NIS2 og cyberbeveiligingsloven: faller bedriften din under den?
Siden 15. august 2026 gjelder Cyberbeveiligingswet (cybersikkerhetsloven) i Nederland. Du har kanskje allerede hørt begrepet NIS2 fra en kunde, en leverandør eller en rådgiver. I denne artikkelen kan du lese kort om hva loven er, hvem den gjelder for og hva den betyr for en liten bedrift som ikke selv omfattes av den.
Denne artikkelen gir generell informasjon og er ikke juridisk rådgivning. De gjeldende reglene finner du hos NCSC og i lovteksten.
Hva er det?
NIS2 er et europeisk direktiv fra 2022 (direktiv (EU) 2022/2555) som skal gjøre organisasjoner i viktige sektorer mer digitalt motstandsdyktige. Hvert land omsetter direktivet til en egen lov. I Nederland er dette Cyberbeveiligingswet (Cbw). Loven gjelder fra 15. august 2026, uten overgangsperiode, og erstatter den tidligere loven om sikkerhet i nettverk og informasjonssystemer (Wbni). Ifølge NCSC omfattes over 8 000 organisasjoner av loven. NCSC er kontaktpunktet.
Omfattes bedriften min av loven?
Det avhenger av to spørsmål: sektoren din og størrelsen din.
1. Jobber du i en sektor som er nevnt i loven?
| Vedlegg 1 | Vedlegg 2 |
|---|---|
| Energi, transport, bankvirksomhet, infrastruktur for finansmarkedet, helsevesen, drikkevann, avløpsvann, digital infrastruktur, administrasjon av IKT-tjenester, offentlig forvaltning, romfart | Post og kurertjenester, avfallshåndtering, kjemikalier, næringsmidler, produksjon (fremstillingsindustri), digitale tilbydere, forskning |
For enkelte sektorer gjelder det tilleggsvilkår. Ikke alle bedrifter som jobber med næringsmidler, omfattes derfor automatisk.
2. Er du stor nok? Kort sagt omfattes mellomstore og store organisasjoner av loven. Du telles med hvis du:
- har 50 eller flere ansatte (årsverk), eller
- har færre enn 50 ansatte, men årsomsetningen og balansesummen din begge ligger over 10 millioner euro.
Partnervirksomheter og tilknyttede virksomheter telles med. En bedrift med 20 ansatte som tilhører en gruppe på 200, kan derfor likevel omfattes.
Unntak, uansett størrelse. Noen typer organisasjoner omfattes alltid, uansett hvor små de er. Dette gjelder for eksempel DNS-tjenesteytere, registre for toppdomener, tilbydere av offentlige elektroniske kommunikasjonsnettverk og tjenester, tillitstjenesteleverandører og offentlige organisasjoner. Er du utpekt under loven om motstandsdyktighet for kritiske enheter, omfattes du også av Cyberbeveiligingswet.
Sjekk selv med egenevalueringen
Rijksinspectie Digitale Infrastructuur (RDI) har en gratis NIS2-egenevaluering. Du svarer på spørsmål om sektoren din, størrelsen din og tjenestene dine, og får et resultat. Dette viser også om du er en essensiell eller en viktig enhet. Forskjellen ligger først og fremst i tilsynet: for essensielle enheter kan tilsynsmyndigheten også kontrollere på eget initiativ, mens det for viktige enheter hovedsakelig skjer i etterkant. Tilhører bedriften din en gruppe, eller jobber du i flere land? Da kan veiledningen for komplekse forretningsmodeller fra NCSC være til hjelp.
Hva må du gjøre hvis du omfattes av loven?
- Registrere deg. Du melder organisasjonen din via MijnNCSC.
- Aktsomhetsplikt. Du gjennomfører en risikoanalyse og iverksetter passende og forholdsmessige tiltak. NCSC nevner minst ti temaer, blant annet hendelseshåndtering, sikkerhetskopier og gjenoppretting, sikkerheten i forsyningskjeden din, opplæring, oppdateringer, tilgangsstyring, tofaktorautentisering eller passnøkler, kryptering og testing av om tiltakene fungerer. Styret godkjenner tiltakene og fører tilsyn.
- Meldeplikt. En betydelig hendelse melder du via MijnNCSC: en første varsling innen 24 timer, en melding med en første vurdering av alvorlighetsgrad og konsekvenser innen 72 timer, og en sluttrapport innen en måned.
Denne meldingen er atskilt fra meldeplikten for datainnbrudd etter GDPR. Den gjelder for alle som behandler personopplysninger, også for en enkeltpersonforetak, og meldes til Autoriteit Persoonsgegevens (den nederlandske tilsynsmyndigheten for personvern). Et angrep der også kundedata er stjålet, må derfor kanskje meldes til begge instanser.
Omfattes du ikke av loven? Da kan leverandørkjeden likevel påvirke deg
De fleste små bedrifter omfattes ikke av loven. Da har du ingen registreringsplikt, ingen meldeplikt til NCSC og intet tilsyn. Men organisasjoner som omfattes av loven, må også ta hensyn til risikoene hos sine direkte leverandører og tjenesteytere. Ifølge NCSC pålegger loven ikke underleverandører noen egne forpliktelser, men kundene kan stille krav til deres digitale sikkerhet. Disse kravene tas gjerne inn i en kontrakt eller et spørreskjema.
Leverer du til en større organisasjon, for eksempel som webutvikler, IT-ansvarlig eller regnskapskontor? Da kan du få spørsmål som: bruker dere topunktsbekreftelse, hvem har tilgang til dataene våre, hvor lagres sikkerhetskopiene og hvor raskt melder dere en hendelse?
- Krav bør være tilpasset risikoen ved tjenesten din. En leverandør med tilgang til systemene får strengere krav enn bakeren som leverer lunsj.
- Det gjelder direkte leverandører. Leverandørene til dine leverandører omfattes ikke.
- Loven krever ikke noe sertifikat. Det kan hjelpe i samtalen, men er ingen garanti.
- Begynn i god tid: kartlegg hvilke tiltak du allerede har, og skriv ned avtaler med kunden din.