Modul 9 · 9.1
NIS2 og digitalsikkerhetsloven
Modul 9: Regler og organisering · Lesetid: 11 minutter
Læringsmål: Etter denne leksjonen kan du forklare hva NIS2 regulerer, hvordan dette er gjennomført i Nederland med den nederlandske Cyberbeveiligingswet (Cbw), hva situasjonen er i Norge, og hva dette via leverandørkjeden kan bety for små bedrifter.
Nøkkelbegreper: NIS2, digitalsikkerhetsloven, vesentlig og viktig enhet, sektor, størrelse, aktsomhetsplikt, meldeplikt (24 timer, 72 timer, 1 måned), registreringsplikt, leverandørkjede
Fra europeisk direktiv til nasjonal lov
NIS2 er et europeisk direktiv fra 2022 (direktiv (EU) 2022/2555) som skal øke den digitale motstandskraften til viktige organisasjoner i hele EU. Et direktiv gjelder ikke direkte: hvert land gjennomfører det i en egen lov. I Nederland er dette den nederlandske Cyberbeveiligingswet (Cbw). Den trådte i kraft 15. august 2026, samtidig med loven om motstandsdyktige kritiske enheter og en utfyllende forskrift. Den tidligere nederlandske loven om sikring av nettverk og informasjonssystemer (Wbni) er opphevet. Det er ingen overgangsperiode i Nederland: de som omfattes, må oppfylle kravene fra dag én.
Norge er ikke EU-medlem. Digitalsikkerhetsloven trådte i kraft 1. oktober 2025 og gjennomfører NIS1. NIS2 er ennå ikke gjennomført i norsk rett. Terskler, frister og andre krav fra NIS2 som beskrives i denne leksjonen (for eksempel meldefristene og grensene for antall ansatte og omsetning) er altså EU-regler og den nederlandske gjennomføringen av dem, ikke nødvendigvis gjeldende norsk rett. Følg med på når og hvordan NIS2 gjennomføres i Norge.
Ifølge det nederlandske NCSC omfattes over 8 000 organisasjoner i Nederland av Cbw. Det er en liten del av alle bedrifter i Nederland. For de fleste små bedrifter, også i Norge, er det viktigste spørsmålet derfor ikke «hva må jeg gjøre for loven?», men «hva krever kundene mine av meg fordi de selv omfattes av slike regler?». Det kommer vi tilbake til.
Omfattes du? Sektor og størrelse
Om en organisasjon omfattes av NIS2-regelverket, avhenger av to spørsmål. Nedenfor beskrives hvordan dette er gjennomført i Nederland gjennom Cbw.
1. Jobber du i en sektor fra regelverket? Regelverket har to vedlegg.
| Vedlegg 1 (11 sektorer) | Vedlegg 2 (7 sektorer) |
|---|---|
| energi, transport, bank, drikkevann, digital infrastruktur, forvaltning av IKT-tjenester, romfart, infrastruktur for finansmarkedet, helsetjenester, avløpsvann, offentlig forvaltning | digitale tilbydere, post og budtjenester, avfallshåndtering, næringsmidler, kjemiske stoffer, forskning, produksjon (fremstillingsindustri) |
For enkelte sektorer gjelder det ekstra vilkår som det ansvarlige departementet fastsetter. Ikke enhver organisasjon som driver med «næringsmidler», omfattes altså automatisk.
2. Er du stor nok? I den nederlandske ordningen telles organisasjonen med hvis du:
- har 50 eller flere ansatte (årsverk), eller
- har færre enn 50 ansatte, men både årsomsetningen og balansesummen din ligger over 10 millioner euro.
Partnerforetak og tilknyttede foretak telles med. En bedrift med 20 ansatte som tilhører en konsern med 200 ansatte, kan altså likevel omfattes.
Unntak: uavhengig av størrelse. Noen typer organisasjoner omfattes alltid, uansett hvor små de er: DNS-tjenesteytere, registre for toppdomener, tilbydere av offentlige elektroniske kommunikasjonsnett og -tjenester, tillitstjenesteytere og offentlige organisasjoner. Også tilbydere av domeneregistreringstjenester må registrere seg.
Vesentlig eller viktig
Organisasjoner som omfattes av regelverket, er vesentlige eller viktige enheter. Grovt sett: store organisasjoner i sektorene fra vedlegg 1, samt noen typer som er utpekt uavhengig av størrelse, er vesentlige; resten er viktige. Forskjellen ligger først og fremst i tilsynet: for vesentlige enheter kan tilsynsmyndigheten kontrollere på eget initiativ, for eksempel med inspeksjoner og revisjoner; for viktige enheter griper den først og fremst inn i etterkant, når det er holdepunkter for at noe er galt. Pliktene i seg selv er stort sett like.
Status i Norge
I Norge gjelder foreløpig digitalsikkerhetsloven, som gjennomfører NIS1. Det finnes ennå ikke noen norsk selvevaluering eller et eget registreringsportal for NIS2 tilsvarende det nederlandske systemet. Hold deg oppdatert via de offisielle norske kildene om når og hvordan NIS2 gjennomføres i Norge, og hvilke krav og frister som da vil gjelde.
Hva den nederlandske loven krever
Omfattes en organisasjon i Nederland av Cbw, gjelder tre plikter.
Registreringsplikt
Organisasjonen melder seg inn i et register over enheter hos det nederlandske NCSC, via portalen MijnNCSC. Slik vet myndighetene hvem som omfattes, og kan nå dem ved en trussel.
Aktsomhetsplikt
Organisasjonen skal lage en risikoanalyse og ut fra den innføre egnede og forholdsmessige tiltak for sikkerheten i nettverks- og informasjonssystemene sine. Det nederlandske NCSC nevner minst ti temaer, som du har møtt på gjennom hele dette kurset:
- risikoanalyse (leksjon 1.1 og 9.3);
- håndtering av hendelser med en hendelsesplan (leksjon 8.1);
- forberedelse på driftsstans: sikkerhetskopier, gjenopprettingsplaner, krisehåndtering (modul 6);
- sikring av leverandørkjeden, inkludert risiko knyttet til leverandører (leksjon 7.2);
- digital hygiene og opplæring (leksjon 9.2);
- sikker anskaffelse, utvikling og vedlikehold av systemer, inkludert oppdateringer (leksjon 5.1);
- personell, tilgangsstyring og forvaltning av utstyr og programvare (leksjon 7.1);
- passkeys eller flerfaktorautentisering og sikker kommunikasjon (modul 2);
- en policy for kryptografi (kryptering);
- vurdering av om tiltakene virker, for eksempel gjennom jevnlig testing (leksjon 6.3 og 9.3).
Styret har ansvaret: det godkjenner tiltakene og fører tilsyn med gjennomføringen. Ifølge det europeiske direktivet skal styremedlemmer også gjennomgå opplæring om digitale risikoer. Digital sikkerhet er altså ikke lenger en liten oppgave du bare kan overlate til «IT-personen».
Meldeplikt
En vesentlig hendelse meldes i Nederland til det nederlandske NCSC, via MijnNCSC. Dette er en hendelse som alvorlig forstyrrer tjenesten din, fører til økonomisk skade eller kan forårsake stor skade hos andre; de nøyaktige terskelverdiene varierer fra sektor til sektor. Fristene telles fra det tidspunktet du blir klar over hendelsen:
| Frist | Hva du sender |
|---|---|
| Innen 24 timer | Tidlig varsel: er det trolig ondsinnet, er det konsekvenser over landegrensene, hvem er kontaktperson |
| Innen 72 timer | Hendelsesmelding: en oppdatering med en første vurdering av alvorlighetsgrad og konsekvens |
| Innen 1 måned etter meldingen | Sluttrapport: hva som skjedde, årsaken og tiltakene (varer hendelsen lenger, sendes en fremdriftsrapport) |
Én melding i MijnNCSC når i Nederland både CSIRT (teamet som bistår ved hendelsen) og tilsynsmyndigheten. I tillegg skal organisasjonen ifølge direktivet om nødvendig informere mottakerne av tjenestene sine om vesentlige hendelser som kan ramme dem.
Cbw-melding og melding om personvernbrudd: to forskjellige ting
Det kan ligne på meldeplikten for personvernbrudd etter GDPR (leksjon 8.2), og «72 timer» finnes i begge sammenhenger. Likevel er dette to atskilte plikter.
| Digitalsikkerhetsregelverket (Cbw i Nederland) | GDPR (personvernbrudd) | |
|---|---|---|
| For hvem | Organisasjoner som i Nederland omfattes av Cbw | Alle som behandler personopplysninger, også enkeltpersonforetak |
| Hva det gjelder | Vesentlige hendelser knyttet til tjenesten din | Brudd på sikkerheten til personopplysninger |
| Hvem du melder til | Det nederlandske NCSC via MijnNCSC | Datatilsynet |
| Frister | 24 timer, 72 timer, 1 måned | Uten unødig opphold, om mulig innen 72 timer |
Et løsepengevirusangrep hos en organisasjon som i Nederland omfattes av Cbw, der også kundedata blir stjålet, må altså meldes begge steder. Og en liten bedrift som ikke omfattes av dette regelverket, har likevel meldeplikt etter GDPR dersom personopplysninger lekker.
Omfattes du ikke selv: leverandørkjeden
For de fleste lesere av dette kurset er svaret på det første spørsmålet: nei, bedriften min omfattes ikke av et slikt NIS2-regelverk direkte. Bakeriet med tolv ansatte, regnskapskontoret med fem, nettstedutvikleren som jobber alene. Da har du ingen direkte lovpålagte plikter av denne typen: ingen registrering, ingen meldeplikt til en NIS2-tilsynsmyndighet, intet direkte tilsyn.
Men regelverket kan likevel nå deg via kundene dine. Organisasjoner som omfattes av slike regler (i Nederland: Cbw), må sikre leverandørkjeden sin: de må ta hensyn til sårbarhetene hos sine direkte leverandører og tjenesteytere. Det nederlandske NCSC skriver at den nederlandske loven ikke pålegger underleverandører egne plikter direkte, men at Cbw-organisasjoner godt kan stille krav til den digitale sikkerheten hos sine leverandører. Slike krav havner da i kontrakten din eller i et spørreskjema.
Et eksempel. Et lite IT-selskap med seks ansatte drifter bærbare datamaskiner og nettverket til en mellomstor transportbedrift med 140 ansatte, i Nederland. Transportbedriften omfattes av Cbw (transport, stor nok). IT-selskapet selv gjør det ikke: «forvaltning av IKT-tjenester» står riktignok i vedlegg 1, men selskapet er for lite. Likevel får det et spørreskjema: har dere tofaktorautentisering (2FA) på driftsverktøyene, hvem har tilgang til systemene våre, hvor raskt melder dere en hendelse til oss, hvor ligger sikkerhetskopiene?
Det det nederlandske NCSC sier om dette, og hva det kan bety for deg, uansett hvor du driver virksomhet:
- Kravene skal være egnede. En kunde bør vurdere risikoen som tjenesten din utgjør for dem. En leverandør med tilgang til systemene får strengere krav enn bakeren som leverer lunsj.
- Det gjelder direkte leverandører. Leverandørene til leverandørene dine faller utenfor regelverket.
- Et sertifikat er ikke obligatorisk. Cbw foreskriver ikke noe bestemt kvalitetsmerke. Et sertifikat kan gjøre samtalen enklere, men er ingen garanti og intet lovkrav.
- Begynn tidlig med samtalen. Kartlegg hvilke tiltak du allerede har på de punktene der du berører kundens virksomhet, og få avtalene skriftlig.
Ikke overdriv dette altså. Et slikt regelverk gjør ikke automatisk en liten bedrift til en «NIS2-pliktig» organisasjon, og en rådgiver som påstår det for å selge deg en dyr sertifisering, forteller bare en del av historien. Men undervurder det heller ikke: den som leverer til større organisasjoner, må i stadig større grad kunne vise at det grunnleggende er på plass. De grunnleggende tiltakene fra dette kurset er nettopp det et slikt spørreskjema som regel spør etter.
Denne leksjonen gir generell informasjon og er ikke juridisk rådgivning. For gjeldende nederlandske regler, se den offisielle nederlandske kilden https://www.ncsc.nl/cyberbeveiligingswet-nis2 (nederlandsk NCSC) og den nederlandske lovteksten på https://wetten.overheid.nl/BWBR0052872/2026-08-15/0. Følg med på norske offisielle kilder for status på NIS2 i Norge.
Oppsummering
- Den nederlandske Cyberbeveiligingswet (Cbw) er Nederlands gjennomføring av NIS2 og trådte i kraft 15. august 2026, uten overgangsperiode. I Norge gjelder foreløpig digitalsikkerhetsloven, som gjennomfører NIS1; NIS2 er ennå ikke gjennomført i norsk rett.
- I Nederland omfattes du ved en sektor fra vedlegg 1 eller 2 og 50 eller flere årsverk, eller årsomsetning og balansesum som begge ligger over 10 millioner euro; enkelte typer (som DNS-tjenesteytere og offentlig forvaltning) omfattes uavhengig av størrelse.
- Plikter i Nederland: registrering via MijnNCSC, aktsomhetsplikt med risikoanalyse og egnede tiltak under styrets ansvar, og melding av vesentlige hendelser innen 24 timer, 72 timer og 1 måned.
- Cbw-meldingen til det nederlandske NCSC er atskilt fra GDPR-meldingen om personvernbrudd til personvernmyndigheten; noen ganger kreves begge deler.
- En liten bedrift omfattes vanligvis ikke selv, men kan via kunder som omfattes, få egnede sikkerhetskrav stilt til seg, uavhengig av land.
Quiz
Oppgave
Oppgave A9.1: Omfattes det av digitalsikkerhetsloven? Du får seks korte beskrivelser av organisasjoner (sektor, antall ansatte, omsetning, balansesum, eventuelt en konsern eller en stor kunde). Avgjør for hver organisasjon: omfattes direkte, omfattes ikke direkte men får trolig krav via en kunde, eller omfattes ikke. Programmet kontrollerer svaret og viser for hver organisasjon stegene i beslutningstreet.
Les mer
Om den nederlandske Cyberbeveiligingswet finnes det ennå ingen artikkel i kunnskapsbasen til WebOké; bruk de offisielle kildene.
- Nederlandsk NCSC, Cyberbeveiligingswet (NIS2) (nederlandsk kilde): https://www.ncsc.nl/cyberbeveiligingswet-nis2
- Nederlandsk NCSC, Omfattes organisasjonen min av Cyberbeveiligingswet (NIS2)? (nederlandsk kilde): https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- Nederlandsk NCSC, Aktsomhetsplikt (nederlandsk kilde): https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- Nederlandsk NCSC, Meldeplikt (nederlandsk kilde): https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- Nederlandsk NCSC, Cyberbeveiligingswet og underleverandører (nederlandsk kilde): https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- NIS2-direktivet (EU) 2022/2555: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Nederlandsk lovtekst, Cyberbeveiligingswet (nederlandsk kilde): https://wetten.overheid.nl/BWBR0052872/2026-08-15/0