NIS vs NIS2: Forskjellene i omfang, krav, rapportering og sanksjoner

NIS2 er regelverket som avgjør når en norsk virksomhet med digitale tjenester til både offentlige kunder og private aktører må dokumentere styring, rapportering, leverandøroppfølging og ledelsesansvar. Når en sentral leverandør håndterer sikkerhetsoppdateringer for sent, handler spørsmålet derfor ikke bare om tekniske kontroller, men om hvilke plikter virksomheten faktisk er omfattet av.

NIS og NIS2 er EU-direktiver om sikkerhet i nettverks- og informasjonssystemer. De er ikke produkter, IT-systemer eller tekniske standarder, men rettslige rammer som medlemsstatene skal gjennomføre i nasjonal lovgivning. For norske virksomheter er bildet i tillegg knyttet til EØS-prosessen: direktivet må innlemmes i EØS-avtalen før det gjennomføres nasjonalt, men berørte virksomheter har gode grunner til å forberede seg før alle norske forskrifter er endelig fastsatt.

Denne teksten er faktasjekket mot NIS2-direktivet i EU Official Journal, direktiv (EU) 2022/2555, særlig artikkel 21, 23, 32, 33 og vedlegg I og II, samt veiledning og forklaringer fra ENISA, EU-parlamentet og norske myndighetskilder som NSM, Nkom og relevante departementer. Den er oppdatert 22. juli 2026. Innholdet er generell informasjon og skal ikke brukes som juridisk rådgivning; virksomheter bør alltid kontrollere kravene mot gjeldende nasjonale regler og sektorveiledning.

Hva NIS forsøkte å løse

Det opprinnelige NIS-direktivet var EUs første brede cybersikkerhetsdirektiv. Det rettet seg mot operatører av essensielle tjenester og enkelte digitale tjenesteleverandører, med sektorer som energi, transport, bank, finansmarkedsinfrastruktur, helse, vannforsyning og digital infrastruktur som sentrale eksempler.

Hovedideen var at samfunnskritiske tjenester skulle håndtere risiko bedre, rapportere alvorlige hendelser og være underlagt nasjonalt tilsyn. Direktivet ga likevel medlemsstatene betydelig handlingsrom, noe som førte til ulik praksis på tvers av land. I praksis kunne to like virksomheter i ulike land møte forskjellige terskler, rapporteringsrutiner og håndhevingsnivåer.

NIS2 ble vedtatt for å redusere denne variasjonen og dekke flere typer virksomheter som moderne samfunn er avhengige av. Det betyr ikke at alle selskaper i Europa automatisk blir omfattet, men det betyr at flere sektorer, flere leverandørkjeder og flere ledelsesnivåer må forholde seg til cybersikkerhet som et styringsansvar.

Den viktigste forskjellen er hvem som omfattes

NIS2 erstatter skillet mellom «operatører av essensielle tjenester» og «digitale tjenesteleverandører» med kategoriene «essensielle enheter» og «viktige enheter». Denne endringen er mer enn språklig. Den påvirker hvilke virksomheter som blir omfattet, hvordan tilsyn kan gjennomføres, og hvilke sanksjoner som kan gjelde ved alvorlige brudd.

En praktisk måte å starte klassifiseringen på er å se på sektor, størrelse og eventuelle unntak i den rekkefølgen. Først vurderes om virksomheten faller inn under sektorene i vedlegg I eller II til NIS2, for eksempel energi, transport, bank, helse, drikkevann, avløp, digital infrastruktur, IKT-tjenesteforvaltning, offentlig forvaltning, romvirksomhet, post- og budtjenester, avfallshåndtering, kjemikalier, næringsmiddelproduksjon, produksjon av visse kritiske varer, digitale tilbydere og forskning. Deretter vurderes størrelsesregelen, ofte omtalt som size-cap-regelen, hvor mellomstore og større virksomheter i utgangspunktet kan omfattes. Til slutt må virksomheten kontrollere om den likevel treffes av særregler, for eksempel fordi den er kritisk for samfunnsfunksjoner eller leverer tjenester med høy risiko.

Denne rekkefølgen reduserer en vanlig scoping-feil: å starte med tekniske systemer og ende med en tilfeldig liste over applikasjoner. NIS2-klassifisering starter ikke i serverrommet. Den starter med hva virksomheten leverer, hvilken sektor den tilhører, hvilken størrelse den har, og hvilken betydning tjenestene har for samfunnet og brukerne.

Tabellen bygger på direktiv (EU) 2022/2555, særlig artikkel 21 om risikostyring, artikkel 23 om rapportering, artikkel 32 og 33 om tilsyn og håndheving, samt vedlegg I og II om sektorer. Nasjonale regler kan presisere ansvar, myndighetsroller og prosesskrav, noe som er særlig relevant for virksomheter i Norge mens EØS- og gjennomføringsarbeidet pågår.

Kravene flyttes nærmere styrerommet

NIS2 skjerper kravene til cybersikkerhetsrisikostyring. Tiltakene omfatter blant annet hendelseshåndtering, kontinuitet, krisehåndtering, sikkerhet i leverandørkjeden, sikker utvikling og vedlikehold, sårbarhetshåndtering, kryptografi, tilgangsstyring og bruk av flerfaktorautentisering der det er relevant.

Den mest undervurderte endringen er likevel ledelsens rolle. NIS2 gjør det tydelig at ledelsesorganet skal godkjenne risikostyringstiltak, føre tilsyn med gjennomføringen og få tilstrekkelig opplæring. Dette gjør etterlevelse til et spørsmål om styring, ansvarslinjer og beslutningsgrunnlag, ikke bare tekniske sikkerhetsverktøy.

I praksis betyr det at virksomheter bør kunne vise hvordan risiko vurderes, hvem som eier tiltakene, hvordan avvik rapporteres, og hvordan ledelsen følger opp. Et modenhetsgap oppstår ofte når IT-avdelingen har tekniske kontroller på plass, mens rapporteringsrutiner, leverandørkrav, styreinvolvering og dokumentasjon ikke henger sammen. Strukturert opplæring, for eksempel et NIS2 Lead Implementer-løp, kan være nyttig når virksomheten trenger en arbeidsform som dekker styring, hendelsesrespons, leverandøroppfølging og måling av etterlevelse samlet.

Hendelsesrapportering: 24 timer, 72 timer og én måned

Under NIS var rapporteringsplikten knyttet til hendelser med vesentlig påvirkning, men de praktiske detaljene ble i stor grad formet gjennom nasjonal gjennomføring. NIS2 harmoniserer dette mer presist gjennom artikkel 23. Ved en betydelig hendelse skal virksomheten normalt sende et tidlig varsel innen 24 timer etter at den ble kjent med hendelsen, deretter en mer utfyllende hendelsesmelding innen 72 timer, og en sluttrapport innen én måned.

Det er viktig å forstå hva «betydelig hendelse» innebærer. Terskelen handler ikke primært om antall logger, alarmer eller tekniske funn. Den handler om påvirkning: hvor mange brukere som rammes, hvor lenge tjenesten påvirkes, geografisk utbredelse, økonomisk eller operasjonell skade, og hvor kritisk tjenesten er.

Denne forskjellen har praktisk betydning for beredskap. Et sikkerhetsteam kan ikke vente til alle tekniske detaljer er ferdig analysert før det vurderer varsling. Det bør finnes en beslutningsprosess som raskt samler teknisk informasjon, forretningspåvirkning, juridisk vurdering og ledelsesbeslutning, slik at virksomheten kan gi et tidlig varsel uten å låse seg til konklusjoner som ennå ikke er bekreftet.

Leverandørkjeden får større betydning

NIS2 legger sterkere vekt på sikkerhet i leverandørkjeden. Det treffer både anskaffelser, kontrakter, sikkerhetskrav, sårbarhetshåndtering og oppfølging av eksterne tjenesteleverandører. For mange virksomheter er dette vanskeligere enn å oppdatere interne policyer, fordi risikoen ligger fordelt på systemeiere, innkjøp, juridisk avdeling og leverandørstyring.

En praktisk konsekvens er at virksomheten bør kunne dokumentere hvilke leverandører som støtter kritiske tjenester, hvilke sikkerhetskrav som gjelder, hvordan sårbarheter varsles og håndteres, og hva som skjer dersom en leverandør får en alvorlig hendelse. Coordinated vulnerability disclosure, ofte forkortet CVD, blir også mer relevant fordi virksomheter må ha ryddige prosesser for mottak, vurdering og oppfølging av sårbarhetsinformasjon.

Dette påvirker kontrakter. Krav til varsling, revisjonsrettigheter, sikkerhetsoppdateringer, underleverandører, datatilgang og kontinuitet bør være tydelige nok til at de fungerer under press. Mange NIS2-programmer starter for sent med leverandørleddet, og da blir etterlevelse avhengig av kontrakter som ikke ble skrevet med slike plikter i tankene.

Sanksjoner og tilsyn er tydeligere under NIS2

NIS2 innfører et mer strukturert sanksjonsnivå enn NIS. For essensielle enheter kan administrative bøter etter direktivet være opptil 10 millioner euro eller 2 prosent av global årlig omsetning, avhengig av hva som er høyest. For viktige enheter kan bøtene være opptil 7 millioner euro eller 1,4 prosent av global årlig omsetning.

Disse tallene er maksimumsnivåer i direktivet. Den konkrete håndhevingen skjer gjennom nasjonal rett, og nasjonale myndigheter vil ha roller og prosedyrer som må avklares i hvert land. Derfor bør norske virksomheter følge informasjon fra NSM, Nkom og departementene, samtidig som de bygger etterlevelse mot kravene i selve direktivet.

Tilsynsmodellen er også forskjellig for essensielle og viktige enheter. Essensielle enheter kan møte proaktivt tilsyn, som revisjoner, informasjonskrav og sikkerhetsskanninger der nasjonal rett åpner for det. Viktige enheter er i større grad underlagt tilsyn når myndighetene får indikasjoner på brudd. Dette påvirker prioriteringen internt: en essensiell enhet bør forvente mer dokumentasjonskrav og tidligere myndighetsdialog, mens en viktig enhet fortsatt må kunne dokumentere etterlevelse når en hendelse eller et avvik utløser kontroll.

Hva norske og EØS-baserte virksomheter bør gjøre nå

For norske virksomheter er det fristende å vente til alle nasjonale detaljer er klare. Det kan bli en dyr tilnærming dersom virksomheten allerede vet at den sannsynligvis faller innenfor en NIS2-sektor. Mange av tiltakene som kreves, som hendelsesprosess, risikostyring, ledelsesforankring, leverandøroversikt og beredskapsøvelser, tar tid å etablere og modne.

Et fornuftig første steg er å gjennomføre en klassifisering basert på sektor, størrelse og kritikalitet, og deretter kartlegge avvik mot artikkel 21 og 23. Deretter bør virksomheten prioritere tiltak som reduserer både operasjonell risiko og etterlevelsesrisiko. Det betyr ofte å starte med beslutningslinjer for hendelser, oversikt over kritiske tjenester, leverandøravhengigheter, opplæring av ledelsen og dokumentasjon som kan brukes ved tilsyn.

Virksomheter som allerede arbeider med ISO/IEC 27001, beredskap, risikostyring eller sikkerhetsarkitektur har et bedre utgangspunkt, men bør ikke anta at dette automatisk dekker NIS2. Direktivet stiller spesifikke krav til rapportering, ansvar, tilsyn og sektorbasert klassifisering. Eksisterende sikkerhetsstyring bør derfor brukes som fundament, mens NIS2-kravene mappes eksplisitt inn i styringssystemet.

FAQ

Hva er hovedforskjellen mellom NIS og NIS2?

Hovedforskjellen er at NIS2 har bredere sektoromfang, tydeligere kategorier av virksomheter, mer harmoniserte rapporteringsfrister, sterkere krav til ledelsesansvar og klarere sanksjonsnivåer. NIS var et første felles rammeverk, mens NIS2 er mer detaljert og mer styringsorientert.

Gjelder NIS2 direkte i Norge?

NIS2 er et EU-direktiv. For Norge må det håndteres gjennom EØS-prosessen og deretter gjennomføres i norsk rett før konkrete nasjonale plikter gjelder fullt ut. Norske virksomheter som sannsynligvis blir omfattet, bør likevel forberede seg tidlig og følge veiledning fra relevante norske myndigheter.

Hvilke rapporteringsfrister gjelder etter NIS2?

Ved en betydelig hendelse legger NIS2 opp til tidlig varsel innen 24 timer, hendelsesmelding innen 72 timer og sluttrapport normalt innen én måned. Den praktiske rapporteringen vil skje gjennom nasjonale kanaler og prosedyrer når disse er fastsatt.

Er alle små virksomheter utenfor NIS2?

Nei. Størrelsesregelen er et viktig utgangspunkt, men enkelte mindre virksomheter kan omfattes dersom de har særlig kritisk betydning eller faller inn under særskilte regler. Derfor bør virksomheter først vurdere sektor og tjenestens kritikalitet før de konkluderer.

Er NIS2 det samme som GDPR for cybersikkerhet?

Nei. GDPR handler om personvern og behandling av personopplysninger, mens NIS2 handler om sikkerhet i nettverks- og informasjonssystemer for bestemte sektorer og virksomheter. De kan overlappe ved en cyberhendelse, men de har ulike formål, myndighetsprosesser og rapporteringsplikter.

Fra sammenligning til etterlevelse

Den praktiske forskjellen mellom NIS og NIS2 er at cybersikkerhet blir tettere koblet til virksomhetsstyring. Omfanget er bredere, rapporteringen er mer tidskritisk, leverandørkjeden får større plass, og ledelsen må kunne vise at den forstår og følger opp risikoen.

Et godt neste steg er å behandle NIS2 som et tverrfaglig program, ikke som en isolert IT-oppgave. Virksomheter kan bruke sikkerhetskurs og Unlimited Security Training fra Readynez for å bygge felles kompetanse på tvers av sikkerhet, drift, juridisk, compliance og ledelse. Ved spørsmål om opplæring eller sertifiseringsløp kan virksomheter også kontakte teamet for en avklaring.