Hva er NIS2-direktivet? Kravene, hvem de gjelder for og hva som er nytt

NIS2-direktivet er EUs felles regelverk for cybersikkerhet i virksomheter som samfunnet er avhengig av. Det stiller krav til risikostyring, sikkerhetstiltak, varsling av hendelser og ledelsens ansvar, og det gir myndighetene tilsyn og bøter som virkemidler. Denne siden forklarer hva direktivet er, hva det krever og hvem det gjelder for. Hver del lenker videre til en egen guide som går i dybden.

Kort fortalt:

• NIS2 er direktiv (EU) 2022/2555. Det trådte i kraft i EU 16. januar 2023 og erstatter det første NIS-direktivet fra 2016.
• Direktivet gjelder mellomstore og store virksomheter i 18 sektorer, og noen virksomheter uansett størrelse.
• Kjernen er artikkel 21, med ti kategorier av sikkerhetstiltak, og artikkel 23, med varsling innen 24 timer, 72 timer og én måned.
• NIS2 er ikke norsk lov. Det som gjelder i Norge i dag, er digitalsikkerhetsloven, som bygger på det første NIS-direktivet.

Hva betyr NIS2?

NIS står for Network and Information Security, altså sikkerhet i nettverk og informasjonssystemer. Tallet 2 viser at dette er den andre versjonen. Det fulle navnet er på norsk omtrent «direktiv om tiltak for et høyt felles cybersikkerhetsnivå i hele Unionen».

Et direktiv er ikke lov i seg selv. Det binder medlemslandene til et resultat, og hvert land må gjennomføre det i egen lovgivning. EU-landene skulle ha gjennomført NIS2 innen 17. oktober 2024. Det er derfor kravene ser litt forskjellige ut fra land til land, selv om de bygger på samme tekst.

Fra NIS-direktivet til NIS2: hva er nytt?

Det første NIS-direktivet (direktiv (EU) 2016/1148), ofte kalt NIS1, var EUs første regelverk for cybersikkerhet i samfunnsviktige sektorer. Erfaringen var at landene tolket det svært ulikt, og at for få virksomheter ble omfattet. NIS2 erstatter det og strammer inn på seks punkter:

1. Flere sektorer. Virkeområdet går fra sju sektorer til 18, blant annet med forvaltning av IKT-tjenester, avfall, post, mat, kjemikalier og produksjon.
2. Størrelse avgjør. I stedet for at hvert land peker ut virksomheter én og én, gjelder direktivet som hovedregel alle mellomstore og store virksomheter i de omfattede sektorene.
3. To kategorier. Virksomheter er enten vesentlige eller viktige, med ulikt tilsyn.
4. Konkrete tiltak. Artikkel 21 lister ti kategorier av sikkerhetstiltak som alle omfattede virksomheter må ha.
5. Ledelsen får ansvar. Artikkel 20 legger ansvaret for tiltakene på ledelsen, med krav om opplæring.
6. Strengere håndheving. Faste varslingsfrister, og bøter med en øvre grense på minst 10 millioner euro eller 2 % av global omsetning for vesentlige virksomheter.

Forskjellen mellom de to direktivene, og hva den betyr for norske virksomheter, er beskrevet i guiden om digitalsikkerhetsloven og NIS2.

Hvem gjelder NIS2 for?

To ting avgjør om en virksomhet er omfattet: sektor og størrelse.

Sektor. Direktivet har to vedlegg. Vedlegg I lister sektorer med høy kritikalitet, som energi, transport, bank, finansmarkedsinfrastruktur, helse, drikkevann, avløp, digital infrastruktur, forvaltning av IKT-tjenester, offentlig forvaltning og romvirksomhet. For bank og finans går DORA-forordningen foran der den stiller tilsvarende krav. Vedlegg II lister andre kritiske sektorer, som post, avfall, kjemikalier, mat, produksjon, digitale tjenester og forskning.

Størrelse. Hovedregelen er at direktivet gjelder mellomstore og store virksomheter. Grensene følger EUs definisjon av små og mellomstore bedrifter: en virksomhet er liten når den har færre enn 50 ansatte og en årsomsetning eller balansesum på høyst 10 millioner euro. Virksomheten er altså omfattet av størrelseskravet når den har minst 50 ansatte, eller både omsetning og balansesum over 10 millioner euro. Ansatte og tall i tilknyttede foretak og partnerforetak regnes med, så en liten virksomhet i et større konsern kan likevel være omfattet.

Noen virksomheter er omfattet uansett størrelse, blant annet tilbydere av offentlige elektroniske kommunikasjonsnett og -tjenester, tillitstjenester, toppdomeneregistre, DNS-tjenester og sentral statsforvaltning.

Vesentlig eller viktig. Store virksomheter i sektorene i vedlegg I er som hovedregel vesentlige. Mellomstore virksomheter i vedlegg I, og omfattede virksomheter i vedlegg II, er som hovedregel viktige. Noen er vesentlige uansett størrelse, blant annet kvalifiserte tillitstjenester, DNS-tjenester og toppdomeneregistre, og landene kan selv utpeke flere. Begge må oppfylle de samme kravene, men vesentlige virksomheter får tilsyn også uten mistanke om brudd, mens viktige virksomheter følges opp når det er tegn på at noe ikke er i orden.

Mange virksomheter som ikke selv er omfattet, merker likevel direktivet. Omfattede virksomheter må ivareta sikkerheten i leverandørkjeden og stiller derfor ofte krav til leverandørene sine, så krav i kontrakter når langt utover de 18 sektorene. Den fullstendige gjennomgangen står i oversikten over hvem NIS2 gjelder for.

Hva krever NIS2? De ti tiltakene i artikkel 21

Artikkel 21 krever «hensiktsmessige og forholdsmessige» tekniske, operasjonelle og organisatoriske tiltak for å styre risikoen. Tiltakene skal bygge på en tilnærming som dekker alle typer farer, og minst omfatte:

1. Risikoanalyse og informasjonssikkerhetspolicy
2. Hendelseshåndtering
3. Driftskontinuitet og krisehåndtering, som backup og gjenoppretting
4. Forsyningskjedesikkerhet, inkludert forholdet til direkte leverandører og tjenesteleverandører
5. Sikkerhet i anskaffelse, utvikling og vedlikehold av IKT-systemer, inkludert håndtering av sårbarheter
6. Vurdering av sikkerhetstiltakenes effektivitet
7. Grunnleggende cyberhygiene og opplæring
8. Kryptografi og kryptering
9. Personellsikkerhet, tilgangskontroll og verdihåndtering
10. Flerfaktor-autentisering og sikret kommunikasjon

Forholdsmessighet betyr at kravene tilpasses risiko, størrelse og hvor alvorlige følgene av en hendelse kan bli. En virksomhet med 80 ansatte skal ikke ha samme apparat som en bank, men den må kunne vise at hvert punkt er vurdert og håndtert. Hva hvert tiltak innebærer i praksis, står i guiden om de ti kravene i artikkel 21.

Ledelsens ansvar

Etter artikkel 20 skal ledelsen godkjenne tiltakene, følge med på at de blir gjennomført, og kunne holdes ansvarlig for brudd. Ledelsen skal også ta opplæring, slik at den kan vurdere risiko og tiltak selv. Cybersikkerhet blir dermed et ledelsesansvar, ikke bare en oppgave for IT-avdelingen. Se guiden om ledelsesansvar etter NIS2.

Varsling av hendelser: 24 timer, 72 timer og én måned

Artikkel 23 krever at vesentlige hendelser varsles til myndighetene i tre trinn:

• Innen 24 timer: et tidlig varsel etter at virksomheten ble kjent med hendelsen.
• Innen 72 timer: en hendelsesmelding med en første vurdering av alvorlighet og konsekvenser.
• Innen én måned etter hendelsesmeldingen: en sluttrapport med årsak, tiltak og eventuelle virkninger over landegrensene.

En hendelse er vesentlig når den har gitt, eller kan gi, alvorlige driftsforstyrrelser eller økonomiske tap, eller betydelig skade for andre. Frister, innhold og hva som gjelder i Norge i dag, står i guiden om hendelsesrapportering.

Tilsyn og bøter

Etter artikkel 34 skal den øvre grensen for overtredelsesgebyr være minst:

• Vesentlige virksomheter: minst 10 millioner euro eller 2 % av samlet global årsomsetning, det høyeste av de to.
• Viktige virksomheter: minst 7 millioner euro eller 1,4 % av samlet global årsomsetning, det høyeste av de to.

I tillegg kan tilsynet gi pålegg og kreve revisjoner. Følger en vesentlig virksomhet ikke et pålegg innen fristen, kan tilsynet også be om at en leder på nivå med daglig leder midlertidig nektes å utøve ledelsesfunksjoner. Les mer i guiden om bøter og styreansvar.

NIS2 i Norge

NIS2 er ikke gjennomført i norsk rett, og vi har ikke funnet noen beslutning om å ta direktivet inn i EØS-avtalen. Ingen offentlig kilde oppgir en dato for når det skjer.

Det som gjelder i dag, er digitalsikkerhetsloven med forskrift, i kraft fra 1. oktober 2025. Loven bygger på det første NIS-direktivet og gjelder for tilbydere av samfunnsviktige tjenester i sju sektorer og for visse digitale tjenester. NSM skriver at NIS2 skal innføres i norsk rett sammen med CER-direktivet, men at arbeidet pågår.

Hva myndighetene har sagt, og hvilke datoer som sirkulerer uten kilde, står i oversikten over når NIS2 kan komme i Norge.

Hva bør dere gjøre nå?

Kravene i artikkel 21 er kjent, og de fleste er god praksis uansett. Tre steg gir et godt utgangspunkt:

1. Finn ut om dere er omfattet av digitalsikkerhetsloven i dag og av NIS2 når den kommer. Omfangssjekken gir en rask pekepinn.
2. Kartlegg hvor dere står mot de ti tiltakene. Kravklars gratis egenvurdering tar rundt 15 minutter og viser hvor gapene er størst.
3. Start med det som haster mest: som regel risikoanalyse, backup som er testet, flerfaktorautentisering og en enkel plan for hendelser.

Ofte stilte spørsmål

Hva er NIS2?

NIS2 er EUs direktiv om cybersikkerhet i samfunnsviktige virksomheter, direktiv (EU) 2022/2555. Det krever at omfattede virksomheter styrer risiko med ti kategorier av sikkerhetstiltak, varsler vesentlige hendelser innen faste frister og gir ledelsen ansvar. Direktivet erstatter NIS-direktivet fra 2016 og gjelder for mellomstore og store virksomheter i 18 sektorer.

Hva er kravene i NIS2?

Omfattede virksomheter må ha ti kategorier av sikkerhetstiltak etter artikkel 21, blant annet risikoanalyse, hendelseshåndtering, driftskontinuitet, leverandørsikkerhet, tilgangskontroll og flerfaktor-autentisering. De må varsle vesentlige hendelser innen 24 timer, 72 timer og én måned, og ledelsen skal godkjenne tiltakene og ta opplæring. Tiltakene skal stå i forhold til risikoen og virksomhetens størrelse.

Hva er forskjellen på NIS-direktivet og NIS2?

NIS2 erstatter NIS-direktivet fra 2016 og er langt bredere. Virkeområdet går fra sju til 18 sektorer, og størrelse avgjør hvem som er omfattet. Artikkel 21 lister ti konkrete tiltak, artikkel 20 gir ledelsen ansvar, og varslingsfristene er faste. Bøterammen er minst 10 millioner euro eller 2 % av global omsetning for vesentlige virksomheter.

Hvem må følge NIS2?

Mellomstore og store virksomheter i de 18 sektorene i direktivets vedlegg I og II, altså virksomheter med minst 50 ansatte, eller med både omsetning og balansesum over 10 millioner euro. Noen virksomheter er omfattet uansett størrelse, som DNS-tjenester og tillitstjenester. Mange andre møter kravene indirekte, som leverandører til virksomheter som er omfattet.

Hva skjer hvis en virksomhet ikke følger NIS2?

I land som har gjennomført direktivet, kan tilsynet gi pålegg, kreve revisjoner og ilegge overtredelsesgebyr. Rammen er minst 10 millioner euro eller 2 % av global omsetning for vesentlige virksomheter, og minst 7 millioner euro eller 1,4 % for viktige. Ledere kan holdes ansvarlige. I Norge gjelder i dag reglene i digitalsikkerhetsloven.