Hopp til innhold
Tilbake til bloggen

NIS2-krav: hva gjelder i Norge, og hva bør bedriften gjøre nå?

Isometriske nivåer reflekterer et regelverk under utvikling

NIS2 stiller krav på fem områder: dokumentert risikostyring, ti faste typer sikkerhetstiltak, at ledelsen tar ansvar, at alvorlige hendelser varsles raskt, og at myndighetene kan føre tilsyn og gi gebyrer. I november 2026 er NIS2 fortsatt ikke norsk lov. Det som gjelder nå, er digitalsikkerhetsloven, som trådte i kraft 1. oktober 2025 og bygger på det første NIS-direktivet. Har bedriften 50 ansatte eller mer i en av sektorene NIS2 dekker, eller leverer dere til en slik virksomhet, bør dere forberede dere nå. Det er mye mindre arbeid å bygge dette gradvis enn å gjøre alt på én gang den dagen loven kommer.

Clevo
Få oversikt over bedriftens sikkerhet
Clevo identifiserer sikkerhetshull, forklarer funnene for ledelsen og bidrar direkte med konkrete tiltak for å forbedre sikkerheten.
Utforsk cybersikkerhetstjenester

Kort oppsummert

  • Status: NIS2 er ikke innlemmet i norsk rett ennå. I dag gjelder digitalsikkerhetsloven med forskrift for tilbydere av samfunnsviktige tjenester.
  • Hvem: Hovedregelen er virksomheter med minst 50 ansatte i 18 sektorer, blant annet energi, helse, IKT-tjenester, mat og avfall. Mindre virksomheter kan også omfattes.
  • Hva: Risikobasert sikkerhetsstyring på ti områder, fra risikoanalyse og backup til tofaktorinnlogging og sikkerhet hos leverandørene.
  • Ansvar: Ledelsen skal godkjenne tiltakene, følge med på at de gjennomføres og kan holdes personlig ansvarlig.
  • Varsling: Alvorlige hendelser skal varsles innen 24 timer, oppdateres innen 72 timer og rapporteres i sin helhet innen én måned.

Innholdsfortegnelse

Status: NIS2 og digitalsikkerhetsloven

Mye av forvirringen rundt NIS2-kravene kommer av at to regelverk blandes sammen. Det ene gjelder allerede, mens det andre er på vei.

Digitalsikkerhetsloven gjelder i dag. Digitalsikkerhetsloven og digitalsikkerhetsforskriften trådte i kraft 1. oktober 2025 og gjennomfører det første NIS-direktivet (NIS1) i norsk rett. Loven gjelder for tilbydere av samfunnsviktige tjenester og visse digitale tjenester. For dem er kravene allerede bindende.

NIS2 er neste steg. NIS2-direktivet (EU) 2022/2555 ble vedtatt i EU 14. desember 2022 og skal erstatte NIS1. Ifølge regjeringen vil direktivet kreve endringer i norsk lov, og det skal gjennomføres sammen med CER-direktivet, som handler om motstandsdyktighet i kritiske virksomheter. Nasjonal sikkerhetsmyndighet (NSM) omtaler NIS2 som en videreutvikling og utvidelse av NIS1, som etter hvert skal innføres i norsk rett.

For å bli norsk lov må NIS2 først tas inn i EØS-avtalen. Da denne artikkelen ble skrevet, var det ikke satt noen dato. Følg med på NSMs side om digitalsikkerhetsloven for oppdatert status. Mange venter likevel ikke. Lov & Data beskriver at norske virksomheter allerede har begynt å forberede seg, selv om direktivet ennå ikke er norsk lov. Da Stortinget behandlet digitalsikkerhetsloven, ble det også pekt på at mange norske virksomheter opererer i EU og derfor allerede må forholde seg til NIS2.

Vil du ha grunnleggende bakgrunn før du går videre, forklarer vi direktivet i hva NIS2 betyr for norske bedrifter.

Status: NIS2 og digitalsikkerhetsloven

Hvem omfattes av NIS2-kravene?

NIS2 rammer langt bredere enn NIS1. Ifølge regjeringens EØS-notat om NIS2 omfatter direktivet vesentlige og viktige virksomheter i disse sektorene:

Gruppe Sektorer
Kritisk infrastruktur Energi, transport, drikkevann, avløpsvann, digital infrastruktur
Finans Bank, finansmarkedsinfrastruktur
Samfunnstjenester Helse, offentlig forvaltning, romvirksomhet, post og kurér
Nye sektorer i NIS2 Avfallshåndtering, kjemikalier, mat, produksjon av visse varer, forskning
Digitalt IKT-tjenester (forvaltning av andres IT), digitale tjenester

Hovedregelen er at virksomheter i disse sektorene omfattes når de har minst 50 ansatte. Mindre virksomheter kan også omfattes hvis de har en særlig viktig rolle i samfunnet, for eksempel som eneste leverandør av en kritisk tjeneste i en region.

Mindre bedrifter blir berørt gjennom kundene sine

Et av tiltaksområdene i NIS2 er sikkerhet i leverandørkjeden. En virksomhet som omfattes, må altså stille krav til leverandørene sine. Er du regnskapsbyrå for et kraftselskap, driver IT for en kommune eller leverer programvare til en matprodusent, kan du få sikkerhetskrav inn i kontraktene, selv om bedriften din er for liten til å omfattes direkte.

Dette er grunnen til at mange små og mellomstore bedrifter får sitt første møte med NIS2 som et spørreskjema fra en stor kunde. Bedriften som allerede kan dokumentere tofaktorinnlogging, backup og en enkel risikovurdering, svarer på en dag. Andre bruker uker.

De ti tiltaksområdene i NIS2

Kjernen i NIS2 er artikkel 21, som lister opp ti områder virksomhetene skal ha tiltak for. Tiltakene skal stå i forhold til risikoen og størrelsen på virksomheten. Et lite selskap trenger ikke en like tung løsning som en bank, men ingen av områdene kan hoppes over. Tabellen viser hva hvert område betyr i praksis for en mellomstor bedrift.

Område Hva det betyr i praksis Et godt første steg
1. Risikoanalyse og sikkerhetsretningslinjer Kartlegg hva som kan gå galt, og skriv ned hvordan dere håndterer det En risikovurdering av de viktigste systemene
2. Hendelseshåndtering Vite hvem som gjør hva når noe skjer En kort plan med navn og telefonnumre
3. Kontinuitet og krisehåndtering Backup, gjenoppretting og plan for å drive videre Test at dere faktisk klarer å gjenopprette fra backup
4. Sikkerhet i leverandørkjeden Stille krav til og følge opp leverandører En liste over leverandører med tilgang til data og systemer
5. Sikker anskaffelse, utvikling og vedlikehold Oppdateringer, sårbarhetshåndtering, sikker kode Fast rutine for oppdateringer
6. Måling av effekt Sjekke at tiltakene virker En sikkerhetstest av nettside eller systemer
7. Cyberhygiene og opplæring Ansatte som kjenner igjen svindel og phishing Opplæring og phishing-test
8. Kryptografi Kryptering av data som lagres og sendes Kryptering på bærbare PC-er og telefoner
9. Personellsikkerhet og tilgangsstyring Riktige tilganger, rydding når folk slutter Rutine for å stenge kontoer ved avgang
10. Flerfaktorautentisering og sikker kommunikasjon Tofaktorinnlogging og sikre kanaler Tofaktorinnlogging på e-post og skytjenester

EU-kommisjonen har i tillegg vedtatt gjennomføringsregler med mer detaljerte krav for enkelte typer digitale tjenesteleverandører, blant annet skytjenester og datasentre.

Det norske regelverket peker samme vei

For dem som allerede er omfattet av digitalsikkerhetsloven, krever digitalsikkerhetsforskriften § 6 et dokumentert styringssystem for digital sikkerhet, som en del av virksomhetens overordnede styring. Det er den samme tankegangen som i NIS2: Sikkerhet skal være styrt, dokumentert og forankret i ledelsen, ikke bare overlatt til IT-leverandøren.

For en bedrift uten egen IT-avdeling betyr det i praksis tre ting: Noen må eie risikovurderingen, tiltakene må skrives ned, og noen må sjekke at de virker. Vi har skrevet en egen guide til risikovurdering i bedriften. Den tar utgangspunkt i GDPR, men metoden passer like godt for NIS2.

Tre steg for å styre digital sikkerhet

Ledelsens ansvar

Dette er den største endringen for mange daglige ledere og styrer. NIS2 krever at ledelsen i vesentlige og viktige virksomheter godkjenner tiltakene for cybersikkerhet og følger med på at de faktisk gjennomføres. Ledelsen kan holdes ansvarlig for brudd. For vesentlige virksomheter kan ledelsen i ytterste konsekvens fjernes midlertidig dersom andre reaksjoner ikke virker.

Ansvaret stopper heller ikke hos styret. Lov & Data peker på at det er en vanlig misforståelse at personlig ansvar bare gjelder styremedlemmer. Også ledere lenger ned i organisasjonen kan i praksis få ansvar når kravene ikke følges.

For en leder betyr dette at det ikke lenger holder å spørre IT-leverandøren om alt er i orden. Du må forstå de viktigste risikoene godt nok til å ta stilling til dem, og du må kunne vise at du har gjort det. Direktivet krever også at ledelsen får opplæring. Et godt tiltak er derfor en kort, skriftlig oppsummering av risikoene som ledelsen gjennomgår og signerer én gang i året, eller oftere når noe endrer seg.

Varsling av sikkerhetshendelser

Raske varslingsfrister er et av de mest konkrete NIS2-kravene, og de gjelder allerede i Norge for dem som er omfattet av digitalsikkerhetsloven. Ifølge NSMs veiledning om varsling gjelder disse fristene:

  1. Innen 24 timer: Første varsel til tilsynsmyndigheten om en alvorlig hendelse.
  2. Innen 72 timer etter at hendelsen ble oppdaget: Oppdatert informasjon.
  3. Innen én måned etter første varsel: En hendelsesrapport.

24 timer er kort tid hvis ingen i bedriften vet hvem som skal ringe hvem. Det er derfor en plan for hendelseshåndtering står så høyt på listen. Planen trenger ikke være lang. Den må svare på fire spørsmål: Hvem oppdager og vurderer hendelsen, hvem bestemmer at den er alvorlig, hvem varsler myndighetene, og hvem snakker med kunder og ansatte.

Gjelder hendelsen også personopplysninger, kan dere i tillegg ha plikt til å melde avvik til Datatilsynet etter GDPR. Det bør stå i den samme planen.

Tilsyn og sanksjoner

I Norge er NSM nasjonalt kontaktpunkt og sørger for samarbeid med tilsvarende myndigheter i andre EU- og EØS-land. Tilsynet etter digitalsikkerhetsloven ligger hos sektormyndighetene, og NSM fører tilsyn der ingen sektormyndighet er utpekt. Innmelding gir myndighetene oversikt over viktige virksomheter, slik at de kan følge opp beredskap, hendelser og tilsyn.

Allerede i dag kan tilsynsmyndighetene ilegge overtredelsesgebyr ved forsettlige eller uaktsomme brudd på sikkerhets- og varslingskravene i digitalsikkerhetsloven. NIS2 skjerper dette. Direktivet krever at landene kan gi overtredelsesgebyrer på minst 2 prosent av årsomsetningen for vesentlige virksomheter, i tillegg til muligheten for å fjerne ledelsen midlertidig.

Gebyrene får gjerne mest oppmerksomhet, men for de fleste små og mellomstore bedrifter er den største kostnaden et angrep i seg selv: stans i driften, tapte data og kunder som mister tilliten. Å oppfylle NIS2-kravene gjør bedriften både lovlydig og vanskeligere å angripe.

Slik forbereder en liten eller mellomstor bedrift seg

Lov & Data trekker frem risiko- og GAP-analyser, strategi, skriftlig ansvar og sikring av leverandørkjeden som det norske virksomheter gjør for å forberede seg. Slik blir det konkrete steg for en bedrift uten egen IT-avdeling:

  1. Avklar om dere omfattes. Sjekk sektor og antall ansatte mot tabellen over. Sjekk også om dere er leverandør til virksomheter som omfattes. Da kommer kravene uansett, via kontraktene.
  2. Plasser ansvaret skriftlig. Én person i ledelsen eier sikkerhetsarbeidet. Skriv det ned, og sett av tid til det.
  3. Gjør en risikovurdering. Hvilke systemer og data er bedriften avhengig av? Hva skjer hvis e-posten blir overtatt, nettbutikken stopper eller kundedata lekker? Prioriter etter konsekvens.
  4. Gjør en GAP-analyse mot de ti områdene. Gå gjennom tabellen og merk hva dere har, hva som mangler og hva som bare finnes i hodet til én person.
  5. Lukk de raske hullene først. Tofaktorinnlogging på all e-post og alle skytjenester, oppdateringer, testet backup og stengte kontoer for tidligere ansatte. Dette er tiltakene som stopper flest angrep. Les mer i guiden vår om tiltak mot dataangrep.
  6. Test at tiltakene virker. NIS2 krever at dere vurderer effekten. En sikkerhetstest av nettside og systemer viser hva en angriper faktisk ser, ikke hva dere tror er på plass.
  7. Lær opp de ansatte. Phishing er fortsatt den vanligste veien inn. Kort opplæring og en kontrollert phishing-test gir et målbart utgangspunkt.
  8. Skriv hendelsesplanen. Hvem gjør hva de første 24 timene? Ha den tilgjengelig også når e-posten er nede.
  9. Gå gjennom leverandørene. List opp hvem som har tilgang til systemer og data, og hvilke sikkerhetskrav dere stiller til dem.
  10. Gjenta jevnlig. Ledelsen gjennomgår risikobildet minst én gang i året og etter større endringer.

Slik hjelper Clevo

Skal dette gjøres ordentlig uten egen IT-avdeling, kan vi ta jobben sammen med dere. Med risiko og regler går vi gjennom risikoen og hvordan dere står mot GDPR og NIS2, og ledelsen får en kort oppsummering av funnene med konkrete tiltak. Vi tester også nettsider, apper og systemer, sikrer Microsoft 365, Google og AWS gjennom sikker sky og e-post og holder opplæring og phishing-test for ansatte.

Clevo

Vil du starte enkelt? Ta en gratis sjekk av e-posten din. Det er et raskt første blikk på et av områdene NIS2 vektlegger.

Vårt syn: NIS2 er et ledelsesverktøy, ikke et papirprosjekt

Vi mener NIS2 sier noe mange bedrifter burde ha gjort uansett: sikkerhet er et ledelsesansvar, og det skal kunne dokumenteres. Likevel ser vi at mange små og mellomstore bedrifter møter kravene med to feil. Enten venter de til loven er på plass, eller så kjøper de en tykk teknisk rapport som ingen i ledelsen leser.

Rapporter alene gjør ingen bedrift tryggere. Det er tiltakene som virker. Derfor jobber vi på en annen måte: Vi finner hullene, forklarer dem slik at en daglig leder forstår hva som står på spill, og retter dem selv. Ledelsen får en kort oppsummering den kan ta stilling til og signere. Det er nettopp den dokumentasjonen NIS2 ber om.

Vi tror også det lønner seg å begynne nå, uansett når NIS2 blir norsk lov. Tofaktorinnlogging, testet backup, oppdatert programvare og ansatte som kjenner igjen svindel er ikke byråkrati. Det er det som skiller en bedrift som får en dårlig dag fra en som må stenge i en uke. Og når den store kunden sender spørreskjemaet om leverandørsikkerhet, har dere svarene klare.

Hos oss snakker du direkte med fagpersonen som gjør jobben, uten selgere eller mellomledd. Det gjør det enklere å stille dumme spørsmål, og det er ofte der de viktigste svarene kommer.

Sejad

Vanlige spørsmål om NIS2-kravene

Er NIS2 norsk lov?

Nei, ikke da denne artikkelen ble skrevet i november 2026. NIS2 må først tas inn i EØS-avtalen og gjennomføres i norsk lov sammen med CER-direktivet. Det som gjelder nå, er digitalsikkerhetsloven, som trådte i kraft 1. oktober 2025 og bygger på NIS1.

Gjelder NIS2 for bedrifter med under 50 ansatte?

Som hovedregel nei, men det finnes unntak for virksomheter med en særlig viktig rolle i samfunnet. Mange mindre bedrifter blir likevel berørt fordi kunder som omfattes, må stille sikkerhetskrav til leverandørene sine. I praksis kan du derfor møte NIS2-kravene gjennom kontraktene.

Hva er forskjellen på NIS2 og GDPR?

GDPR beskytter personopplysninger, mens NIS2 handler om sikkerheten og driften i nettverk og informasjonssystemer. De overlapper mye: risikovurdering, tilgangsstyring, kryptering og avviksvarsling. Bedrifter som gjør en felles risikovurdering for begge, sparer mye dobbeltarbeid.

Hvor raskt må en sikkerhetshendelse varsles?

Etter digitalsikkerhetsloven skal alvorlige hendelser varsles til tilsynsmyndigheten innen 24 timer. Oppdatert informasjon skal sendes innen 72 timer, og en hendelsesrapport innen én måned etter første varsel. NIS2 bygger på det samme mønsteret.

Hvor bør vi begynne hvis vi ikke har egen IT-avdeling?

Begynn med å plassere ansvaret hos én leder og gjøre en enkel risikovurdering. Innfør deretter tofaktorinnlogging, testet backup og faste oppdateringer, som gir mest beskyttelse for innsatsen. Få gjerne hjelp utenfra til GAP-analysen, så dere vet hva som faktisk mangler.

Kilder

Anbefalinger