nis2sjekk.no
Tomt møterom med hvitt bord og svarte stoler
Foto: Craig Lovelidge / Unsplash

NIS2: hva direktivet krever, og hvor Norge står

· oppdatert 27. oktober 2026

NIS2 er EUs direktiv om cybersikkerhet, direktiv (EU) 2022/2555. Det pålegger mellomstore og store virksomheter i 18 sektorer å gjennomføre ti typer sikkerhetstiltak, varsle alvorlige hendelser innen 24 timer og gjøre ledelsen ansvarlig for at det skjer. I Norge er NIS2 ikke gjeldende rett per 27. oktober 2026. Regjeringen har sagt at direktivet skal gjennomføres ved endringer i digitalsikkerhetsloven, men det er ikke publisert noen høring eller proposisjon.

Det betyr at en norsk virksomhet i dag forholder seg til digitalsikkerhetsloven, som trådte i kraft 1. oktober 2025 og bygger på det eldre NIS-direktivet. NIS2 er det som kommer etter. Mange bruker tiden nå på å finne ut om de havner innenfor, og hva det vil koste å være klar.

Hva er NIS2-direktivet?

Mann ved et skrivebord går gjennom papirer foran en bærbar PC
Foto: Vitaly Gariev / Unsplash

NIS2 erstatter det første NIS-direktivet fra 2016. EU-landene hadde frist til 17. oktober 2024 med å gjøre det til nasjonal lov, ifølge EU-kommisjonens side om NIS2.

Den viktigste forskjellen fra NIS1 er bredden. Det gamle direktivet lot hvert land peke ut sine «tilbydere av samfunnsviktige tjenester». NIS2 snur det: omfattes du av en sektor i vedleggene og er stor nok, er du med. Kommisjonen beskriver det som 18 kritiske sektorer, mot sju i NIS1.

Direktivet er et minimumsdirektiv. Hvert land skriver sin egen lov, og kan gå lenger. Det er derfor den norske versjonen kan avvike fra teksten under når den kommer.

Hvem omfattes av NIS2?

To spørsmål avgjør det: hvilken sektor virksomheten er i, og hvor stor den er.

Sektorene

Vedlegg I (sektorer med høy kritikalitet):

Vedlegg II (andre kritiske sektorer):

Legg merke til IKT-tjenester mellom virksomheter. Et norsk IT-driftsselskap med 60 ansatte som drifter servere for kunder, havner i vedlegg I selv om ingen av kundene er kritisk infrastruktur. Det er den gruppen som oftest blir overrasket.

Størrelsesterskelen: 50 ansatte eller 10 millioner euro

Artikkel 2(1) sier at direktivet gjelder virksomheter som er mellomstore eller større, etter EUs definisjon av små og mellomstore bedrifter. Den definisjonen har to tester: antall ansatte, og enten omsetning eller balanse.

Kategori Ansatte Årsomsetning Balanse
Mikro under 10 maks 2 MEUR maks 2 MEUR
Liten under 50 maks 10 MEUR maks 10 MEUR
Mellomstor under 250 maks 50 MEUR maks 43 MEUR
Stor 250 eller flere over 50 MEUR over 43 MEUR

En virksomhet er «liten», og dermed som hovedregel utenfor, bare hvis den har under 50 ansatte og ikke over 10 millioner euro i enten omsetning eller balanse. Et firma med 30 ansatte og 15 millioner euro i omsetning og balanse er altså mellomstort, og innenfor hvis sektoren stemmer. Det er lett å lese 50 ansatte som den eneste grensen, men det er den ikke.

Størrelsen gjelder ikke alltid. Artikkel 2(2) tar med virksomheter uansett størrelse når de for eksempel leverer DNS-tjenester, driver et toppdomeneregister, er tillitstjenesteleverandør eller er den eneste leverandøren av en kritisk tjeneste i landet.

Vesentlige og viktige virksomheter

NIS2 deler de som omfattes i to grupper. Det påvirker tilsyn og bøter, ikke hvilke tiltak som kreves.

Forskjellen merkes mest i tilsynet. For viktige virksomheter er tilsynet etterskuddsvis: myndighetene griper inn når de har bevis eller indikasjoner på at kravene ikke følges (artikkel 33). Vesentlige virksomheter kan få tilsyn, revisjon og inspeksjon også uten at noe har skjedd (artikkel 32). For en viktig virksomhet er det altså ofte en hendelse som utløser den første kontakten med tilsynet, og da er det dokumentasjonen fra før hendelsen som teller.

Hva krever NIS2?

NIS2-kravene samler seg i fire deler: risikotiltak (artikkel 21), ledelsens ansvar (artikkel 20), varsling (artikkel 23) og sanksjoner (artikkel 34). Tiltakene skal være «hensiktsmessige og forholdsmessige», altså tilpasset risikoen og størrelsen. Et regnskapsbyrå med 60 ansatte skal ikke ha samme oppsett som en bank.

De ti tiltakene i artikkel 21(2)

Listen i direktivet er kort og abstrakt. Tabellen under er vår oversettelse, med en kolonne som sier noe direktivet ikke sier: om du kan se fra utsiden at tiltaket er på plass.

Tiltak (art. 21(2)) Hva det betyr i praksis Synlig utenfra?
a Retningslinjer for risikoanalyse og sikkerhet i informasjonssystemer Dere vet hvilke systemer som er viktige, og har vurdert hva som kan gå galt Nei
b Hendelseshåndtering En plan for hvem som gjør hva når noe skjer Nei
c Kontinuitet: sikkerhetskopier, gjenoppretting og krisehåndtering Backup som er testet, og en plan for å komme i drift igjen Nei
d Sikkerhet i leverandørkjeden Krav til og oppfølging av leverandører, også IT-driften Nei
e Sikkerhet ved anskaffelse, utvikling og vedlikehold, inkludert sårbarhetshåndtering Programvare holdes oppdatert, og kjente sårbarheter lukkes Delvis: utdatert programvare og kjente sårbarheter på nettsiden
f Rutiner for å vurdere om tiltakene virker Dere sjekker jevnlig at det dere har bestemt faktisk er gjort Nei
g Grunnleggende cyberhygiene og opplæring Ansatte kjenner igjen svindel og phishing Delvis: e-postautentisering (SPF, DKIM, DMARC)
h Kryptografi og kryptering Kryptering der data lagres og sendes Delvis: TLS-versjon, sertifikat og HSTS på nettsiden
i Personellsikkerhet, tilgangsstyring og oversikt over eiendeler Riktige personer har riktig tilgang, og dere vet hva dere eier Delvis: tjenester som står åpne mot internett
j Flerfaktorautentisering og sikret kommunikasjon MFA på e-post og systemer Nei

nis2sjekk.no bruker den samme skanneren som ismycodesafe.com, og den ser bare det som er synlig fra internett. Fire av ti punkter har en del som kan måles utenfra. Resten er rutiner, dokumenter og vaner som bare dere selv kan svare på. Det er grunnen til at en egenvurdering og et teknisk skann er to forskjellige ting, og at et skann alene aldri kan si at en virksomhet etterlever NIS2.

Når vi kjørte skanneren bak ismycodesafe.com mot 2 211 offentlige nettsteder i mai 2026, ga 933 av dem et svar vi kunne lese. 557 av de 933 manglet HSTS, headeren som sier til nettleseren at siden bare skal hentes kryptert. Det er intern data fra ismycodesafe, utvalget er nettsteder over hele verden og ikke norske bedrifter, og tallet sier ingenting om noen enkelt virksomhet. Men det viser hvor ofte et punkt som ser ferdig ut på papiret, ikke er gjort i praksis.

Ledelsens ansvar (artikkel 20)

Artikkel 20 er den delen som får mest oppmerksomhet i styrerom, og med god grunn. Den sier at ledelsen skal:

  1. godkjenne tiltakene virksomheten gjør etter artikkel 21
  2. følge med på at de blir gjennomført
  3. kunne holdes ansvarlig for brudd

I tillegg skal medlemmer av ledelsesorganet gjennomføre opplæring, slik at de kan vurdere risiko og sikkerhetstiltak selv. Direktivet oppfordrer også til at ansatte får tilsvarende opplæring jevnlig.

Hva «ansvarlig» betyr i Norge, vet vi ikke før loven er skrevet. Direktivet overlater mye av dette til hvert land. Det man kan si sikkert, er at sikkerhet ikke lenger kan delegeres bort til IT-leverandøren uten at styret har sett på det.

Varsling: 24 timer, 72 timer, én måned

Artikkel 23(4) setter tre frister fra virksomheten blir kjent med en vesentlig hendelse:

Hva er en «vesentlig» hendelse? Artikkel 23(3) sier at en hendelse er vesentlig når den har ført til, eller kan føre til, alvorlige driftsforstyrrelser eller økonomisk tap for virksomheten, eller når den har påført andre betydelig materiell eller immateriell skade. Et løsepengeangrep som stopper produksjonen er klart innenfor. En phishing-e-post som ble stoppet i filteret er det ikke. Mellom de to ligger mye skjønn, og det skjønnet må utøves raskt.

24 timer er kort tid hvis ingen vet hvem som skal ringe hvem. Fristen er vanskelig å holde hvis ingen har skrevet ned hvem som tar avgjørelsen en fredag kveld.

Bøter og sanksjoner (artikkel 34)

Direktivet setter et gulv for hvor høyt landene må kunne gå:

Det er tak, ikke takster. Ingen norsk beløpsramme for NIS2 finnes ennå, så alle tall i kronebeløp du ser for Norge er gjetning. Dagens digitalsikkerhetslov har allerede hjemmel for overtredelsesgebyr i § 17 og tvangsmulkt i § 16, og forskriften § 24 setter gebyret til opptil 25 ganger grunnbeløpet eller fire prosent av årsomsetningen, maks 50 millioner kroner. Det sier noe om nivået norske myndigheter har valgt så langt.

Leverandørkjeden: når kunden omfattes, men ikke dere

Punkt d i artikkel 21 handler om sikkerhet i leverandørkjeden. Artikkel 21(3) sier i tillegg at virksomhetene skal ta hensyn til sårbarheter hos hver direkte leverandør og tjenesteleverandør, og til leverandørens sikkerhetspraksis.

Det får følger for bedrifter som selv er for små eller i feil sektor. Et regnskapsbyrå på 15 ansatte er ikke omfattet av NIS2. Men har byrået en kunde i vedlegg I, for eksempel et energiselskap, må kunden vurdere byrået som leverandør. Vår vurdering er at det i praksis kommer som krav i kontrakter og leverandørskjemaer: har dere MFA, har dere backup, hvordan varsler dere om en hendelse.

Det er ikke et lovkrav mot den lille bedriften. Men for mange norske SMB-er er det trolig slik NIS2 blir merkbart først, gjennom et spørreskjema fra en større kunde.

NIS2 i Norge: status per oktober 2026

Kort tidslinje, med kilder:

Et søk i regjeringens dokumentarkiv 27. oktober 2026 ga ingen høring eller proposisjon om NIS2. Datoer som 1. juli 2026 eller 1. oktober 2026, som går igjen hos enkelte leverandører, står ikke i noen offentlig kilde vi har funnet.

To ting er likevel sikre nok til å planlegge etter. Den norske gjennomføringen skal bygge videre på digitalsikkerhetsloven, ikke starte på nytt. Og EUs endringsforslag fra januar kan endre detaljer før Norge skriver sin versjon, så det lønner seg å bygge på det som har stått stille lenge: tiltakslisten og varslingsfristene.

Hva bør en virksomhet gjøre nå?

Uten lovtekst er det fristende å vente. Noen av tiltakene i artikkel 21 lønner seg uansett, fordi de også beskytter mot angrep som skjer i dag:

Skriv også ned det dere allerede gjør. En mellomstor bedrift kan godt ha backup, MFA og en IT-leverandør med overvåking uten at noe av det står på papir. Når loven kommer, er det dokumentasjonen et tilsyn ber om, og det tar lengre tid å skrive den i etterkant av en hendelse enn før.

Deretter: avklar om dere er innenfor. Gå gjennom sektorlistene over og størrelsestestene, og skriv ned svaret. Er dere usikre, er det et godt tegn på at det bør avklares med en jurist før loven kommer.

NSMs grunnprinsipper for IKT-sikkerhet er det nærmeste vi har en norsk tiltaksliste i dag. De dekker det meste av artikkel 21, og er skrevet for norske virksomheter.

Ta egenvurderingen for å se hvor dere står mot kravene. Den kobler svarene deres mot et teknisk skann av domenet, og viser hva som kan måles utenfra og hva som bare dere selv kan svare på.

Vanlige spørsmål om NIS2

Gjelder NIS2 i Norge nå?

Nei. Per 27. oktober 2026 er NIS2 ikke tatt inn i EØS-avtalen og ikke gjennomført i norsk lov. Det som gjelder i dag er digitalsikkerhetsloven, som gjennomfører det eldre NIS-direktivet. Regjeringen har sagt at NIS2 skal inn via endringer i den loven, men har ikke publisert noen høring eller dato.

Hva er forskjellen på NIS2 og ISO 27001?

NIS2 er et rettslig krav, ISO 27001 er en frivillig standard for styringssystem for informasjonssikkerhet. ISO 27001 dekker mye av det samme som artikkel 21, særlig risikoanalyse og tilgangsstyring. Leverandøroppfølging og hendelseshåndtering er også med. Men en sertifisering oppfyller ikke automatisk NIS2. Varslingsfristene på 24 og 72 timer og ledelsens personlige ansvar står ikke i standarden. Har dere ISO 27001 fra før, er dere langt på vei, og hovedjobben blir å legge til varsling og styrebehandling.

Trenger vi et NIS2-kurs?

Artikkel 20 krever at ledelsen får opplæring når loven gjelder, så noe opplæring blir nødvendig for de som omfattes. Vi selger ikke kurs. For en mellomstor bedrift er en grundig gjennomgang av artikkel 21 og NSMs grunnprinsipper et bedre sted å starte enn et sertifiseringskurs, og NSM har gratis veiledere.

Hva er forskjellen på NIS og NIS2?

NIS (2016) lot hvert land peke ut hvilke virksomheter som var samfunnsviktige, i sju sektorer. NIS2 dekker 18 sektorer og tar som hovedregel med alle mellomstore og store virksomheter i dem. NIS2 gir i tillegg en konkret liste over tiltak, faste frister for varsling, eksplisitt ansvar for ledelsen og et gulv for bøtenivået. Digitalsikkerhetsloven bygger på NIS.

Hvordan vet vi om vi omfattes av NIS2?

Sjekk sektor først (vedlegg I og II), deretter størrelse. Har dere under 50 ansatte og under 10 millioner euro i omsetning eller balanse, er dere som hovedregel utenfor. Unntaket er de som omfattes uansett størrelse, for eksempel DNS-leverandører. Den endelige avgrensningen i Norge kommer først med lovteksten.

Kan et skann vise at vi etterlever NIS2?

Nei. Et skann viser hva som kan måles utenfra. Det gjelder kryptering på nettsiden og e-postautentisering, og i tillegg tjenester som står åpne mot internett og kjente sårbarheter i synlig programvare. Det dekker deler av fire av de ti tiltakene. Rutiner, backup, leverandøroppfølging og opplæring må dere svare på selv.

Claude AI hjalp meg med formuleringer og korrektur i denne artikkelen.

Kilder

Gjelder dette dere?

Svar på spørsmålene fra loven og få et skann av domenet. Gratis, uten konto.

Start egenvurderingenBare skann nettstedet