NIS2 er ikke norsk lov ennå. Dette er det som faktisk gjelder

Det florerer av overskrifter om at NIS2 stiller nye krav til norske virksomheter. Det er for tidlig. NIS2 er ikke norsk rett ennå, og for de aller fleste norske småbedrifter er det heller ikke NIS2 som kommer til å treffe dem først.

Her er hva som faktisk gjelder i dag, hvem det omfatter, og hva en virksomhet utenfor virkeområdet likevel bør ha på plass. Nederst ligger sjekklisten vi selv bruker.

Det som gjelder i dag heter digitalsikkerhetsloven

Digitalsikkerhetsloven (lov 2023-12-20-108) trådte i kraft 1. oktober 2025, sammen med forskriften. Den gjennomfører NIS1, altså det første NIS-direktivet fra 2016 — ikke NIS2.

Det er en viktig forskjell. NIS2 utvider virkeområdet kraftig, skjerper kravene og innfører et tydeligere ledelsesansvar. Men den utvidelsen gjelder ikke i Norge før direktivet er innlemmet i EØS-avtalen og gjennomført i norsk rett. Det arbeidet pågår, men det er ikke fullført, og det finnes ingen bekreftet dato.

Hvem loven omfatter nå

Loven retter seg mot to grupper. Tilbydere av samfunnsviktige tjenester (§ 6) innen energi, transport, helse, vannforsyning, bank, finansiell markedsinfrastruktur og digital infrastruktur. Og digitale tjenestetilbydere (§ 9): nettbaserte markedsplasser, søkemotorer og skytjenester, der svært små virksomheter i utgangspunktet er unntatt.

Driver du regnskapskontor, butikk, håndverksbedrift eller konsulentselskap, er du altså etter all sannsynlighet ikke omfattet i dag. Det er verdt å vite før noen selger deg et samsvarsprosjekt.

Tre grunner til at det angår deg likevel

At loven ikke peker på deg, betyr ikke at kravene ikke når deg. De kommer bare fra en annen retning.

1. Kunden sender kravene videre

Dette er den som treffer flest, og den som kommer først. En virksomhet som er omfattet, må ha kontroll på sin egen leverandørkjede. Det løser de gjennom kontrakt. Leverer dere tjenester, programvare, vedlikehold eller konsulenttimer til en bank, et sykehus, en kommune eller en energileverandør, kommer sikkerhetsvedlegget til dere — uavhengig av hva loven sier om deres egen bransje.

Da er spørsmålet ikke om dere må, men om dere klarer å svare når anbudet kommer.

2. Styreansvaret gjelder uansett

Aksjeloven har en egen bestemmelse om erstatningsansvar for styremedlemmer og daglig leder (§ 17-1). Den er ikke knyttet til NIS i det hele tatt, og den står der enten direktivet gjennomføres eller ikke.

Poenget er ikke å skremme med erstatningssaker, for de er sjeldne. Poenget er at forsvarlig forvaltning av virksomheten omfatter digital risiko på samme måte som den omfatter brannsikring og likviditet. Et styre som aldri har behandlet temaet, har et hull i protokollen.

3. Personvernregelverket plasserer ansvaret hos virksomheten

Behandler dere personopplysninger — og det gjør dere, hvis dere har ansatte eller kunder — ligger ansvaret for å sikre dem hos virksomheten. Ikke hos IT-leverandøren, og ikke hos den ansatte som klikket. Det ansvaret kan ikke settes bort, selv når selve driften er satt bort.

Sjekklisten: fjorten spørsmål ledelsen bør kunne svare på

Dette er listen vi bruker når vi går gjennom en virksomhet. Den er ikke bygget på NIS2, nettopp fordi NIS2 ikke gjelder ennå. Den er bygget på det som faktisk går galt, og på det kundene deres kommer til å spørre om.

Eierskap og styring

1. Hvem i ledelsen har et uttalt ansvar for digital sikkerhet? Ansvar som ligger hos «IT» er i praksis ikke plassert.
2. Har styret eller ledergruppen behandlet digital risiko de siste tolv månedene, og står det i protokollen?
3. Finnes det en skriftlig oversikt over systemene dere ikke klarer en arbeidsdag uten?

Tilgang og identitet

4. Er tofaktorautentisering påkrevd for alle ansatte? Se hvordan dere slår det på for hele bedriften.
5. Hva skjer med tilgangene når en ansatt slutter? Vi har laget en sjekkliste for akkurat det.
6. Vet dere hvem som har administratortilgang? Antallet pleier å være høyere enn ledelsen tror.

Data og gjenoppretting

7. Når ble sikkerhetskopien sist testet ved å faktisk hente noe tilbake? En utestet sikkerhetskopi er en antakelse. Se også hva Microsoft faktisk tar vare på.
8. Vet dere hvor virksomhetens data ligger, også det som ligger lokalt hos ansatte?
9. Hvor lenge kan dere drive uten IT-systemene før det blir kritisk? Tallet avgjør hva beredskap har lov til å koste.

Mennesker og rutiner

10. Har de ansatte fått opplæring i å kjenne igjen svindel-e-post det siste året?
11. Vet en ansatt hvem de skal varsle hvis de har klikket på noe de ikke burde? Tiden mellom klikket og varselet avgjør ofte omfanget. Vi har skrevet om de første 72 timene.
12. Bekreftes endringer i kontonummer på telefon, på et nummer dere har fra før? Se også hva du gjør når noen sender e-post i firmaets navn.

Leverandører og krav

13. Leverer dere til kunder som stiller sikkerhetskrav i kontrakt, og kan dere dokumentere at dere oppfyller dem?
14. Vet dere hvilke leverandører som har tilgang til deres data, og finnes databehandleravtalene der de skal?

Hva vi gjør når NIS2 kommer

Vi følger prosessen, og vi oppdaterer denne artikkelen når det skjer noe som faktisk endrer rettstilstanden — ikke når det kommer et høringsnotat eller en plan. Et forslag er ikke et ikrafttredelsesvedtak, og vi kommer ikke til å behandle det som det.

Når NIS2 blir norsk rett, blir det sannsynligvis flere virksomheter i virkeområdet, strengere krav til håndtering av hendelser og et tydeligere ansvar lagt på ledelsen. Det meste på sjekklisten over vil fortsatt være riktig da. Det er en av grunnene til at vi anbefaler å begynne der, i stedet for å vente på en paragraf.

Skal dere svare på et sikkerhetsvedlegg fra en kunde, eller forberede en sak til styret? Ta kontakt, eller les mer om hva vi gjør innen IT-sikkerhet.

---

Sist gjennomgått 12. oktober 2026. Artikkelen beskriver rettstilstanden slik den er på den datoen. Den er ikke juridisk rådgivning, og en konkret vurdering av om deres virksomhet er omfattet bør gjøres av noen som kjenner avtalene og bransjen deres.