NIS2-guide

NIS2 bøter og styreansvar: Hva risikerer norsk ledelse?

Sist oppdatert: september 2026 7 min lesetid

Hvilken jurisdiksjon gjelder: Denne artikkelen holder to regelsett fra hverandre. Det som gjelder i Norge i dag, er digitalsikkerhetsloven med forskrift, som gjennomfører NIS1 – der er både bøterammene og ledelsesansvaret norske, og de bygger ikke på NIS2. Bøtenivåene som omtales som NIS2-nivåer, er direktivets nivåer, altså EU-nivå. NIS2 er verken innlemmet i EØS-avtalen eller gjennomført i norsk rett, og ingen ikrafttredelsesdato er fastsatt for Norge. Ingen norsk virksomhet kan i dag ilegges sanksjoner etter NIS2. Hva det endelige norske sanksjonsnivået blir, avgjøres når NIS2 gjennomføres i norsk rett.

Cybersikkerhet er allerede et lederansvar i norsk rett. Digitalsikkerhetsloven med forskrift gir hjemmel for overtredelsesgebyr på inntil 50 millioner kroner, og legger ansvaret for et forsvarlig sikkerhetsnivå på virksomhetens leder. NIS2-direktivet krever at medlemsstatene setter høyere bøterammer enn dette, og at ledelsesorganet selv godkjenner og fører tilsyn med sikkerhetstiltakene. Rekkefølgen i denne guiden følger av det: først det som gjelder for dere i dag, deretter det direktivet legger opp til når NIS2 gjennomføres i norsk lov.

Hva gjelder i Norge i dag?

Digitalsikkerhetsloven (LOV-2023-12-20-108) og digitalsikkerhetsforskriften (FOR-2025-06-20-1131) trådte i kraft 1. oktober 2025 og gjennomfører det opprinnelige NIS-direktivet (NIS1, direktiv (EU) 2016/1148) i norsk rett. Varslingsfristene i forskriften § 17 og ledelsesforankringen i § 6 ligner kravene i det nye direktivet, men hjemmelen er NIS1. Sanksjonsrammene er norske, og de er ikke utformet etter NIS2 artikkel 34.

Hva det kan ilegges gebyr for

Digitalsikkerhetsloven § 17 gir hjemmel for overtredelsesgebyr ved forsettlig eller uaktsom overtredelse av §§ 7, 8, 10, 11 eller 14 – bestemmelsene om sikkerhetsstyring, sikkerhetstiltak, varsling og oppfølging av leverandører. Gebyr kan ilegges tilbyderen, men også «noen som handler på dennes vegne», og det omfatter fysiske personer. Morselskapet hefter subsidiært for gebyret (§ 17 andre ledd). Adgangen til å ilegge gebyr foreldes fem år etter at overtredelsen opphørte (§ 17 tredje ledd).

Beløpsrammene

Digitalsikkerhetsforskriften § 24 setter rammen til inntil 25 ganger grunnbeløpet i folketrygden (G) eller 4 % av omsetningen foregående år, det høyeste beløpet gjelder. Gebyret kan uansett ikke overstige 50 millioner kroner. Grunnbeløpet er 136 549 kroner fra 1. mai 2026, slik at 25 G utgjør 3 413 725 kroner.

Et regneeksempel viser hvordan de to grensene forholder seg til hverandre. For en virksomhet med 100 millioner kroner i omsetning utgjør 4 % fire millioner kroner. Det er mer enn 25 G, så det er fire millioner kroner som er rammen for den virksomheten.

Pålegg og tvangsmulkt kommer først

Gebyr er ikke det eneste virkemiddelet, og sjelden det første. Digitalsikkerhetsloven § 15 gir hjemmel for pålegg om retting, og § 16 for tvangsmulkt som løper til pålegget er etterlevd. En virksomhet som lukker avvikene innen fristen, møter i praksis ikke gebyrsporet.

Hvem som fører tilsyn, avhenger av sektor. Departementene utpeker sektortilsyn etter forskriften § 21, og så langt er NVE utpekt for energi, Finanstilsynet for finans, Sjøfartsdirektoratet for rederier og Helsetilsynet for helse. Der det ikke er utpekt et sektortilsyn, er NSM tilsynsmyndighet. For tilbydere av digitale tjenester føres tilsyn bare når myndigheten har opplysninger om at kravene ikke er oppfylt (§ 22).

Direktivets bøterammer: minstekrav for nasjonal rett

NIS2 ilegger ikke bøter selv. Artikkel 34 pålegger medlemsstatene å fastsette nasjonale maksimumsrammer, og direktivet skiller mellom to kategorier virksomheter når det setter nivået.

Vesentlige virksomheter – som typisk omfatter sektorer som energi, transport, helse, bank og digital infrastruktur – skal møte en øvre ramme på minst €10 millioner eller 2 % av samlet global årsomsetning, det høyeste beløpet.

Viktige virksomheter – som kan omfatte avfallshåndtering, matforsyning, produksjon og digitale tjenester – skal møte en øvre ramme på minst €7 millioner eller 1,4 % av samlet global årsomsetning.

Dette er gulv, ikke tak. Medlemsstatene kan legge seg høyere, og om en virksomhet er vesentlig eller viktig, følger av kombinasjonen sektor og størrelse, ikke størrelse alene.

Direktivet knytter sanksjonene til brudd på risikostyringstiltakene i Artikkel 21 og rapporteringspliktene i Artikkel 23 (hendelsesrapportering). Manglende risikoanalyse, utilstrekkelig leverandørkontroll eller forsinket varsling av en sikkerhetshendelse er alle overtredelser direktivet regner opp.

Ved utmåling skal tilsynsmyndigheten etter direktivet blant annet vurdere overtredelsens alvor og varighet, om det foreligger tidligere brudd, hvorvidt virksomheten har samarbeidet med myndighetene, og hvilke tiltak som ble iverksatt for å begrense skaden.

Når NIS2 gjennomføres i norsk lov, må de norske rammene minst tilsvare artikkel 34. Dagens norske tak på 50 millioner kroner ligger under €10 millioner, så en oppjustering følger av direktivet – men nivået fastsettes av lovgiver, ikke av direktivet alene.

Ledelsesansvar: i dag og under direktivet

I dag: forskriften § 6 og loven § 17

Digitalsikkerhetsforskriften § 6 legger ansvaret for et forsvarlig sikkerhetsnivå på virksomhetens leder. Lederen skal godkjenne styringssystemet for sikkerhet og gjennomgå det årlig. Forskriften § 14 pålegger oppfølging av leverandører, gjort gjeldende gjennom avtale, og § 12 krever opplæring av personell, også leverandørenes.

Ansvaret har en sanksjonsside allerede i dag: overtredelsesgebyr etter loven § 17 kan ilegges «noen som handler på dennes vegne», og det omfatter fysiske personer. Beløpsrammene i forskriften § 24 gjelder uansett hvem gebyret retter seg mot.

Direktivet: Artikkel 20

Artikkel 20 i NIS2 plasserer ansvaret hos ledelsesorganet, med tre konkrete plikter:

Ledelsesorganet skal godkjenne virksomhetens sikkerhetstiltak etter Artikkel 21. Tiltakene må behandles og vedtas av ledelsen, ikke bare besluttes av IT-avdelingen.
Ledelsesorganet skal føre tilsyn med gjennomføringen av disse tiltakene. Det holder ikke å vedta en policy; ledelsen må aktivt følge opp at den etterleves.
Medlemmene av ledelsesorganet er pålagt å gjennomgå opplæring i cybersikkerhet, slik at de kan identifisere risiko og vurdere virksomhetens sikkerhetspraksis. Direktivet oppfordrer til at tilsvarende opplæring tilbys øvrige ansatte, og ansatteopplæring er dessuten et krav som del av cyberhygienetiltakene i Artikkel 21(2)(g).

Artikkel 20 sier at ledelsesorganets medlemmer «kan holdes ansvarlig» for brudd på virksomhetens plikter etter Artikkel 21. Direktivet fastsetter ingen personlig bot. Hva ansvaret innebærer i praksis, avgjøres av nasjonal rett i den enkelte staten.

Midlertidig forbud mot lederverv

Artikkel 32(5)(b) gir tilsynsmyndigheten adgang til å be relevante organer eller domstoler om midlertidig å forby personer på daglig leder- eller juridisk representant-nivå å utøve ledelsesfunksjoner. To begrensninger følger av bestemmelsen selv: den gjelder bare vesentlige enheter, og den er et siste virkemiddel som forutsetter at andre håndhevingstiltak ikke har ført frem.

Det finnes ingen norsk parallell til dette i dag. Digitalsikkerhetsloven har ikke en tilsvarende hjemmel, og om noe slikt kommer, avgjøres av gjennomføringsloven.

Hva bør virksomheten deres gjøre nå?

Dere trenger ikke vente på at NIS2 gjennomføres i norsk rett for å begynne å forberede dere. Kravene i Artikkel 20 og 21 bygger på gode sikkerhetsprinsipper som allerede følger av digitalsikkerhetsloven og anerkjente rammeverk som NSMs grunnprinsipper og ISO 27001.

Sørg for at cybersikkerhet er et fast punkt på styrets agenda, med dokumenterte vedtak. Gjennomfør en kartlegging av virksomhetens modenhet på tvers av de ti sikkerhetskategoriene i Artikkel 21. Sørg for at styremedlemmer og ledelse har gjennomgått opplæring i cybersikkerhet, og dokumenter det. Etabler klare rutiner for hendelseshåndtering og varsling som holder fristene i digitalsikkerhetsforskriften § 17. Og vurder virksomhetens styreansvarsforsikring (D&O), mange standardpoliser dekker ikke cybersikkerhetshendelser.

Ansvaret som følger av direktivet, må også sees i sammenheng med det overordnede ansvaret som allerede følger av aksjeloven, hvor styret har det generelle ansvaret for forvaltningen av selskapet. Både forskriften § 6 og Artikkel 20 legger en eksplisitt cybersikkerhetsdimensjon til dette eksisterende ansvaret.

For en praktisk gjennomgang av hva ledelsen konkret må gjøre for å oppfylle Artikkel 20, se vår guide om NIS2 og ledelsens ansvar.

Relaterte guider:

Relaterte guider