Digitalsikkerhetsloven: hvem den gjelder for, og hva den krever

Publisert 27. oktober 2026 · oppdatert 27. oktober 2026

Digitalsikkerhetsloven (lov om digital sikkerhet, LOV-2023-12-20-108) har gjeldt siden 1. oktober 2025. Den pålegger tilbydere av samfunnsviktige tjenester i sju sektorer, og tilbydere av skytjenester, nettbaserte markedsplasser og søkemotorer, å vurdere risiko, gjennomføre sikkerhetstiltak og varsle om alvorlige hendelser. Loven gjennomfører EUs første NIS-direktiv fra 2016. NIS2 er ikke en del av den ennå.

Det er ingen overgangsperiode. Regjeringen skrev da loven trådte i kraft at virksomhetene måtte være klare fra 1. oktober, uten overgangsbestemmelser.

Mange norske bedrifter er ikke omfattet i dag. Det er verdt å vite hvorfor, for det er nettopp den grensen som flytter seg når NIS2 kommer.

Hvem omfattes av digitalsikkerhetsloven?

Loven har to grupper, og kravene er litt forskjellige for dem.

Tilbydere av samfunnsviktige tjenester (§ 6) er virksomheter som leverer en viktig tjeneste, er avhengige av IT-systemer for å levere den, og der en hendelse kan forstyrre leveransen betydelig. Sektorene står i § 2:

• energi
• transport
• helse
• vannforsyning
• bank
• finansmarkedsinfrastruktur
• digital infrastruktur

Tilbydere av digitale tjenester (§ 9) er tre typer:

• nettbaserte markedsplasser
• nettbaserte søkemotorer
• skytjenester

Virksomheter som er omfattet av tillitstjenesteloven, er unntatt (§ 2). Samfunnsviktige tjenester må være etablert i Norge for å være omfattet, mens digitale tjenester er omfattet når de har hovedkontor eller representant her (§ 3). Kravene til sikkerhet og varsling gjelder heller ikke der annen lov allerede stiller tilsvarende eller strengere krav (§ 5). Det er grunnen til at mange finansforetak følger DORA-loven i stedet, ifølge Finanstilsynet.

Det er tersklene som avgjør

Loven sier «samfunnsviktig». Forskrift om digital sikkerhet gjør det konkret i § 1, som lister 28 kategorier av tilbydere innenfor sektorene. Noen eksempler viser hvor høyt listen ligger:

• vannverk som behandler minst 2 000 kubikkmeter vann i døgnet (se også Mattilsynet)
• kommunale helse- og omsorgstjenester i kommuner med over 50 000 innbyggere eller over 20 000 brukere som er avhengige av tjenesten
• havner med godsomslag over 100 000 tonn i året
• rekursive navnetjenere som i snitt besvarer over 15 000 DNS-forespørsler i sekundet
• registeret for .no-domener

I bank er det de systemviktige som er med. Per desember 2025 var det DNB Bank, SpareBank 1 Sør-Norge, Sparebanken Norge og Oslo Børs, ifølge Finanstilsynet.

En vanlig norsk bedrift på 80 ansatte er altså nesten aldri omfattet i dag, med mindre den driver noe av dette. Det er her NIS2 endrer bildet mest.

Små digitale tjenester er unntatt

For tilbydere av digitale tjenester finnes et unntak for små virksomheter. Forskriften § 2 sier at sikkerhetskravene og varslingsplikten ikke gjelder for tilbydere med færre enn 50 ansatte og årlig omsetning eller balanse som ikke overstiger 10 millioner euro. Begge vilkårene må være oppfylt.

Slik finner dere ut om dere er omfattet

1. Sjekk om virksomheten er i en av de sju sektorene i § 2, eller tilbyr skytjenester, en nettbasert markedsplass eller en søkemotor.
2. Er dere i en sektor: finn kategorien i forskriften og sammenlign med terskelen. Det er terskelen, ikke sektoren alene, som avgjør.
3. Er dere en digital tjeneste: sjekk størrelsesunntaket. Under 50 ansatte og ikke over 10 millioner euro i omsetning eller balanse betyr som hovedregel ingen sikkerhets- eller varslingsplikt etter loven.
4. Sjekk om sektorlov går foran (§ 5), for eksempel DORA-loven i finans.
5. Usikker etter dette? Spør sektormyndigheten. Kongen kan også utpeke virksomheter direkte i forskrift (§ 6 og § 9), så det er ikke alltid nok å lese tersklene.

Skriv ned svaret og begrunnelsen. Den vurderingen er det første et tilsyn vil spørre etter, også om svaret er at dere ikke er omfattet.

Hva krever loven?

Kjernen er fire plikter. Kolonnen til høyre viser hvor de står.

For digitale tjenester nevner § 10 særskilt systemsikkerhet, hendelseshåndtering, kontinuitet, overvåking, revisjon og testing, og internasjonale standarder.

Loven sier ingenting om hvilke konkrete tiltak som er «nok». Det står i forskriften og i veilederne fra NSM. Uttrykket som går igjen, er at tiltakene skal stå i forhold til risikoen. Det gir rom for at en liten virksomhet gjør mindre enn en stor, men det betyr også at en virksomhet uten dokumentert risikovurdering har vanskelig for å forklare hvorfor tiltakene er nok.

Kapittel 6 i loven (§ 19) gir i tillegg hjemmel for regler om sikkerhetssertifisering av IKT-produkter, -tjenester og -prosesser. Den er rettet mot EØS-forpliktelser om sertifisering, ikke mot hvem som må ha sertifikat i dag.

Digitalsikkerhetsloven forskrift: det loven ikke sier

Forskrift om digital sikkerhet (FOR-2025-06-20-1131) trådte i kraft samme dag som loven (forskriften § 25). Den er hjemlet i lovens § 18, som lar Kongen gi regler om sikkerhetskrav, varsling, tilsyn, gebyrer og et nasjonalt kontaktpunkt.

Dette er det forskriften tilfører:

• Hvem som er omfattet. De 28 kategoriene med terskler i § 1, som eksemplene over, og unntaket for små digitale tjenester i § 2.
• Varslingsfrister. § 17 sier at varselet skal gå til tilsynsmyndigheten, med kopi til nasjonalt kontaktpunkt, senest 24 timer etter at en tilbyder av samfunnsviktig tjeneste fikk kjennskap til hendelsen. Informasjonen skal oppdateres innen 72 timer, og en hendelsesrapport skal komme innen én måned fra varselet.
• Innmelding. § 5 krever at tilbydere av samfunnsviktige tjenester snarest melder inn navn, organisasjonsnummer, tjeneste, sektor og geografisk område til NSM og tilsynsmyndigheten, og melder fra om endringer.
• Minimumskrav til sikkerhetsarbeidet. Kapittel 2 (§§ 6 til 14) krever et dokumentert styringssystem for sikkerhet basert på anerkjente standarder, risikovurdering og risikohåndtering, sikkerhetstiltak av flere slag (organisatoriske, teknologiske, fysiske og for personell), hendelseshåndtering med beredskap, og oppfølging av leverandører. De teknologiske tiltakene i § 10 skal minst omfatte sterk autentisering, tilgangsstyring og segmentering av nettverk.
• Ledelsens ansvar. § 6 sier at virksomhetens leder har ansvaret for et forsvarlig sikkerhetsnivå, og at sikkerhetsstyringssystemet skal godkjennes av lederen og gjennomgås minst årlig.
• Gebyrnivå. § 24 setter overtredelsesgebyret til opptil 25 ganger grunnbeløpet i folketrygden eller fire prosent av årsomsetningen, det høyeste av de to, men aldri over 50 millioner kroner.

For tilbydere av digitale tjenester gjelder EUs gjennomføringsforordning 2018/151 som forskrift (§ 15). Tilsyn med dem kan bare skje når tilsynsmyndigheten får opplysninger om brudd (§ 22).

Tilsyn: NSM og sektormyndighetene

Lovens § 13 sier at Kongen utpeker tilsynsmyndighetene. Forskriften § 21 legger det til hvert departement for egen sektor, med NSM som tilsyn der ingen er utpekt. I praksis:

NSM har tre roller: nasjonal tilsynsmyndighet der ingen annen er utpekt, nasjonalt kontaktpunkt mot EU og EØS, og nasjonalt responsmiljø for hendelser.

Hva tilsynet kan gjøre

• Pålegg om retting innen en frist (§ 15).
• Tvangsmulkt for å få pålegget fulgt, løpende eller som engangsbeløp (§ 16).
• Overtredelsesgebyr ved forsettlige eller uaktsomme brudd på kravene til sikkerhet, varsling og opplysninger (§ 17, som viser til §§ 7, 8, 10, 11 og 14). Er virksomheten del av et konsern, hefter morselskapet subsidiært. Foreldelsesfristen er fem år.

Opplysningsplikten i § 14 gjelder uten hinder av lovbestemt taushetsplikt, og varslingsplikten gjelder også der det finnes taushetsplikt.

Meldeplikt: hva som skal varsles

Varslingsplikten i § 8 og § 11 gjelder hendelser som virker betydelig inn på tjenesten. Loven sier hva som skal vektlegges:

• hvor mange brukere som er berørt
• hvor lenge hendelsen varer
• hvor stort geografisk område som er rammet

For digitale tjenester kommer to momenter i tillegg: hvor omfattende funksjonssvikten er, og hvor stor innvirkning den har på økonomisk og samfunnsmessig aktivitet.

Forskriften § 17 sier at varselet skal inneholde tilbyderens navn og kontaktinformasjon, hvilken tjeneste som er berørt, en beskrivelse av hendelsen med mulige årsaker og konsekvenser, antall berørte brukere og eventuelle virkninger i andre land. Den senere hendelsesrapporten skal oppdatere dette og si hvilke tiltak som er satt i verk.

Det lønner seg å ha en mal klar. Det meste av innholdet kan fylles ut på forhånd: kontaktpersoner, hvilke tjenester dere leverer og omtrent hvor mange brukere de har. Da gjenstår bare selve hendelsen når det haster.

Et løsepengevirus som stopper fakturasystemet i en time, er neppe varslingspliktig for en havn. Et angrep som stopper lossingen i to dager, er det trolig. Grensen er skjønnsmessig, og den er en god grunn til å skrive ned på forhånd hvem som avgjør om noe skal varsles.

Feiltolkninger av loven

«Vi er et IT-selskap, så vi er omfattet.» Ikke nødvendigvis. Av digitale tjenester er det bare skytjenester, nettbaserte markedsplasser og søkemotorer som er med (§ 9). Et konsulentselskap eller et byrå som lager nettsider, er ikke omfattet med mindre det driver en av disse, eller ligger over en terskel i sektoren digital infrastruktur. Det endrer seg med NIS2, som tar med leverandører av IT-drift.

«Vi er for små til å være omfattet.» Størrelsesunntaket gjelder tilbydere av digitale tjenester. For samfunnsviktige tjenester er det kategoriene og tersklene i forskriften som avgjør, ikke antall ansatte. Et lite vannverk som produserer over 2 000 kubikkmeter i døgnet, er omfattet uansett hvor mange som jobber der.

«Vi venter til NIS2 kommer.» Den som er omfattet i dag, har hatt pliktene siden 1. oktober 2025, uten overgangsperiode. NIS2 vil bygge videre på den samme loven, så arbeidet som gjøres nå, blir ikke bortkastet.

Hva som endres når NIS2 tas inn

Justisministeren sa i Stortingets Europautvalg 19. mars 2026 at NIS2 skal gjennomføres ved endringer i digitalsikkerhetsloven. Et søk i regjeringens dokumentarkiv 27. oktober 2026 ga ingen høring eller proposisjon, og ingen dato.

I samme møte sa hun at regjeringen arbeider med en egen lov for CER-direktivet om kritiske enheter, med arbeidstittelen lov om samfunnssikkerhet. NIS2 og CER henger sammen i EU, men i Norge går de altså i to ulike lover. EU-kommisjonen la dessuten fram et forslag til endringer i NIS2 i januar 2026, som skal presisere virkeområdet og forenkle kravene. Det kan endre detaljer før den norske lovteksten skrives.

Det vi kan si, er hva NIS2-direktivet krever, og hvor det skiller seg fra loven i dag:

Den største endringen for norske bedrifter er raden «Hvem som er med». I dag må en virksomhet over en konkret terskel for å være omfattet. Med NIS2 holder det som hovedregel å være i en av sektorene og ha minst 50 ansatte, eller over 10 millioner euro i både omsetning og balanse. Et IT-driftsselskap med 70 ansatte er utenfor i dag og innenfor etter NIS2.

Vi går gjennom NIS2-kravene i detalj i guiden om NIS2.

Hvor dere står, og hva det betyr nå

Omfattet i dag: loven og forskriften gjelder fullt ut. Start med innmeldingen etter § 5 hvis den ikke er gjort, og gå så gjennom kapittel 2 i forskriften punkt for punkt. Varslingsmalen nevnt over er en god første leveranse.

Ikke omfattet i dag, men i en sektor NIS2 dekker: ingen plikt ennå. Det som holder seg uansett lovtekst, er en navngitt person som avgjør om en hendelse skal varsles, og NSMs grunnprinsipper for IKT-sikkerhet som tiltaksliste.

Egenvurderingen går gjennom kravene og kobler svarene deres mot et skann av domenet. Den viser hva som kan måles utenfra, og hva dere må svare på selv. Den sier ikke at dere etterlever loven, for det kan ingen skann si.

Claude AI hjalp meg med formuleringer og korrektur i denne artikkelen.

Kilder

• Lov om digital sikkerhet (LOV-2023-12-20-108), Lovdata: https://lovdata.no/dokument/NL/lov/2023-12-20-108
• Forskrift om digital sikkerhet (FOR-2025-06-20-1131), Lovdata: https://lovdata.no/dokument/SF/forskrift/2025-06-20-1131
• Ikraftsetting (FOR-2025-06-20-1088), Lovdata: https://lovdata.no/dokument/LTI/forskrift/2025-06-20-1088
• NSM, ny digitalsikkerhetslov i Norge: https://nsm.no/aktuelt/ny-digitalsikkerhetslov-i-norge
• Regjeringen, pressemelding 01.10.2025: https://www.regjeringen.no/no/aktuelt/ny-lov-om-digital-sikkerhet-trer-i-kraft-i-dag/id3121009/
• Finanstilsynet, digitalsikkerhetsloven i finanssektoren: https://www.finanstilsynet.no/nyhetsarkiv/nyheter/2025/informasjon-om-digitalsikkerhetsloven-i-finanssektoren/
• Mattilsynet, krav til vannverk: https://mattilsynet.no/drikkevannsforsyning/krav-til-vannverk-i-digitalsikkerhetsloven
• Stortinget, Europautvalget 19.03.2026: https://www.stortinget.no/no/Saker-og-publikasjoner/Publikasjoner/Referater/Europautvalget/2025-2026/refe-202526-03-19/?all=true