NIS2 må skilles fra gjeldende norske krav til digital sikkerhet. Ved gjennomgangen 27. september 2026 viser EFTAs statusblad for direktiv 2022/2555 at rettsakten er under vurdering for innlemmelse i EØS-avtalen. Det gir ikke grunnlag for å oppgi en fast norsk ikrafttredelsesdato. Digitalsikkerhetsloven og digitalsikkerhetsforskriften gjelder allerede fra 1. oktober 2025 og gjennomfører det første NIS-direktivet.
For en norsk virksomhet er oppgaven derfor tredelt: avklar pliktene dere har nå, vurder eventuell tilknytning til EU-landenes NIS2-regler, og planlegg forbedringer som kan gjenbrukes ved norsk gjennomføring. Denne artikkelen er en norsk status- og avgrensningsguide. Den er ikke en bekreftelse på at alle norske virksomheter i en bestemt sektor allerede omfattes av NIS2.
Status: hvorfor NIS2 ikke gjelder ennå i Norge
NIS2 er et direktiv, ikke en norsk lov. EU-landenes frist for gjennomføring var 17. oktober 2024. Den datoen er ikke en norsk gjennomføringsfrist. Norske forpliktelser som følge av EØS-innlemmelse må vurderes sammen med EØS-beslutningen, eventuelle tilpasninger og norsk gjennomføring. Det er heller ikke riktig å si at Norge er rettslig forhindret fra å vedta tilsvarende nasjonale regler før en EØS-prosess er ferdig.
NSMs introduksjon til digitalsikkerhetsloven forklarer at dagens regelverk gjennomfører NIS1, og at arbeidet med NIS2 og CER fortsatt pågår. CER gjelder kritiske enheters motstandsdyktighet og har et eget innhold. En politisk plan om samordning gjør ikke de to direktivene til én vedtatt norsk lov.
Ved senere oppdatering bør virksomheten kontrollere tre dokumenter separat: EFTAs statusblad, den norske vedtatte loven eller forskriften og beslutningen om ikrafttredelse. Et høringsnotat beskriver forslag. En lovproposisjon er ikke et endelig lovvedtak. Selv en vedtatt lov kan ha bestemmelser som først settes i kraft senere. Noter hva som faktisk er kontrollert og datoen for kontrollen.
Unngå å styre budsjetter etter en ubekreftet påstand om at «NIS2 kommer i 2026». Bruk heller en beslutning med to spor: nødvendige tiltak etter dagens risikovurdering og en overvåket liste over mulige nye plikter. Da kan ledelsen prioritere uten at en antatt dato forveksles med en bindende frist. Datoen bør oppdateres når det finnes et konkret rettslig grunnlag.
Gjeldende norske plikter kommer først
Digitalsikkerhetsloven gjelder tilbydere av samfunnsviktige tjenester og visse digitale tjenester etter lovens og forskriftens avgrensning. Virksomheten må vurdere sin faktiske tjeneste og eventuelle terskler, ikke bare navnet på bransjen. At en organisasjon er viktig for en lokal kunde, avgjør ikke alene om den er tilbyder etter loven.
Bruk NSMs veileder sammen med den aktuelle sektorens regler. Avklar hvem som er juridisk tilbyder, hvilke tjenester som omfattes, og hvilke nettverks- og informasjonssystemer leveransen er avhengig av. Dokumenter også en konklusjon om at virksomheten faller utenfor, med faktiske forutsetninger som kan endre seg ved vekst, oppkjøp eller nye tjenester.
For hendelser etter gjeldende lov beskriver NSMs varslingsveiledning varsling uten unødig opphold når hendelsen virker betydelig inn på tjenesteleveransen. Vurderingen og varslingskanalen må følge dette regelverket. Ikke bytt det ut med en NIS2-tabell hentet fra et EU-land fordi tabellen ser mer konkret ut.
En virksomhet kan dessuten omfattes av sikkerhetsloven, sektorregler eller andre beredskapskrav. At NIS2 ikke er gjennomført i Norge betyr ikke at digital sikkerhet er uregulert. Det betyr at rettslig grunnlag må oppgis presist. En intern tiltaksplan kan vise flere grunnlag for samme tiltak, men må beholde de ulike kravene til rapportering, godkjenning og dokumentasjon.
Hvilke virksomheter vil omfattes?
NIS2 utvider EUs virkeområde til flere sektorer og bruker i hovedsak størrelse sammen med aktivitet som kriterium. Direktivets vedlegg I omfatter blant annet energi, transport, helse, drikkevann, avløp og digital infrastruktur. Vedlegg II omfatter blant annet post- og kurertjenester, avfall, enkelte produksjonsaktiviteter, matvirksomhet og forskning. Den konkrete definisjonen av aktiviteten er avgjørende.
EU-kommisjonens oversikt over NIS2 er et startpunkt for kartleggingen. Den skal ikke brukes som en ferdig norsk omfattelsesliste. Det finnes særregler og enheter som kan omfattes uansett størrelse. Offentlig forvaltning og enkelte digitale tjenester har også egne avgrensninger. Et selskap med få ansatte kan derfor ikke avgjøre spørsmålet utelukkende ved å telle ansatte.
Vesentlige og viktige enheter er heller ikke en enkel oversettelse av vedlegg I og II. Klassifisering etter artikkel 3 avhenger blant annet av type enhet, størrelse og særskilt identifikasjon. En mellomstor virksomhet i en sektor fra vedlegg I er ikke automatisk vesentlig. Forklar derfor grunnlaget for kategorien i omfattelsesvurderingen, i stedet for å lime inn en tabell som gjør alle virksomheter i én sektor like.
Størrelse må undersøkes etter de relevante reglene, inkludert tilknyttede virksomheter der dette har betydning. En avdeling kan ikke alltid regnes som et selvstendig lite selskap bare fordi den har et eget budsjett. Be om selskapsstruktur, eierskap og økonomiske nøkkeltall før vurderingen avsluttes. Dersom faktagrunnlaget mangler, merk konklusjonen som foreløpig og angi hva som skal avklares.
Norsk virksomhet med kunder eller etablering i EU
Et norsk hovedkontor utelukker ikke plikter etter nasjonal NIS2-gjennomføring i et EU-land. Et datterselskap eller en relevant tjenesteleveranse kan kreve en egen vurdering. Direktivets jurisdiksjonsregler varierer mellom tjenestetyper. For visse digitale tjenester finnes regler om hovedetablering og representant som må leses sammen med virksomhetens faktiske tilbud i EU.
Det er samtidig for vidt å si at enhver norsk leverandør med én kunde i EU automatisk er direkte underlagt NIS2. Kartlegg juridiske enheter, etableringssteder, hvilken tjeneste som tilbys og den aktuelle nasjonale loven. Skill lovpålagte plikter fra sikkerhetskrav kunden stiller i en avtale. Begge kan kreve arbeid, men de har forskjellig rettslig virkning.
I et hypotetisk konsern med en norsk produksjonsvirksomhet og et EU-basert driftsselskap kan vurderingene bli forskjellige. Driftsselskapet kan ha direkte plikter etter sitt lands lov, mens den norske enheten har norske plikter og avtaleforpliktelser overfor konsernet. En felles sikkerhetsstandard kan være nyttig, men den erstatter ikke en avklart rapporteringslinje for hvert rettssubjekt.
Hvilke krav stiller NIS2?
På EU-nivå krever direktivet forholdsmessige tiltak for å håndtere sikkerhetsrisiko i nettverks- og informasjonssystemer. Områdene omfatter blant annet risikohåndtering, hendelser, kontinuitet, leverandørkjede, sikker utvikling, sårbarheter, kontroll av tiltakenes effekt, opplæring og tilgangsstyring. Kravene skal knyttes til risikoen og den relevante virksomheten, ikke bare samles i en overordnet policy.
For enkelte digitale tjenestetyper har Kommisjonen vedtatt utfyllende tekniske og metodiske krav. Det betyr at en skytjeneste og en industribedrift ikke uten videre bør bruke identisk kravliste. Ved norsk forberedelse er slike regler et relevant sammenligningsgrunnlag, mens deres norske rettslige status må vurderes separat.
Et praktisk første steg er en systemoversikt som viser hvilke tjenester systemene støtter, ansvarlige eiere og viktige avhengigheter. En liste med produktnavn alene forklarer ikke konsekvensen av et bortfall. Knytt hver kritisk leveranse til identitetsløsninger, nettverk, data, personell og leverandører som må fungere for at leveransen skal opprettholdes.
Deretter kan grunnleggende IT-sikkerhet prioriteres etter dokumenterte svakheter. Hvis virksomheten ikke kan gjenopprette en nødvendig tjeneste, kan en øvelse og retting av kopirutiner være mer presserende enn et nytt dokumentformat. Begrunn prioriteringen med risiko, og registrer hva som fortsatt er uavklart. En tiltaksliste med bare grønne statusfelt gir lite styringsinformasjon.
Hendelsesrapportering: lær EU-modellen uten å endre norsk frist
NIS2s EU-modell for betydelige hendelser er trinnvis: tidlig varsel innen 24 timer etter kjennskap, melding innen 72 timer og normalt sluttrapport senest én måned etter hendelsesmeldingen. Det finnes særregler, blant annet for tillitstjenester og pågående hendelser. Kommisjonens spørsmål og svar forklarer hovedstrukturen.
Disse fristene skal ikke presenteres som generelle norske NIS2-frister før relevant norsk rett gjelder. De kan brukes til øvelser og forberedelse, eller fordi et EU-regelverk faktisk gjelder for en bestemt enhet. Oppgi da hvilket grunnlag fristen kommer fra. En beredskapsplan som blander EU-modellen, norske frister og kundekontrakter i én kolonne gjør det vanskelig å vite hvem som skal varsles.
I en øvelse kan virksomheten simulere at en tjeneste stopper på en fredag. Spør hvem som oppdager at hendelsen har vesentlig betydning, hvem som kan beslutte varsling, og hvordan de arbeider hvis vanlig e-post er utilgjengelig. Målet er å avdekke manglende fakta og beslutningsmyndighet, ikke bare å bekrefte at en mal finnes på intranettet.
Ledelsesansvar og dokumenterte beslutninger
NIS2 legger ansvar på ledelsesorganene for godkjenning og oppfølging av sikkerhetstiltak. Det er ikke det samme som automatisk personlig erstatningsansvar for ethvert angrep. Ansvarsregler, reaksjoner og nasjonal gjennomføring må leses presist. En norsk virksomhet bør derfor unngå presentasjoner som bruker udokumenterte sanksjonspåstander for å få et budsjett vedtatt.
En bedre styresak beskriver hvilke tjenester som står i fare, hvilke svakheter som er bekreftet, hvilke alternativer som finnes og hva tiltakene forventes å løse. Legg ved hvem som er ansvarlig og hvordan effekten skal kontrolleres. Informasjonssikkerhetspolicyen kan angi ansvar og beslutningsgrenser, mens den enkelte risikobeslutningen trenger et konkret faktagrunnlag.
Ledelsen bør også forstå hva som er avhengig av eksterne parter. Hvis en leverandør ikke tilbyr nødvendig gjenopprettingskapasitet, kan ikke en intern policy alene redusere risikoen. Beslutningen kan kreve endret kontrakt, annen arkitektur eller en reell reserveordning. Restproblemet må stå åpent til noen har vurdert og håndtert det; en utfylt policy er ikke bevis på teknisk virkning.
Leverandørkjede og kontinuitet i praksis
Start med leverandører som er avgjørende for tjenesteleveransen. Beskriv hvilke systemer de driver, hvilken tilgang de har og hvilke andre leverandører de er avhengige av. Vurder om flere tilsynelatende forskjellige tjenester i realiteten er avhengige av samme skyleverandør eller identitetsplattform. En slik felles avhengighet kan gi større konsekvenser enn enkeltkontraktene viser.
Et leverandørskjema bør brukes til å få svar på bestemte spørsmål. En sertifisering kan være relevant, men kontroller hvilket selskap, hvilken tjeneste og hvilken periode den dekker. Be om forklaring når et svar ikke gjelder den løsningen dere faktisk bruker. Hvis leverandøren behandler personopplysninger, må også databehandleravtalen vurderes; den dekker ikke automatisk alle sikkerhets- og kontinuitetskrav.
En kontinuitetsplan bør beskrive hvordan tjenesten kan opprettholdes ved bortfall av en sentral leverandør. En gjenopprettingsplan med RTO og RPO konkretiserer hvor lenge avbrudd og hvor stort datatap virksomheten kan håndtere. Kontroller at målene er forankret i tjenestens behov og støttes av faktiske tester og avtaler.
Et hypotetisk produksjonsselskap oppdager under kartleggingen at både driftstilgang og sikkerhetskopier er avhengige av samme administratorkonto. Det kan prioritere separate tilganger og en gjenopprettingsøvelse allerede nå. Tiltaket trenger ikke vente på NIS2, men skal heller ikke omtales som full NIS2-etterlevelse. Resultatet er en konkret forbedring med en avgrenset og kontrollerbar virkning.
Overlappet med GDPR og DORA
Samme angrep kan berøre både tjenestesikkerhet og personopplysninger. GDPRs melding etter artikkel 33 krever en egen risikovurdering for personer og gjelder ikke automatisk ethvert IKT-avbrudd. Virksomheten kan bruke en felles tidslinje og undersøkelse, men må dokumentere beslutninger etter hvert regelverk. En melding til én myndighet er ikke i seg selv oppfyllelse av alle pliktene.
DORA er allerede gjennomført i Norge. På EU-nivå har forholdet mellom DORA og NIS2 særregler om sektorspesifikt regelverk. Det er derfor misvisende å forutsette tre helt parallelle sett med identiske sikkerhetsplikter for alle finansforetak. Avklar foretakstype, aktivitet og hvilke bestemmelser som gjelder før kontrollene samordnes.
Felles dokumentasjon kan redusere dobbeltarbeid når den faktisk dekker ulike krav. En behandlingsprotokoll beskriver behandling av personopplysninger; den er ikke alene en full oversikt over kritiske tjenester eller IKT-avtaler. Tilsvarende er en sikkerhetsøvelse ikke automatisk en personvernkonsekvensvurdering. Behold formålet med hvert dokument og koble dokumentene der faktagrunnlaget er felles.
Hva bør norske virksomheter gjøre først?
Begynn med en begrunnet omfattelsesvurdering og dagens plikter. Deretter kartlegges kritiske tjenester, systemer, leverandører og hendelseskanaler. Velg noen få forbedringer som løser bekreftede svakheter. Sett en ansvarlig til å følge EØS- og lovprosessen, slik at nye bindende krav blir fanget opp uten at alle medarbeidere må følge hver pressemelding.
Ved verktøyvalg bør virksomheten undersøke om løsningen kan knytte krav til riktig juridisk enhet, kilde, ansvarlig og kontrollbevis. Kriterier for NIS2-programvare og DORA-programvare kan brukes som støtte for spørsmål til leverandøren. Et produktnavn eller en ferdig kontrollpakke avgjør verken norsk lovstatus eller om virksomheten er omfattet.
Ofte stilte spørsmål
Er NIS2 gjeldende i Norge i 2026?
Statuskontrollen 27. september 2026 gir ikke grunnlag for å omtale NIS2 som generelt gjennomført i norsk rett. EFTAs statusblad viser fortsatt vurdering for EØS-innlemmelse. Dagens digitalsikkerhetslov og eventuelle EU-tilknytninger må vurderes separat.
Hvilke virksomheter omfattes av NIS2 i Norge?
En endelig norsk omfattelsesvurdering må bygge på norske regler når de er vedtatt og satt i kraft. EUs sektor- og størrelseskriterier gir et grunnlag for forberedelse, men er ikke alene et norsk vedtak om at en virksomhet omfattes.
Hva er forskjellen på digitalsikkerhetsloven og NIS2?
Digitalsikkerhetsloven gjennomfører det første NIS-direktivet og gjelder fra 1. oktober 2025. NIS2 er et nyere EU-direktiv med bredere virkeområde og mer detaljerte krav. EU-endringen opphever ikke i seg selv den norske loven.
Kan ett verktøy dekke både NIS2, GDPR og DORA?
Et verktøy kan støtte felles dokumentasjon og oppfølging, men hvert regelverk trenger riktig avgrensning og juridisk vurdering. Kontroller hvilke arbeidsoppgaver løsningen faktisk støtter, og hvordan nasjonale tilpasninger og forskjellige rapporteringsplikter håndteres.
Konklusjon
Norske virksomheter bør handle ut fra dagens plikter og dokumentert risiko, samtidig som de følger NIS2-prosessen. Hold norsk lovstatus, EU-regler og kontraktskrav atskilt i vurderingene. Da kan sikkerhetsarbeidet forbedres nå, og senere gjennomføring håndteres med et kjent faktagrunnlag fremfor ubekreftede frister og generelle sektorlister.