Hopp til innhold
Tilbake til bloggen

Hva er NIS2? Dette betyr EU-direktivet for norske bedrifter

Generelle grensesnitt for felles sikkerhetskrav

NIS2 er EUs direktiv for cybersikkerhet. Det stiller krav til hvordan virksomheter i viktige sektorer styrer digital risiko, sikrer systemene sine, varsler om alvorlige hendelser og holder ledelsen ansvarlig. Direktivet erstatter det første NIS-direktivet (NIS1), omfatter langt flere sektorer og er strengere. Norge er bundet av EØS-avtalen, og arbeidet med å innføre NIS2 i norsk rett er i gang. Selv om bedriften din ikke er direkte omfattet, kan kravene treffe deg gjennom kunder og samarbeidspartnere som er det. Under forklarer vi hva NIS2 er, hvem det gjelder, hva det krever og hva du bør gjøre allerede nå.

Clevo
Få bedre oversikt over cybersikkerheten
Clevo identifiserer sikkerhetshull, forklarer funnene for ledelsen og bidrar direkte med konkrete tiltak for å styrke bedriftens cybersikkerhet.

Kort oppsummert

  • NIS2 er et EU-direktiv som skal gi et høyt felles nivå av cybersikkerhet i hele EU, og som erstatter NIS1.
  • 18 sektorer er omfattet. Hovedregelen er virksomheter med 50 ansatte eller flere, men også mindre virksomheter med en viktig rolle i samfunnet kan omfattes.
  • I Norge er NIS1 innført gjennom digitalsikkerhetsloven. Justis- og beredskapsdepartementet har hovedansvaret for å innføre NIS2, med hjelp fra DSB og NSM.
  • Kravene handler om risikostyring, sikkerhet i leverandørkjeden, driftskontinuitet, kryptering, flerfaktorautentisering og varsling av hendelser. Toppledelsen kan holdes ansvarlig.
  • Små og mellomstore bedrifter blir ofte berørt indirekte, gjennom kontrakter med kunder som selv er omfattet.

Innholdsfortegnelse

NIS2 forklart på en enkel måte

NIS står for «Network and Information Security», altså sikkerhet i nettverk og informasjonssystemer. NIS2 er andre versjon av EUs regelverk på dette området. Ifølge EØS-notatet om NIS2-direktivet hos regjeringen ble direktivet vedtatt i EU i 2022.

Formålet er todelt. Direktivet skal fastsette tiltak for et høyt nivå av cybersikkerhet i hele EU, og det skal få det indre markedet til å fungere bedre. Det siste betyr i praksis at en virksomhet i Norge, Sverige eller Tyskland skal møte omtrent de samme kravene, i stedet for et lappeteppe av nasjonale regler.

Direktoratet for samfunnssikkerhet og beredskap (DSB) ser NIS2 i sammenheng med CER-direktivet, som handler om motstandsdyktighet i kritiske virksomheter. Sammen skal de to direktivene gjøre samfunnet mer robust mot alle typer hendelser, enten noen gjør skade med vilje eller noe går galt ved et uhell. Et løsepengevirus, et strømbrudd hos en leverandør og en ansatt som klikker på feil lenke hører altså hjemme i samme risikobilde.

Kort sagt: NIS2 flytter cybersikkerhet fra å være et IT-spørsmål til å være et ledelsesansvar med tydelige krav og dokumentasjon.

NIS2 forklart på en enkel måte

Fra NIS1 til NIS2: dette er nytt

Det første NIS-direktivet var smalere og ble praktisert ulikt fra land til land. Stortingets EU/EØS-nytt beskriver hvordan NIS2 erstatter NIS1, utvider virkeområdet og fjerner forskjellene mellom landenes krav. Regjeringens høringsnotat om digitalsikkerhetsforskriften peker også på mer presise regler for varsling av hendelser.

Område NIS1 NIS2
Virkeområde Færre sektorer, i stor grad opp til hvert land å peke ut virksomheter 18 sektorer, delt i sektorer med høy kritikalitet og andre kritiske sektorer
Hvem omfattes Virksomheter utpekt av myndighetene Hovedregel 50 ansatte eller flere i sektorene, pluss mindre virksomheter med særlig viktig rolle
Krav til tiltak Generelle krav om sikkerhet Konkrete risikostyringstiltak, blant annet leverandørkjede, kryptering og flerfaktorautentisering
Varsling Mindre detaljerte regler Mer presise regler for varsling av betydelige hendelser
Ledelsen Lite uttalt Toppledelsen kan holdes ansvarlig ved manglende etterlevelse
Likhet mellom land Store forskjeller Mer like krav i hele EU/EØS

Den viktigste endringen for de fleste er bredden. Mange virksomheter som aldri har hatt formelle krav til cybersikkerhet, havner nå innenfor, eller blir leverandører til noen som gjør det.

Er NIS2 norsk lov?

Nei, ikke direkte. NIS2 er et EU-direktiv, og direktiver må tas inn i norsk rett gjennom EØS-avtalen og norsk lov før de gjelder her. Norge har allerede innført NIS1 gjennom digitalsikkerhetsloven, med en digitalsikkerhetsforskrift fastsatt i juni 2025.

Ifølge DSB har Justis- og beredskapsdepartementet hovedansvaret for å gjennomføre NIS2 og CER i Norge, med bistand fra DSB og Nasjonal sikkerhetsmyndighet (NSM). NSM er utpekt som nasjonalt kontaktpunkt og responsmiljø for hendelser i nettverk og informasjonssystemer, og gir norske virksomheter veiledning om digital sikkerhet.

Hva betyr dette for deg? Digitalsikkerhetsloven bygger allerede på samme tenkning som NIS2: styringssystem, risikovurdering og varsling. Når NIS2 innføres, blir kretsen av virksomheter større og kravene mer detaljerte. Det er derfor lite å tape på å bygge rutinene nå, og mye å vinne på å slippe hastverk når regelverket er på plass. Sjekk regjeringen.no og nsm.no for siste status, siden tidsplanen for norsk innføring kan endre seg.

Er NIS2 norsk lov?

Hvem omfattes av NIS2?

NIS2 gjelder virksomheter i 18 sektorer. Ifølge regjeringens EØS-notat er hovedregelen at direktivet gjelder virksomheter med 50 ansatte eller flere i disse sektorene. Mindre virksomheter kan likevel omfattes dersom de har en særlig viktig samfunnsrolle.

Sektorene er delt i to grupper: sektorer med høy kritikalitet (vedlegg I i direktivet) og andre kritiske sektorer (vedlegg II). Blant sektorene med høy kritikalitet finner du:

  • energi
  • transport
  • helse
  • bank og finansmarkedsinfrastruktur
  • drikkevann og avløp
  • leverandører av IKT-tjenester
  • offentlig forvaltning
  • romvirksomhet

Når du ikke er omfattet, men likevel berørt

Her ligger poenget mange små bedrifter overser. Advokatfirmaet Bull skriver at virksomheter som ikke er direkte omfattet kan få sikkerhetskrav gjennom kontrakter med kunder eller samarbeidspartnere som er det.

Det henger sammen med kravet om sikkerhet i leverandørkjeden. Et kraftselskap, en kommune eller en helseaktør må kunne vise at leverandørene deres ikke er det svake leddet. Lager du programvare for et sykehus, drifter du nettsiden til en kommune eller leverer du regnskapssystem til et transportselskap, må du regne med spørsmål om:

  • hvordan dere beskytter tilganger, for eksempel med flerfaktorautentisering
  • om dere har gjort en risikovurdering
  • hvordan og hvor raskt dere varsler om hendelser
  • om systemene er sikkerhetstestet
  • om de ansatte har fått opplæring

Kan du svare godt på disse spørsmålene, er sikkerhet et salgsargument. Kan du ikke, risikerer du å tape anbudet.

Hva krever NIS2?

EU-kommisjonens side om NIS2 oppsummerer kravene i tre hovedgrupper: risikostyring, varsling og ledelsens ansvar.

Risikostyring og tekniske tiltak

Virksomhetene skal ha tiltak som står i forhold til risikoen. Kommisjonen trekker blant annet frem:

  • Sikkerhet i leverandørkjeden: Du skal vite hvilke leverandører du er avhengig av, og stille krav til dem.
  • Driftskontinuitet: Planer for å holde driften i gang, og komme tilbake etter en hendelse, inkludert sikkerhetskopier.
  • Kryptografi: Kryptering av data der det er nødvendig.
  • Flerfaktorautentisering: Mer enn passord for å logge inn.

EU har i tillegg vedtatt en gjennomføringsforordning med tekniske og metodiske krav til risikostyringstiltak for bestemte typer virksomheter, blant annet innen digital infrastruktur.

Den norske digitalsikkerhetsforskriften viser hvordan dette ser ut i praksis i dag. Paragraf 6 krever at tilbydere av samfunnsviktige tjenester har et styringssystem for sikkerhet som er en del av virksomhetens overordnede styring. Paragraf 7 krever risikovurderinger som kartlegger sårbarheter, konsekvenser og avhengigheter, og som danner grunnlaget for en plan for risikohåndtering.

Varsling av hendelser

Virksomheter skal varsle om betydelige hendelser. Ifølge EUs sammendrag av direktivet på EUR-Lex gjelder det hendelser som kan gi alvorlige driftsforstyrrelser eller økonomiske tap, eller som kan gi betydelig skade for andre. Varselet går til den nasjonale responsenheten (CSIRT) eller kompetent myndighet. Responsenhetene gir på sin side teknisk støtte, følger med på trusler og kan på forespørsel skanne systemer for sårbarheter.

I praksis betyr det at du må vite hvem som oppdager en hendelse, hvem som vurderer den, og hvem som sender varselet. Det må avklares før noe skjer, ikke mens det står på.

Ledelsens ansvar

Dette er kanskje den største kulturendringen. EU-kommisjonen beskriver at NIS2 tar cybersikkerhet inn i styrerommet: toppledelsen kan holdes ansvarlig dersom virksomheten ikke etterlever kravene til risikostyring. Det holder ikke lenger å delegere alt til IT-leverandøren. Ledelsen må forstå risikoen, godkjenne tiltakene og følge opp.

Hva betyr informasjonssikkerhet i NIS2-sammenheng?

Informasjonssikkerhet handler om å beskytte informasjon og systemene den ligger i. Fagfeltet beskriver det ofte med tre egenskaper:

  • Konfidensialitet: Bare de som skal ha tilgang, får tilgang. Kundedata havner ikke hos uvedkommende.
  • Integritet: Informasjonen er riktig og ikke endret uten at noen har lov til det. En faktura får ikke nytt kontonummer underveis.
  • Tilgjengelighet: Systemene og dataene er der når du trenger dem. Nettbutikken er oppe, og journalsystemet virker.

NIS2 legger mest vekt på det siste. Direktivet handler om at samfunnsviktige tjenester skal fortsette å fungere, og et angrep som stopper driften er like alvorlig som et som lekker data. Derfor er driftskontinuitet, sikkerhetskopier og beredskapsplaner like sentrale som brannmurer og passord.

Informasjonssikkerhet er heller ikke bare teknikk. Det omfatter rutiner, roller, opplæring og avtaler med leverandører. Et godt teknisk oppsett hjelper lite hvis en ansatt gir fra seg passordet sitt i en falsk e-post.

Slik forbereder en liten eller mellomstor bedrift seg

Du trenger ikke vente på norsk lovtekst for å komme i gang. Det meste som kreves, er god sikkerhetspraksis uansett. Advokatfirmaet Bull anbefaler blant annet å kartlegge, vurdere risiko, lage beredskapsplaner, lære opp ansatte og teste planene. Slik kan du gjøre det i praksis:

  1. Avklar om du er omfattet. Sjekk sektor og størrelse mot de 18 sektorene og grensen på 50 ansatte. Spør deg også: Leverer vi til noen som er omfattet?
  2. Kartlegg hva du har. Lag en oversikt over systemer, skytjenester, data og leverandører. Du kan ikke sikre det du ikke vet at du har.
  3. Gjør en risikovurdering. Hva er mest kritisk for driften? Hva kan gå galt, og hva skjer da? Bruk digitalsikkerhetsforskriftens tilnærming: sårbarheter, konsekvenser og avhengigheter.
  4. Lukk de enkle hullene først. Slå på flerfaktorautentisering overalt, særlig på e-post og skytjenester. Sjekk sikkerhetskopier og at de faktisk lar seg gjenopprette.
  5. Test systemene. En sikkerhetstest viser hvilke svakheter en angriper faktisk kan utnytte i nettsiden, appen eller nettverket.
  6. Lær opp de ansatte. Mange angrep starter med en e-post. Opplæring og øvelser med phishing gjør folk flinkere til å stoppe dem.
  7. Lag en plan for hendelser. Hvem gjør hva, hvem varsles, og hvordan holder dere driften i gang?
  8. Involver ledelsen. Gi ledelsen en kort og forståelig oversikt over risiko og tiltak, og la dem eie beslutningene.
  9. Dokumenter og gjenta. Skriv ned hva dere har gjort, og sett av tid til å gå gjennom det jevnlig.

NSM har veiledning og rammeverk for digital sikkerhet som passer godt som sjekkliste underveis.

Vårt syn på NIS2

Vi møter mange ledere i små og mellomstore bedrifter som har hørt om NIS2, men som ikke vet om det gjelder dem eller hvor de skal begynne. Det er ikke rart. Regelverket er skrevet for jurister, og mye av rådgivningen i markedet ender i lange tekniske rapporter som blir liggende i en skuff.

Vi mener NIS2 bør tas på alvor også av bedrifter som ikke er direkte omfattet. Kravene fra kunder og samarbeidspartnere kommer uansett, og de fleste tiltakene beskytter bedriften din mot reelle angrep i dag, ikke bare mot et fremtidig tilsyn.

Derfor jobber vi annerledes. Vi finner sikkerhetshullene, forklarer dem på en måte ledelsen forstår, og gir en kort oppsummering med konkrete tiltak. Så blir vi med og fikser problemene, i stedet for å overlate dem til deg. Du snakker direkte med fagpersonen som gjør jobben, uten selgere eller mellomledd.

For en bedrift uten egen IT-avdeling er det dette som gjør NIS2 overkommelig: en tydelig liste over hva som må gjøres, og noen som hjelper deg å gjøre det.

Sejad

Få hjelp med NIS2 fra Clevo

Vil du vite hvor bedriften din står? Med tjenesten Risiko og regler hjelper vi deg med risikovurdering, NIS2- og GDPR-veiledning og sikkerhetsrutiner som passer størrelsen på virksomheten din. Du får en forståelig oppsummering for ledelsen og konkrete tiltak, og vi hjelper deg med å gjennomføre dem.

Clevo

Vi kan også ta en sikkerhetstest av nettside og app, gå gjennom Microsoft 365, Google eller AWS og kjøre opplæring og phishing-test for ansatte. Trenger du en sikkerhetsrådgiver over tid, kan du leie inn sikkerhetskompetanse. Vil du starte enkelt, kan du bestille en gratis sjekk av e-posten din, eller ta kontakt med oss for en prat.

Ofte stilte spørsmål

Hvem omfattes av NIS2?

NIS2 omfatter virksomheter i 18 sektorer, blant annet energi, transport, helse, bank, drikkevann, IKT-tjenester og offentlig forvaltning. Hovedregelen er virksomheter med 50 ansatte eller flere i disse sektorene. Mindre virksomheter kan omfattes hvis de har en særlig viktig rolle i samfunnet, og mange blir berørt indirekte som leverandører.

Er NIS2-direktivet en norsk lov?

Nei. NIS2 er et EU-direktiv som må tas inn i norsk rett gjennom EØS-avtalen. Norge har innført NIS1 gjennom digitalsikkerhetsloven, og Justis- og beredskapsdepartementet leder arbeidet med NIS2. Følg med på regjeringen.no og nsm.no for gjeldende status.

Hva er en NIS?

NIS står for «Network and Information Security», sikkerhet i nettverk og informasjonssystemer. Begrepet brukes om EUs regelverk på området: NIS1 var det første direktivet, og NIS2 er den nye og bredere versjonen.

Gjelder NIS2 for en liten bedrift med under 50 ansatte?

Som regel ikke direkte, med mindre bedriften har en særlig viktig samfunnsrolle. Men leverer du til en virksomhet som er omfattet, kan du få de samme kravene gjennom kontrakten. Det lønner seg derfor å ha grunnleggende tiltak som flerfaktorautentisering, risikovurdering og en plan for hendelser på plass.

Hva er første steg for å bli klar for NIS2?

Start med å avklare om du er omfattet, direkte eller via kunder. Kartlegg deretter systemer, data og leverandører, og gjør en enkel risikovurdering. Da ser du hvilke tiltak som haster mest.

Kilder

Anbefalinger

Made with BabyLoveGrowth to grow backlinks