NIS2-guide

NIS2 i Norge – hva digitalsikkerhetsloven krever, og hva som kommer

Sist oppdatert: september 2026 11 min lesetid

Gjelder NIS2 i Norge? Ikke ennå. Det som gjelder i dag er digitalsikkerhetsloven, som trådte i kraft 1. oktober 2025 og i hovedsak gjennomfører det første NIS-direktivet (NIS1) i norsk rett. NIS2 er verken innlemmet i EØS-avtalen eller gjennomført i norsk lov, og ingen ikrafttredelsesdato er fastsatt for Norge.

Omfattet i dag er tilbydere av samfunnsviktige tjenester i sju sektorer – energi, transport, helse, vannforsyning, bank, finansmarkedsinfrastruktur og digital infrastruktur – pluss tilbydere av visse digitale tjenester. Sektorene i lovens § 2 er konkretisert til 28 virksomhetstyper med terskelverdier i digitalsikkerhetsforskriften § 1, og en vanlig SMB i en av sektorene er ikke omfattet med mindre virksomhetstypen står på listen. Når NIS2 gjennomføres, utvides kretsen til 18 sektorer med størrelsesbaserte kriterier. Mange virksomheter som står utenfor i dag, kommer da inn.

NIS2 er det nye, utvidede EU-direktivet som erstatter NIS1. Det er EØS-relevant, og signalene fra myndighetene er at gjennomføringen kommer i en ny lov som også gjennomfører CER-direktivet. Endelig lovteknisk løsning er ikke vedtatt, og ingen dato er bekreftet. Kravene i direktivet er derimot kjent, og det er dem denne guiden går gjennom: hva som gjelder nå, hva som endrer seg, og hva dere kan gjøre i mellomtiden.

Tidslinje: Hvordan henger det sammen?

2016: EU vedtar det første NIS-direktivet (NIS1), det første EU-regelverket for cybersikkerhet i samfunnsviktige sektorer.

Januar 2023: EU vedtar NIS2 (direktiv (EU) 2022/2555), som erstatter NIS1. Direktivet utvider virkeområdet betydelig, skjerper kravene, og innfører strengere sanksjoner.

Oktober 2024: EU-landene skulle ha gjennomført NIS2 i nasjonal rett innen 17. oktober 2024. Nasjonal implementering varierer fortsatt mellom medlemsstatene.

Oktober 2025: Digitalsikkerhetsloven (lov 2023-12-20-108) trådte i kraft i Norge 1. oktober. Den gjennomfører i hovedsak NIS1 (direktiv (EU) 2016/1148) i norsk rett, sammen med digitalsikkerhetsforskriften. Departementene utpeker sektortilsyn etter forskriften § 21 – så langt NVE for energi, Finanstilsynet for finans, Sjøfartsdirektoratet for rederier og Helsetilsynet for helse – og NSM (Nasjonal sikkerhetsmyndighet) er tilsynsmyndighet der det ikke er utpekt sektortilsyn, i tillegg til å være nasjonalt kontaktpunkt. Varslingsregimet i forskriften § 17 følger en NIS2-lignende kadens – 24 timer, 72 timer, hendelsesrapport innen én måned – men innenfor en NIS1-hjemmel. Sikkerhetsstyringen er derimot funksjons- og risikobasert, ikke bygget på kravene i NIS2 artikkel 21.

Neste steg: Regjeringen forbereder gjennomføring av NIS2 og CER-direktivet (Critical Entities Resilience) i norsk rett. Hvorvidt dette blir en helt ny lov eller vesentlige endringer i eksisterende lovgivning, og når det vedtas, er ikke endelig avklart. Ingen dato er bekreftet.

Norge er ett steg bak EU. Mens EU-land allerede forholder seg til NIS2, gjelder fortsatt NIS1-basert lovgivning i Norge. Men kravene i NIS2 er kjent, og virksomheter som forbereder seg nå, bygger reell sikkerhet uavhengig av tidslinje.

Hva er likt?

Digitalsikkerhetsloven og NIS2 bygger på det samme grunnlaget. De viktigste likhetene:

Risikobasert tilnærming. Begge krever at virksomheter identifiserer risiko i sine nettverks- og informasjonssystemer og iverksetter tiltak basert på den risikoen.

Krav til sikkerhetstiltak. Begge stiller krav til tekniske og organisatoriske sikkerhetstiltak: styringssystem for sikkerhet, risikovurderinger, hendelseshåndtering, og driftskontinuitet.

Hendelsesrapportering. Begge krever at vesentlige sikkerhetshendelser rapporteres til myndighetene. I dag følger fristene av digitalsikkerhetsforskriften § 17: varsel til tilsynsmyndigheten innen 24 timer etter at tilbyderen fikk kjennskap til hendelsen, oppdatering innen 72 timer og hendelsesrapport innen én måned, med kopi til NSM som nasjonalt kontaktpunkt.

Tilsyn og sanksjoner. Begge gir myndighetene hjemmel for tilsyn og overtredelsesgebyr.

Tilsynsstruktur. Begge bygger på en modell med sektormyndigheter og NSM i en sentral, koordinerende rolle.

Virksomheter som allerede etterlever digitalsikkerhetsloven har altså et forsprang. Mange av prinsippene og kravene videreføres. De skjerpes og utvides under NIS2.

Hva er forskjellig?

Forskjellene er likevel betydelige. NIS2 er ikke en liten oppdatering. Det er en vesentlig utvidelse, selv om norsk rett allerede har elementer som ligner direktivets: varslingskadensen i forskriften § 17, ledelsesforankringen i § 6 og leverandørkravene i § 14.

Virkeområde: Langt flere virksomheter

Digitalsikkerhetsloven (NIS1): Gjelder tilbydere av samfunnsviktige tjenester i sju sektorer: energi, transport, helse, vannforsyning, bank, finansmarkedsinfrastruktur og digital infrastruktur, pluss tilbydere av visse digitale tjenester. Sektorene er konkretisert til 28 virksomhetstyper med terskelverdier i forskriften § 1 – en vanlig SMB i sektorene er ikke omfattet med mindre virksomhetstypen står på listen. Departementene kan i tillegg utpeke enkeltvirksomheter ved enkeltvedtak.

NIS2: Utvider til 18 sektorer ved å legge til blant annet offentlig forvaltning, avløpsvann, avfallshåndtering, post- og kurertjenester, matproduksjon, kjemikalieproduksjon, romvirksomhet, forvaltning av IKT-tjenester, og produksjon av kritisk teknologi. NIS2 bruker klarere kriterier for hvem som er omfattet: alle virksomheter av en viss type og størrelse (generelt 50+ ansatte eller €10M+ i omsetning) i de omfattede sektorene.

For norske virksomheter: Mange som i dag ikke er omfattet av digitalsikkerhetsloven, blir det når NIS2 gjennomføres i norsk rett. Spesielt produksjonsbedrifter, IT-tjenesteleverandører, og virksomheter i avfalls- og matvaresektoren bør forberede seg.

Sikkerhetskrav: Mer detaljert og forpliktende

Digitalsikkerhetsloven (NIS1): Krever at virksomheter treffer «nødvendige tekniske og organisatoriske tiltak» for å håndtere risiko. Loven er relativt overordnet, men digitalsikkerhetsforskriften og NSMs veiledning konkretiserer kravene noe, blant annet med krav til sikkerhetsstyringssystem, hendelseshåndtering, beredskapsplaner, og fysiske tiltak.

NIS2 Artikkel 21: Spesifiserer 10 konkrete kategorier av sikkerhetstiltak som alle omfattede virksomheter minst må implementere. Disse inkluderer krav til risikoanalyse, hendelseshåndtering, driftskontinuitet, forsyningskjedesikkerhet, sårbarhetshåndtering, kryptografi, tilgangskontroll, MFA, og opplæring. Tiltakene skal baseres på en «all-hazards»-tilnærming som også dekker fysiske trusler.

Konsekvensen: Under digitalsikkerhetsloven er det mye opp til virksomheten selv å definere «nødvendige tiltak». Under NIS2 er minimumskravene mer konkrete og etterprøvbare. Det gjør det tydeligere hva som forventes, men også vanskeligere å argumentere for at man har gjort «nok» uten å dekke alle 10 kategoriene.

Ledelsesansvar: Tydeligere og mer personlig

Digitalsikkerhetsloven (NIS1): Digitalsikkerhetsforskriften krever allerede at virksomhetens øverste leder godkjenner styringssystemet for sikkerhet, og at sikkerhet er forankret i ledelsen. Men kravene til ledelsens kompetanse og personlige ansvar er ikke like eksplisitte.

NIS2 Artikkel 20: Går vesentlig lenger: ledelsesorganet (styret/toppledelsen) skal godkjenne risikostyringstiltakene, føre aktivt tilsyn med implementeringen, og selv gjennomføre opplæring i cybersikkerhet. Medlemsstatene skal sikre at ledelsens medlemmer kan holdes personlig ansvarlige etter nasjonal rett for brudd på disse pliktene.

For styret: Ledelsesforankring er ikke nytt, men obligatorisk opplæring for styret og personlig ansvar ved forsømmelse er det. Styremedlemmer og toppledere må forstå cybersikkerhetsrisiko, ikke bare godkjenne et dokument.

Forsyningskjede: Mer detaljerte og spesifikke krav

Digitalsikkerhetsloven (NIS1): Digitalsikkerhetsforskriften krever allerede at tilbydere påser at leverandører utfører arbeid i tråd med sikkerhetskravene, og at tiltak gjøres gjeldende overfor leverandører gjennom avtale. Men kravene er overordnede.

NIS2 Artikkel 21(2)(d): Er vesentlig mer detaljert og spesifikk: virksomheter skal vurdere og håndtere sikkerhetsrisiko i hele forsyningskjeden, inkludert sikkerhetskrav ved anskaffelse av IKT-tjenester og -produkter, og vurdering av leverandørenes sikkerhetspraksis og produktkvalitet.

For leverandørkjeden: Virksomheter som er omfattet, må stille sikkerhetskrav til sine leverandører. Dette har en dominoeffekt: selv virksomheter som ikke er direkte omfattet av NIS2 kan møte krav gjennom sine kunder i NIS2-sektorer.

Hendelsesrapportering: Formalisert i direktivet

Digitalsikkerhetsloven (NIS1): Krever varsling av hendelser som «virker betydelig inn på tjenesteleveransen.» Selve loven spesifiserer ikke tidsfrister, men digitalsikkerhetsforskriften § 17 fastsetter varsling innen 24 timer, oppdatering av informasjonen i varselet innen 72 timer, og hendelsesrapport innen én måned. Kadensen ligner NIS2, men hjemmelen er NIS1. Merk at § 17 ikke gjelder for tilbydere av digitale tjenester med færre enn 50 ansatte og omsetning eller balanse under 10 millioner euro.

NIS2 Artikkel 23: Kodifiserer den trinnvis rapporteringsprosessen direkte i direktivteksten med stramme frister: tidlig varsel innen 24 timer etter at virksomheten blir kjent med en vesentlig hendelse, oppdatert hendelsesmelding med foreløpig vurdering innen 72 timer, og sluttrapport innen én måned etter 72-timersmeldingen.

I praksis: For virksomheter som allerede er omfattet av digitalsikkerhetsloven, er forskjellen i rapporteringsfrister liten, forskriften har allerede implementert tilsvarende tidslinjer. For virksomheter i nye NIS2-sektorer som ikke tidligere har hatt rapporteringsplikt, er dette derimot en vesentlig ny forpliktelse.

Sanksjoner: Betydelig skjerpet

Digitalsikkerhetsloven (NIS1): Overtredelsesgebyr for foretak kan utgjøre opptil 25 ganger grunnbeløpet (3 413 725 kr med G på 136 549 kr fra 1. mai 2026) eller 4 % av foretakets årsomsetning – det høyeste beløpet gjelder – begrenset oppad til 50 millioner kroner. For fysiske personer og offentlige organer er taket 25G.

NIS2: Krever at medlemsstatene innfører bøter med øvre grense på minst €10M eller 2 % av global årsomsetning for vesentlige virksomheter, og minst €7M eller 1,4 % for viktige virksomheter. Det endelige norske bøtenivået fastsettes når NIS2 gjennomføres i norsk rett, men direktivets minimumsrammer tilsier en vesentlig oppjustering.

Bunnlinjen: Kostnadene ved manglende etterlevelse øker. For større virksomheter kan bøtene bli betydelige.

Klassifisering: Tydeligere inndeling

Digitalsikkerhetsloven (NIS1): Skiller mellom «tilbydere av samfunnsviktige tjenester» og «tilbydere av digitale tjenester», men det er i stor grad opp til myndighetene å identifisere hvem.

NIS2: Innfører to klare kategorier: vesentlige (essential) og viktige (important) virksomheter, basert på kombinasjonen av sektor og størrelse. Vesentlige virksomheter er underlagt proaktivt tilsyn, mens viktige virksomheter kun følges opp reaktivt.

For deg: Det blir tydeligere hvem som er omfattet og hva som forventes. Mindre rom for tolkning, men også mindre rom for å falle mellom stolene.

Hva betyr dette for norske virksomheter?

Hvis du allerede er omfattet av digitalsikkerhetsloven

Er dere omfattet av forskriftens varslingsplikt etter § 17, har dere allerede en varslingskadens som ligner den NIS2 bruker – 24 timer, 72 timer, hendelsesrapport innen én måned. Det forspranget gjelder varsling, ikke sikkerhetsstyring: den delen av forskriften er funksjons- og risikobasert og bygger ikke på NIS2 artikkel 21. Du bør derfor gjøre en gapanalyse mot NIS2 Artikkel 21 for å identifisere det som er genuint nytt, spesielt de mer detaljerte kravene til forsyningskjedesikkerhet, obligatorisk ledelsestrening, og den utvidede listen av sikkerhetskategorier. Er dere omfattet, gjelder også innmeldingsplikten til NSM allerede i dag – hvordan den fungerer i praksis, og hva den varslede registreringsportalen endrer, er gjennomgått i guiden om registreringsplikt hos NSM.

Hvis du er i en av de nye NIS2-sektorene

Forbered deg nå. Sektorer som avfallshåndtering, matproduksjon, post og kurertjenester, IKT-tjenesteforvaltning, og produksjon har ikke tidligere vært regulert under digitalsikkerhetsloven. Overgangen fra «ingen krav» til «NIS2-nivå» er større enn for virksomheter som allerede er regulert.

Hvis du er leverandør til omfattede virksomheter

Selv om du ikke er direkte omfattet, bør du forberede deg på at kunder i NIS2-sektorer vil stille krav. Dokumenter sikkerhetspraksisen din, ha en hendelseshåndteringsplan, og vær forberedt på leverandørvurderinger og sikkerhetskrav i kontrakter.

Hvis du er usikker

Den norske gjennomføringen kan utvide virkeområdet sammenlignet med direktivet, regjeringen har uttalt at dette skal utredes. Det betyr at det kan bli flere virksomheter som omfattes i Norge enn direktivets minimum. Å forberede seg nå er en forsikring uansett utfall.

Ofte stilte spørsmål

Gjelder NIS2 i Norge?

Ikke som norsk rett. NIS2 er ikke innlemmet i EØS-avtalen og ikke gjennomført i norsk lov, og ingen ikrafttredelsesdato er fastsatt. Det som gjelder er digitalsikkerhetsloven fra 1. oktober 2025, som i hovedsak gjennomfører NIS1. Norske virksomheter kan likevel møte NIS2-krav i dag, gjennom kunder i EU-land og gjennom leverandørkravene virksomheter som er omfattet der må stille nedover i kjeden.

Trenger jeg å forholde meg til NIS2?

Det avhenger av sektor og størrelse. Direktivet gir ingen plikter i Norge i dag, siden det ikke er gjennomført i norsk rett. To ting gjør det likevel aktuelt nå: er dere allerede omfattet av digitalsikkerhetsloven, gjelder de kravene i dag, og leverer dere til kunder i EU eller i regulerte sektorer, kommer NIS2-kravene til dere gjennom kontrakter lenge før en norsk lov er på plass.

Når kommer NIS2 i Norge?

Ingen dato er bekreftet. Signalene fra myndighetene er at gjennomføringen kommer i en ny lov som også gjennomfører CER-direktivet, og som vil avløse dagens lov, men verken lovtekst eller ikrafttredelse er vedtatt. Å vente på datoen gir lite: de ti tiltakskategoriene i artikkel 21 er kjent og stabile, og arbeidet med dem bygger reell sikkerhet uansett når loven kommer.

Hva er forskjellen på NIS1 og NIS2?

NIS1 fra 2016 var EUs første regelverk for cybersikkerhet i samfunnsviktige sektorer, og er grunnlaget for digitalsikkerhetsloven. NIS2 erstatter NIS1 og utvider på fire punkter: virkeområdet går fra sju til 18 sektorer med størrelsesbaserte kriterier, artikkel 21 lister ti konkrete kategorier av sikkerhetstiltak, artikkel 20 legger et personlig ansvar på ledelsen, og bøterammene heves vesentlig.

Hva innebærer digitalsikkerhetsloven for en bedrift med 100 ansatte?

Antall ansatte avgjør ingenting i seg selv. Loven treffer de 28 virksomhetstypene forskriften § 1 lister opp innenfor sju sektorer, pluss tilbydere av visse digitale tjenester, så en bedrift med 100 ansatte utenfor listen er ikke omfattet. Er dere innenfor, gjelder kravene til sikkerhetsstyring, varsling og innmelding til NSM fullt ut. Under NIS2 blir størrelse derimot et selvstendig kriterium ved siden av sektor.

Vi har ISO 27001 eller er omfattet av DORA – dekker det NIS2?

Delvis. ISO 27001 gir et solid grunnlag og overlapper med mange av kravene, men NIS2 går lenger på hendelsesrapportering med faste frister, forsyningskjedesikkerhet og eksplisitt ledelsesansvar, så en gapanalyse er nødvendig. DORA er noe annet: for finanssektoren er DORA lex specialis etter NIS2 artikkel 4 og går foran der regelverkene overlapper, særlig på IKT-risikostyring, hendelsesrapportering og resiliensetesting.

Relaterte guider:

Relaterte guider