NIS2-guide

Når kommer NIS2 i Norge? Status, kilder og udokumenterte datoer

Sist oppdatert: oktober 2026 6 min lesetid

Sist kontrollert mot kildene: 4.10.2026. Vi oppdaterer denne siden når myndighetene publiserer noe nytt.

Kort fortalt: NIS2 er ikke norsk lov. Det finnes ingen offentlig dato for når den blir det. Det som gjelder i Norge i dag, er digitalsikkerhetsloven, som bygger på det eldre NIS1-direktivet. Datoer for ny lov og frister for registrering som går igjen i blogger og nyhetsbrev, har vi ikke funnet i noen offentlig kilde.

Denne siden skiller mellom tre ting: det som er vedtatt, det myndighetene har sagt om veien videre, og det som bare er påstander.

Det som gjelder i dag: digitalsikkerhetsloven

Digitalsikkerhetsloven (lov 20. desember 2023 nr. 108) og digitalsikkerhetsforskriften (forskrift 20. juni 2025 nr. 1131) trådte i kraft 1. oktober 2025. Begge viser i Lovdata til NIS1-direktivet (direktiv (EU) 2016/1148) i EØS-avtalen vedlegg XI. Ingen av dem viser til NIS2-direktivet (direktiv (EU) 2022/2555).

Loven gjelder for to grupper: tilbydere av samfunnsviktige tjenester i sju sektorer, og tilbydere av visse digitale tjenester. Hvem som er omfattet, og hva som kreves, står i guiden om digitalsikkerhetsloven og NIS2.

På to punkter har forskriften likevel hentet inn ordninger fra NIS2, ifølge NSMs veileder. Den ene er rapporteringen NSM sender videre hvert kvartal, som følger NIS2 artikkel 23 nr. 9. Den andre er bistanden responsmiljøene kan gi ved hendelser.

I introduksjonen til loven skriver NSM at virksomheter som allerede oppfyller NIS2-kravene, sannsynligvis ikke trenger «å gjøre store tilpasninger for å følge digitalsikkerhetsloven, utover innmelding og varsling». Det betyr ikke at NIS2 gjelder i Norge. Men arbeid mot NIS2-kravene dekker trolig mye av dagens lov. Innmelding og varsling må dere likevel håndtere etter digitalsikkerhetsloven.

Det myndighetene har sagt om NIS2

NSM har skrevet dette om veien videre:

NSMs veileder til digitalsikkerhetsloven (1. oktober 2025) skriver at Justis- og beredskapsdepartementet «har igangsatt prosesser med formål å sikre en samtidig og koordinert gjennomføring av NIS 2 og CER-direktivene i norsk rett», med henvisning til Meld. St. 9 (2024–2025).
NSMs introduksjon til loven (oktober 2025) skriver: «NIS2 skal også innføres i norsk rett, sammen med CER-direktivet, men arbeidet med det pågår fortsatt.»

Ingen av kildene oppgir en dato. Lovdatas oversikt over lover vedtatt i 2026 viser ingen lov som gjennomfører NIS2 eller CER. Vi har heller ikke funnet noen beslutning i EØS-komiteen om å ta NIS2 inn i EØS-avtalen. Status i EØS kan følges i EFTAs database EEA-Lex.

Vanlige steg er et høringsnotat, en proposisjon til Stortinget, lovvedtak og ikrafttredelse. I tillegg må EØS-komiteen beslutte å ta direktivet inn i EØS-avtalen. Rekkefølgen kan variere, men hvert steg blir publisert. Når et av dem skjer, oppdaterer vi denne siden.

`. For readers who are not ready to start the assessment: Norway has no NIS2 date yet, so most guide readers are reading up. Double opt-in: /api/nis2-varsel stores a pending consent and mails a link, so success here means «check your inbox», not «you are subscribed». -->

Få beskjed når NIS2 kommer i norsk lov

Det finnes ingen dato ennå. Vi følger med på høringer, lovforslag og vedtak, og sender deg en e-post når noe skjer. Ingen nyhetsbrev og ingen tilbud.

Det som bare er påstander

Flere konsulentsider og nyhetsbrev oppgir bestemte datoer: når den nye loven trer i kraft, når det åpner en registreringsportal, når virksomheter må være registrert, og når tilsynet starter. Vi har ikke funnet disse datoene i noen kilde fra departementet, NSM, Stortinget eller Lovdata.

To konkrete feil går igjen:

«Registreringsportalen hos NSM åpner snart.» I dag skjer innmeldingen etter digitalsikkerhetsloven med PDF-skjemaer på e-post til postmottak@nsm.no. Det finnes ingen portal, og NSM har ikke varslet noen. Se guiden om registreringsplikt hos NSM.
«Digitalsikkerhetsloven er den norske NIS2-loven.» Den gjennomfører NIS1. NIS2 skal gjennomføres i norsk rett sammen med CER-direktivet, men det er ikke lagt fram noe lovforslag ennå.

Ser dere en dato for NIS2 i Norge, spør etter kilden. En dato uten høringsnotat, proposisjon eller lovvedtak bak seg er en gjetning.

Hva som skjer i EU i mellomtiden

I EU skulle medlemslandene ha gjennomført NIS2 innen 17. oktober 2024. Den fristen gjaldt EU-landene, ikke norske virksomheter.

EU holder samtidig på å justere direktivet. 20. januar 2026 la Kommisjonen fram et forslag om målrettede endringer i NIS2, blant annet en ny kategori for små midcap-selskaper og felles regler for å rapportere om løsepengeangrep. Digital Omnibus-forslaget foreslår å samle hendelsesrapporteringen i ett felles EU-punkt. Begge er forslag som Europaparlamentet og Rådet må bli enige om. Endringene er beskrevet i guiden om EU Digital Omnibus og NIS2.

Nabolandene har kommet lenger

Norges nordiske naboer i EU har gjennomført NIS2:

Finland: kyberturvallisuuslaki (124/2025) trådte i kraft 8. april 2025.
Danmark: NIS2-hovedloven (lov nr. 434 af 6. maj 2025) trådte i kraft 1. juli 2025. Energi, finans og telekom har egne regler.
Sverige: cybersäkerhetslagen (2025:1506) trådte i kraft 15. januar 2026.

For norske virksomheter betyr det to ting. Kunder og konsern i disse landene kan være underlagt NIS2, og kan stille krav til leverandørene sine. Og når den norske loven kommer, er det rimelig å vente at den ligner nabolandenes, siden alle bygger på samme direktiv.

Hva bør dere gjøre nå?

Ikke vent på en dato. Kravene i NIS2 artikkel 21 er kjent, og de fleste er god praksis uansett: risikovurdering, tilgangsstyring, backup som er testet, en plan for hendelser og oppfølging av leverandører. Er dere omfattet av digitalsikkerhetsloven i dag, gjelder pliktene der allerede.

Et godt første steg er å finne ut hvor dere står. Kravklars gratis egenvurdering går gjennom de ti kravområdene i artikkel 21 og viser hvor gapene er størst.

Ofte stilte spørsmål

Er NIS2 norsk lov?

Nei. NIS2 er ikke gjennomført i norsk rett, og vi har ikke funnet noen beslutning om å ta direktivet inn i EØS-avtalen. Det som gjelder i dag, er digitalsikkerhetsloven, som bygger på NIS1.

Når kommer NIS2 i Norge?

Ingen offentlig kilde oppgir en dato. NSM skriver i introduksjonen til loven at arbeidet med å innføre NIS2 sammen med CER-direktivet «pågår fortsatt». Datoer som sirkulerer i blogger og nyhetsbrev, har vi ikke funnet i noen kilde fra myndighetene.

Må vi registrere oss hos NSM nå?

Bare hvis dere tilbyr samfunnsviktige tjenester etter digitalsikkerhetsloven. Da skjer innmeldingen med PDF-skjemaer på e-post til NSM, med kopi til sektormyndigheten. Det finnes ingen registreringsplikt etter NIS2 i Norge ennå.

Gjelder NIS2 for norske virksomheter som selger til EU?

Direktivet gjelder ikke som norsk rett. Men leverer dere til kunder i EU-land som har gjennomført NIS2, kan de stille krav til dere i kontrakter, fordi de selv må følge opp sikkerheten hos leverandørene sine.

Kilder:

Relaterte guider