NIS2 og Cyberbeveiligingswet: omfattes bedriften min?

Siden 15. august 2026 har Cyberbeveiligingswet, den nederlandske cybersikkerhetsloven, gjeldt i Nederland. Kanskje har du allerede hørt begrepet NIS2 fra en kunde, en leverandør eller en rådgiver. I denne artikkelen får du en kort forklaring på hva loven er, hvem den gjelder for og hva den betyr for en liten bedrift som ikke selv er omfattet.

Denne artikkelen gir en generell forklaring og er ikke juridisk rådgivning. De gjeldende reglene finner du hos NCSC og i lovteksten.

Hva er det?

NIS2 er et europeisk direktiv fra 2022 (direktiv (EU) 2022/2555) som skal gjøre virksomheter i viktige sektorer mer digitalt motstandsdyktige. Hvert land gjennomfører direktivet i en egen lov. I Nederland er det Cyberbeveiligingswet (Cbw). Loven har gjeldt siden 15. august 2026, uten overgangsperiode, og erstatter den tidligere loven om sikkerhet i nettverks- og informasjonssystemer (Wbni). Ifølge NCSC er over 8.000 virksomheter omfattet. NCSC er kontaktpunktet.

Er bedriften min omfattet?

Det avhenger av to spørsmål: sektoren din og størrelsen din.

1. Jobber du i en sektor som er nevnt i loven?

For noen sektorer gjelder det tilleggsvilkår. Ikke alle bedrifter som har noe med næringsmidler å gjøre, er altså automatisk omfattet.

2. Er du stor nok? Kort sagt er mellomstore og store virksomheter omfattet. Du regnes med hvis du:

• har 50 eller flere ansatte (årsverk), eller
• har færre enn 50 ansatte, men både årsomsetningen og balansesummen din er over 10 millioner euro.

Partnerforetak og tilknyttede foretak regnes med. En bedrift med 20 ansatte som er en del av et konsern med 200 ansatte, kan altså likevel være omfattet.

Unntak, uavhengig av størrelse. Noen typer virksomheter er alltid omfattet, uansett hvor små de er. For eksempel DNS-tjenesteleverandører, registre for toppnivådomener, tilbydere av offentlige elektroniske kommunikasjonsnett og -tjenester, tilbydere av tillitstjenester og offentlige virksomheter. Er du utpekt etter Wet weerbaarheid kritieke entiteiten, den nederlandske loven om motstandsdyktighet for kritiske enheter, er du også omfattet av Cyberbeveiligingswet.

Sjekk selv med egenvurderingen

Rijksinspectie Digitale Infrastructuur (RDI), den nederlandske tilsynsmyndigheten for digital infrastruktur, har en gratis NIS2-egenvurdering. Du svarer på spørsmål om sektor, størrelse og tjenester og får et resultat. Der ser du også om du er en vesentlig eller en viktig enhet. Forskjellen ligger først og fremst i tilsynet: hos vesentlige enheter kan tilsynsmyndigheten også kontrollere på eget initiativ, hos viktige enheter hovedsakelig i etterkant. Er bedriften din en del av et konsern, eller driver du i flere land? Da kan du ha nytte av NCSCs veiledning om komplekse forretningsmodeller.

Hva må du gjøre hvis du er omfattet?

• Registrere deg. Du registrerer virksomheten din via MijnNCSC.
• Aktsomhetsplikt. Du lager en risikoanalyse og iverksetter egnede og forholdsmessige tiltak. NCSC nevner minst ti temaer, blant annet hendelseshåndtering, sikkerhetskopier og gjenoppretting, sikkerhet i leverandørkjeden, opplæring, oppdateringer, tilgangsstyring, flerfaktorautentisering eller passnøkler, kryptering og testing av om tiltakene dine virker. Ledelsen godkjenner tiltakene og fører tilsyn med dem.
• Meldeplikt. En betydelig hendelse melder du via MijnNCSC: innen 24 timer et første varsel, innen 72 timer en melding med en første vurdering av alvorlighetsgrad og konsekvenser, og innen en måned en sluttrapport.

Denne meldingen er uavhengig av meldeplikten for brudd på personopplysningssikkerheten etter GDPR. Den gjelder for alle som behandler personopplysninger, også for selvstendig næringsdrivende, og meldes til Autoriteit Persoonsgegevens, den nederlandske datatilsynsmyndigheten. Når noe er et brudd på personopplysningssikkerheten, og om du må melde det, kan du lese i Er dette et brudd på personopplysningssikkerheten, og må jeg melde det? Et angrep der også kundedata er stjålet, kan altså måtte meldes begge steder.

Er du ikke omfattet? Da kan kjeden likevel berøre deg

De fleste små bedrifter er ikke omfattet av loven. Da har du ingen registreringsplikt, ingen meldeplikt til NCSC og ikke noe tilsyn. Men virksomheter som er omfattet, må også ta hensyn til risikoene hos sine direkte leverandører og tjenesteytere. Ifølge NCSC pålegger ikke loven leverandørene selv noen plikter, men kunder kan stille krav til deres digitale sikkerhet. Slike krav kommer da i en kontrakt eller et spørreskjema.

Leverer du til en større virksomhet, for eksempel som nettstedutvikler, IT-ansvarlig eller regnskapsbyrå? Da kan du få spørsmål som: bruker dere totrinnsbekreftelse, hvem har tilgang til dataene våre, hvor lagres sikkerhetskopiene og hvor raskt melder dere en hendelse?

• Kravene skal være tilpasset risikoen ved tjenesten din. En leverandør med tilgang til systemene får strengere krav enn bakeren som leverer lunsj.
• Det gjelder direkte leverandører. Leverandørene til leverandørene dine faller utenfor.
• Loven krever ikke noe sertifikat. Det kan hjelpe i dialogen, men det er ingen garanti.
• Begynn i god tid: kartlegg hvilke tiltak du allerede har, og avtal skriftlig med kunden din.

Les mer

• NCSC: Cybersikkerhetsloven (NIS2)
• NCSC: Er virksomheten min omfattet av cybersikkerhetsloven?
• NCSC: Aktsomhetsplikt
• NCSC: Meldeplikt
• NCSC: Cybersikkerhetsloven og leverandører
• RDI: NIS2-egenvurdering
• Lovteksten til Cyberbeveiligingswet

Vil du lære mer? Ta det gratis kurset Trygg på nett for bedrifter, leksjon 9.1 NIS2 og cybersikkerhetsloven.