forskriften
IT-drift, sky, hosting eller digitale plattformer	Sannsynlig strengere krav når NIS2 kommer	Gapanalyse mot kravene, start med risikovurdering
Leverandør til omfattede virksomheter	Sikkerhetskrav via kontrakt	Dokumenter dagens tiltak, forbered svar på leverandørkrav
Ingen av delene	Ingen direkte plikt	Bruk rammeverket som god praksis mot dataangrep

Hva kravene går ut på

Dagens norske forskrift viser hva som venter. Ifølge digitalsikkerhetsforskriften skal tilbydere av samfunnsviktige tjenester:

etablere og vedlikeholde et dokumentert styringssystem for sikkerhet som er en del av den overordnede virksomhetsstyringen og bygger på anerkjente standarder (§ 6)
gjennomføre risikovurderinger
iverksette organisatoriske, teknologiske, fysiske og personellmessige tiltak
ha beredskapsplaner
varsle tilsynsmyndigheten om alvorlige hendelser innen faste frister

Styringssystemet skal bidra til å forebygge, avdekke, håndtere og gjenopprette sikkerheten i nettverk og informasjonssystemer. Det høres omfattende ut, men for en bedrift med 20 eller 80 ansatte handler det om noen få dokumenter som faktisk brukes: hvem som har ansvar, hvilke risikoer dere har, hva dere gjør med dem og hva som skjer når noe går galt.

Sju steg for å forberede bedriften

Rekkefølgen under er den vi anbefaler for bedrifter uten egen IT-avdeling. Hvert steg gir et konkret resultat dere kan vise til.

Sju steg fra regelverksavklaring til ledelsesforankring

1. Avklar hvor dere står i regelverket

Gå gjennom de tre situasjonene over. Skriv ned konklusjonen og begrunnelsen på én side: sektor, antall ansatte, omsetning, hvilke tjenester dere leverer og til hvem. Ta med hvilke kunder som kan komme til å stille krav til dere. Er dere i tvil om dere er tilbyder av en samfunnsviktig tjeneste, spør tilsynsmyndigheten i deres sektor eller en jurist med erfaring fra regelverket.

Resultat: Et kort notat ledelsen kan ta stilling til.

2. Kartlegg systemer, data og leverandører

Du kan ikke sikre det du ikke vet at du har. Lag en enkel oversikt:

Hvilke systemer bruker dere? E-post, regnskap, CRM, nettside, nettbutikk, fagsystemer.
Hvor ligger dataene, og hvem har tilgang?
Hvilke leverandører drifter eller har tilgang til systemene deres?
Hvilke tjenester er kritiske, altså de som stopper driften hvis de faller ut?

Mange oppdager i dette steget kontoer for tidligere ansatte, gamle testsider som fortsatt ligger ute, eller leverandører med administratortilgang ingen husket på.

Resultat: En system- og leverandøroversikt.

3. Gjør en risikovurdering

Risikovurderingen er kjernen i både dagens forskrift og NIS2. For hvert kritisk system spør dere: Hva kan gå galt? Hvor sannsynlig er det? Hva blir konsekvensen? Typiske scenarier for små og mellomstore bedrifter er overtatt e-postkonto, løsepengevirus, svindelfakturaer, lekkasje av kundedata og nedetid hos en leverandør.

Rangér risikoene og bestem hva dere skal gjøre med de største. En risikovurdering som ledelsen forstår, er mer verdt enn en teknisk rapport ingen leser.

Resultat: En prioritert risikoliste med eier og tiltak.

4. Lukk de største hullene først

Nå kommer det praktiske arbeidet. For de fleste bedrifter ligger de største gevinstene her:

Flerfaktorautentisering på e-post, skytjenester og alle administratorkontoer
Sikker e-postoppsett, slik at andre ikke kan sende e-post i deres navn
Oppdateringer av programvare, nettsider og utstyr
Sikkerhetskopier som er atskilt fra resten av systemene og som er testet
Tilgangsstyring, der ansatte bare har tilgangene de trenger

Vil dere vite hvor sårbare systemene faktisk er, er en sikkerhetstest den raskeste veien til et svar. Vi har samlet flere konkrete råd i artikkelen om tiltakene som beskytter mot dataangrep.

Resultat: Dokumenterte tiltak knyttet til risikolisten.

5. Lag en plan for hendelser og varsling

Når noe skjer, er det for sent å finne ut hvem som skal ringe hvem. NSM beskriver fristene for tilbydere av samfunnsviktige tjenester slik:

Frist	Hva som skal sendes
Innen 24 timer etter oppdagelse	Første varsel til tilsynsmyndigheten
Innen 72 timer	Oppdatert informasjon
Innen én måned etter første varsel	Hendelsesrapport

Fristene gjelder også når hendelsen skjer hos en samarbeidspartner eller underleverandør. Varselet går til tilsynsmyndigheten, og NSM skal ha kopi hvis en annen etat er tilsynsmyndighet. NSM har et eget skjema for varsel om alvorlig hendelse. Det er hendelser som virker betydelig inn på tjenesteleveransen som skal varsles, uansett hva årsaken er.

I EU-land som har innført NIS2, er terskelen konkretisert for enkelte digitale virksomheter. Etter gjennomføringsforordningen regnes en hendelse blant annet som betydelig hvis den har gitt eller kan gi direkte økonomisk tap over 500 000 euro eller 5 % av årsomsetningen, utlevering av forretningshemmeligheter eller skade på liv og helse.

Hendelsesplanen trenger ikke være lang. Den bør svare på: Hvem oppdager og melder? Hvem bestemmer? Hvem kontakter leverandører, kunder og myndigheter? Hvor ligger kontaktlistene hvis e-posten er nede? Øv på planen minst én gang i året.

Resultat: En hendelsesplan på et par sider og en gjennomført øvelse.

6. Følg opp leverandørene

Bruk leverandøroversikten fra steg 2. For de kritiske leverandørene bør dere vite hvordan de sikrer tjenesten, hvordan de varsler dere om hendelser, og hva avtalen sier om ansvar. Siden forskriften krever at omfattede virksomheter gjør sikkerhetstiltak gjeldende overfor leverandørene, må dere også regne med at deres egne kunder stiller de samme spørsmålene til dere.

Resultat: Oppdaterte avtaler eller en plan for å oppdatere dem.

7. Gjør ledelsen til eier og lær opp de ansatte

Sikkerhet som bare ligger hos «IT-fyren» eller en ekstern leverandør, holder ikke. Ledelsen må forstå risikoene og godkjenne planen. De ansatte må vite hvordan de kjenner igjen phishing og hva de gjør når noe virker galt. Mange angrep starter med én e-post og ett klikk, og en ansatt som melder fra raskt, kan stoppe det.

Resultat: Godkjent styringsdokument, gjennomført opplæring og en fast årlig gjennomgang.

Ledelsens ansvar

Dette er kanskje den viktigste endringen for ledere. Digitalsikkerhetsforskriften slår fast at virksomhetens leder har ansvar for et forsvarlig sikkerhetsnivå hos tilbydere av samfunnsviktige tjenester. Sikkerhetsstyringssystemet skal godkjennes av lederen og gjennomgås minst én gang i året.

Det betyr at daglig leder ikke kan delegere bort forståelsen. Du trenger ikke kunne teknikken, men du må vite hvilke risikoer bedriften har, hvilke tiltak som er valgt og hvorfor. Derfor bør alt sikkerhetsarbeid ende i en oppsummering som en leder kan lese på ti minutter og ta beslutninger ut fra.

Tilsyn og sanksjoner

Reglene håndheves av sektorvise tilsynsmyndigheter. Sjøfartsdirektoratets veiledning om digitalsikkerhetsloven beskriver hva et tilsyn kan innebære: Myndigheten kan kreve opplysninger, dokumentasjon, tilgang til lokaler, utstyr og systemer og bistand under tilsynet.

Ved brudd kan myndigheten gi pålegg om retting, tvangsmulkt eller overtredelsesgebyr. Gebyr kan ilegges ved forsettlige eller uaktsomme brudd. For foretak er maksimumsrammene 25 G og fire prosent av årsomsetningen, begrenset til 50 millioner kroner totalt.

Den beste forsikringen mot et vanskelig tilsyn er dokumentasjon: en risikovurdering, en tiltaksplan, en hendelsesplan og et bevis på at ledelsen har godkjent og gjennomgått dem.

Slik ser vi det

De fleste små og mellomstore bedrifter vi møter, har ikke et NIS2-problem. De har et oversiktsproblem. De vet ikke helt hvilke systemer som er kritiske, hvem som har tilgang til hva, eller hvor sårbare de er. Når det er på plass, blir NIS2 mye mindre skummelt.

Vi mener forberedelse handler om tre ting: å finne hullene, å forklare dem slik at ledelsen forstår dem, og å faktisk få dem tettet. Det siste er der mange stopper opp. En teknisk rapport på 80 sider hjelper lite hvis ingen i bedriften har tid eller kompetanse til å følge den opp. Derfor retter vi sikkerhetshullene selv, sammen med kunden.

Vi anbefaler også å starte nå, selv om den norske NIS2-loven ikke er på plass. Risikovurderingen, hendelsesplanen og leverandøroversikten blir ikke mindre verdt når loven kommer. Og kundene deres kommer sannsynligvis til å spørre før myndighetene gjør det.

Sejad

Slik hjelper Clevo med NIS2-forberedelsene

Vi hjelper små og mellomstore bedrifter, også de uten egen IT-avdeling, med å bli klare for digitalsikkerhetsloven og NIS2. Gjennom tjenesten Risiko og regler går vi gjennom risiko, GDPR- og NIS2-krav og sikkerhetsrutiner sammen med dere. Ledelsen får en kort og forståelig oppsummering av funnene og konkrete tiltak.

Clevo

Trenger dere å vite hvor sårbare systemene er, gjennomfører vi en sikkerhetstest og retter det vi finner. Vi gjennomgår også sky- og e-postsystemene, kjører opplæring og phishing-test for ansatte, og tilbyr innleie av sikkerhetskompetanse når dere trenger en fagperson over tid. Dere snakker direkte med fagpersonen som gjør jobben, uten mellomledd eller selgere. Vil du starte i det små, kan du bestille en gratis sjekk av e-posten din.

Vanlige spørsmål

Er NIS2 norsk lov nå?

Nei. NIS2 er til vurdering for innlemmelse i EØS-avtalen, og norske myndigheter utreder gjennomføringen. I dag gjelder digitalsikkerhetsloven og -forskriften, som trådte i kraft 1. oktober 2025 og bygger på det eldre NIS1-direktivet.

Må en liten bedrift bry seg om NIS2?

Ofte, ja, selv om bedriften ikke er direkte omfattet. Virksomheter som er omfattet, må følge opp leverandørene sine og stille sikkerhetskrav gjennom avtaler. Er dere leverandør til en slik virksomhet, vil dere sannsynligvis møte kravene via kontrakten.

Hvor raskt må vi varsle om en sikkerhetshendelse?

For tilbydere av samfunnsviktige tjenester gjelder første varsel innen 24 timer etter oppdagelse, oppdatering innen 72 timer og hendelsesrapport innen én måned. Varselet sendes til tilsynsmyndigheten, med kopi til NSM hvis en annen etat er tilsynsmyndighet.

Hva bør vi gjøre først?

Avklar om og hvordan dere er berørt, og lag en oversikt over systemer og leverandører. Deretter gir en risikovurdering dere prioriteringene. Det er grunnlaget for alt annet arbeid, både etter dagens lov og når NIS2 kommer.

Hvem har ansvaret for NIS2-arbeidet i bedriften?

Lederen. Etter digitalsikkerhetsforskriften har virksomhetens leder ansvar for et forsvarlig sikkerhetsnivå, og styringssystemet skal godkjennes av lederen og gjennomgås minst årlig. Selve arbeidet kan dere få hjelp til, men beslutningene ligger hos ledelsen.