NIS2-opplæring og cyberhygiene: hva artikkel 21 (2)(g) krever av virksomheten

Sikkerhetsopplæring av ansatte er et av de få NIS2-kravene som er både billig å oppfylle og dokumenterbart effektivt. Phishing og sosial manipulering står bak en stor andel av vellykkede angrep mot små og mellomstore virksomheter, og motmiddelet er sjelden mer teknologi – det er ansatte som gjenkjenner forsøket og vet hva de skal gjøre. NIS2-direktivet gjør dette til en eksplisitt plikt gjennom artikkel 21 (2)(g), som krever at virksomheten har praksis for grunnleggende cyberhygiene og opplæring i cybersikkerhet for personalet.

Denne guiden går gjennom hva kravet faktisk innebærer, hvordan det skiller seg fra ledelsens opplæringsplikt i artikkel 20, og hvordan en SMB kan bygge et opplæringsprogram som både fungerer i praksis og lar seg dokumentere.

Hva artikkel 21 (2)(g) faktisk krever

Artikkel 21 i NIS2-direktivet pålegger vesentlige og viktige virksomheter å innføre risikohåndteringstiltak for cybersikkerhet. Nr. 2 lister ti minimumsområder tiltakene skal dekke, og bokstav g lyder i klartekst: virksomheten skal ha praksis for grunnleggende cyberhygiene og opplæring i cybersikkerhet.

Tre ting er verdt å merke seg i formuleringen. For det første er dette en plikt for virksomheten som organisasjon, ikke for enkeltpersoner. For det andre omfatter kravet to komponenter som henger sammen, men ikke er det samme: cyberhygiene handler om innarbeidede rutiner og vaner i det daglige arbeidet, mens opplæring handler om å bygge og vedlikeholde kompetansen som gjør rutinene mulige. For det tredje sier direktivet lite om hvordan – det angir hva som skal være på plass, og overlater form, frekvens og omfang til virksomhetens risikovurdering. Det er et proporsjonalitetsprinsipp i bunn: tiltakene skal stå i forhold til risikoen virksomheten er eksponert for, størrelsen og kostnadene ved gjennomføring.

I praksis betyr det at en virksomhet med tjue ansatte ikke trenger et konserninternt e-læringsakademi. Den trenger et bevisst forhold til hvilke hverdagsrutiner som utgjør god hygiene, et opplæringsopplegg som når alle ansatte jevnlig, og dokumentasjon som viser at begge deler faktisk skjer.

Artikkel 20 og artikkel 21 (2)(g) – to ulike plikter som ofte blandes sammen

Mye av det som skrives om NIS2 og opplæring blander sammen to bestemmelser som har ulike pliktsubjekter og ulik rettslig karakter. Skillet er verdt å få presist.

Artikkel 20 handler om styring og ledelse. Etter artikkel 20 (2) skal medlemmene av ledelsesorganet gjennomgå opplæring i cybersikkerhet, slik at de er i stand til å identifisere risiko og vurdere risikohåndteringstiltakene de selv skal godkjenne og føre tilsyn med. Samme bestemmelse oppfordrer virksomheten til å tilby tilsvarende opplæring til ansatte jevnlig – men for ansattes del er dette en oppfordring, ikke et krav. Artikkel 20 er også kilden til det personlige ansvaret ledelsen kan holdes til for brudd på risikohåndteringspliktene. Hvordan det ansvaret er innrettet, har vi behandlet i en egen guide om NIS2 og ledelsens ansvar.

Artikkel 21 (2)(g) er derimot en organisatorisk plikt. Den krever at virksomheten – som del av sine risikohåndteringstiltak – har praksis for cyberhygiene og opplæring for personalet. Her er det ikke snakk om en oppfordring: opplæring av ansatte er ett av de ti minimumsområdene tiltakspakken skal dekke.

Sagt enkelt: artikkel 20 gjør ledelsens egen opplæring obligatorisk og ansattes opplæring anbefalt; artikkel 21 (2)(g) gjør opplæring og hygiene for personalet til en del av virksomhetens lovpålagte sikkerhetsarbeid. En virksomhet som kun kurser styret og daglig leder, oppfyller ikke artikkel 21 (2)(g). En virksomhet som kurser alle ansatte, men lar ledelsen stå over, oppfyller ikke artikkel 20 (2). Dere trenger begge deler.

Dette gjelder i Norge i dag

Det som gjelder i Norge nå, er digitalsikkerhetsloven (LOV-2023-12-20-108), som trådte i kraft 1. oktober 2025. Den gjennomfører det opprinnelige NIS-direktivet fra 2016, ikke NIS2. NIS2 er foreløpig ikke innlemmet i EØS-avtalen og er dermed ikke norsk lov. Gjennomføring ventes, men det finnes ingen offisielt fastsatt dato.

For opplæring og cyberhygiene spiller usikkerheten om tidspunkt liten rolle. Digitalsikkerhetsloven stiller allerede krav om sikkerhet i nettverk og informasjonssystemer basert på risikovurdering, og opplærte ansatte er et av de mest kostnadseffektive tiltakene en virksomhet kan vise til – uavhengig av hvilket direktiv som til enhver tid er gjennomført. Virksomheter som bygger opplæringspraksis nå, gjør det fordi det reduserer reell risiko i dag, og slipper samtidig hastverksarbeid den dagen NIS2-kravene blir norsk rett.

Grunnleggende cyberhygiene i praksis

Cyberhygiene er de rutinene som skal sitte i ryggmargen hos alle ansatte. For en SMB er dette de viktigste områdene:

Passordhåndtering. Glem policydokumenter som krever tolv tegn, spesialtegn og bytte hver tredje måned – det produserer gule lapper og gjenbrukte varianter av samme passord. Det som faktisk fungerer, er en passordhåndterer utrullet til alle ansatte, med unike, genererte passord per tjeneste. Da blir god passordpraksis standardvalget, ikke en viljesak.

MFA og passnøkler. Flerfaktorautentisering på alle tjenester som støtter det, prioritert på e-post, VPN, skyadministrasjon og økonomisystemer. Der det er mulig, gå videre til passnøkler (passkeys), som fjerner både passordet og phishing-flaten det utgjør.

Oppdateringsdisiplin. Ansatte skal vite at oppdateringsvarsler ikke er noe man utsetter i ukevis. Der virksomheten kan, bør oppdatering automatiseres sentralt; der den ikke kan, må forventningen om rask installasjon være tydelig kommunisert og fulgt opp.

Flyttbare medier. Minnepinner og eksterne disker av ukjent opprinnelse skal aldri kobles til virksomhetens utstyr. Har dere ikke et reelt arbeidsbehov for flyttbare medier, er den enkleste hygienen å fase dem ut til fordel for delte skyområder.

Sikkerhetskopi sett fra brukeren. Ansatte trenger ikke forstå backup-arkitekturen, men de må vite hvor filer skal lagres for å bli sikkerhetskopiert – og at lokal lagring på skrivebordet faller utenfor. Én setning i opplæringen om «lagrer du det her, er det trygt; lagrer du det der, er det ikke» forebygger mye datatap.

Trygg nettbruk og offentlig Wi-Fi. Lær ansatte å være skeptiske til nedlastinger og innloggingssider de kommer til via lenker, og gi dem et enkelt prinsipp for reise og hjemmekontor: jobbtrafikk går via virksomhetens VPN eller mobilens delte nett, ikke via åpne nettverk på hotell og kafé.

Slik strukturerer dere et opplæringsprogram

Et opplæringsprogram for en SMB trenger ikke være stort, men det må være systematisk. Fire spørsmål avgjør strukturen.

Hvor ofte? Minimum er opplæring ved onboarding av alle nyansatte og en årlig oppfriskning for alle. Ansatte i utsatte roller – økonomi, HR, IT-drift og alle med administratortilganger – bør ha rollebasert påfyll utover dette, fordi de er mål for mer målrettede angrep som fakturasvindel og direktørbedrageri.

Hva skal den dekke? Kjernen er phishing-gjenkjenning og sosial manipulering i bred forstand: e-post, SMS, telefon og etter hvert AI-genererte varianter. Like viktig er intern meldekultur – hver ansatt skal vite nøyaktig hvor og hvordan de melder fra når noe ser mistenkelig ut eller de har trykket på noe de ikke burde, og de skal vite at rask melding aldri straffes. En ansatt som tør å si fra etter fem minutter, er mer verdt enn en som skjuler det i tre dager. I tillegg bør opplegget dekke sikkert hjemmekontor: låst skjerm, oppdatert privat utstyr der det brukes, og samme Wi-Fi-prinsipper som på reise.

Hvilket format? Kjøpte e-læringskurs er raske å rulle ut og kommer med ferdig dokumentasjon, men kan oppleves generiske. Internt utviklet opplæring treffer virksomhetens hverdag bedre, men krever at noen eier og vedlikeholder innholdet. En pragmatisk mellomløsning for mange SMB-er er asynkron e-læring som grunnmur, supplert med en kort felles samling i året der dere går gjennom reelle hendelser og nesten-hendelser fra egen virksomhet. Det siste er ofte det som fester seg best.

Phishing-simuleringer – verdi og fallgruver. Simuleringer gir målbare data på klikkrate og meldingsrate over tid, og gjør risikoen konkret for ansatte. Men fallgruvene er reelle: simuleringer som oppleves som forsøk på å ta ansatte i feil, eller som bruker lokkemidler av typen falske bonusutbetalinger, skader tilliten mer enn de bygger kompetanse. Skal dere simulere, gjør det med åpenhet om at det skjer, mål meldingsrate like mye som klikkrate, og bruk resultatene til opplæring – aldri til sanksjoner mot enkeltpersoner.

Dokumentasjon: kunne vise, ikke bare gjøre

Etterlevelse handler om to ting: å gjøre tiltakene og å kunne dokumentere dem. For opplæring og cyberhygiene bør dere som minimum loggføre hvilke opplæringsaktiviteter som er gjennomført og når, hvem som deltok, hvilken versjon av innholdet som ble brukt, og gjennomføringsgrad per aktivitet – med oppfølging av dem som ikke fullførte. Kjører dere phishing-simuleringer, hører også resultatutviklingen hjemme her, på aggregert nivå.

Dette trenger ikke være mer avansert enn et regneark eller rapportene fra e-læringsplattformen, men det må vedlikeholdes løpende. Ved tilsyn eller etter en hendelse er en oppdatert opplæringslogg forskjellen på å kunne vise systematisk arbeid og å måtte rekonstruere det i etterkant.

30-dagers startplan fra null

For en virksomhet uten noe opplæringsprogram i dag er dette en realistisk første måned:

1. Uke 1: Kartlegg status. Hvilke tjenester mangler MFA? Finnes en passordhåndterer? Vet ansatte hvor de melder mistenkelige e-poster? Utpek én ansvarlig for opplæringsarbeidet.
2. Uke 2: Lukk de største hygienehullene: rull ut passordhåndterer, aktiver MFA på e-post og de mest kritiske systemene, og etabler én tydelig meldekanal for mistenkelige henvendelser.
3. Uke 3: Velg opplæringsformat og gjennomfør første runde for alle ansatte – en time om phishing, sosial manipulering og meldekultur er nok som start. Loggfør deltakelse fra dag én.
4. Uke 4: Formaliser: fastsett årshjul med onboarding-opplæring og årlig oppfriskning, definer utsatte roller som skal ha ekstra påfyll, og opprett opplæringsloggen som fast rutine.

Etter tretti dager har dere ikke et ferdig program, men dere har en fungerende grunnmur og dokumentasjon på at arbeidet er i gang – som er nøyaktig det et systematisk sikkerhetsarbeid skal vise.

Hvor står dere i dag?

Opplæring og cyberhygiene er ett av ti tiltaksområder i NIS2 artikkel 21 (2), og for de fleste SMB-er er det området med best forhold mellom innsats og effekt. Kravklars gratis NIS2-vurdering måler virksomheten på alle ti kategoriene, inkludert opplæring og hygiene, og gir dere et konkret bilde av hvor grunnmuren er solid og hvor den mangler. Det tar noen minutter og gir et startpunkt som er deres eget – ikke en generisk sjekkliste.