NIS2 i praksis: registrering, varsling innen 24 timer og virkeligheten i leverandørkjeden

NIS2 fikk en uvanlig start. Gjennomføringsfristen var 17. oktober 2024, og de fleste medlemsstatene bommet. To år senere er bildet fortsatt ujevnt, noe som har gitt mange selskaper inntrykk av at det ikke skjedde stort.

Det inntrykket er nå feil. De nasjonale lovene er på plass, registreringsportalene er åpne, og tilsynsmyndighetene har begynt å stille spørsmål. Tyskland åpnet sin portal 6. januar 2026 med lovfestet frist 6. mars. Nederland satte sin Cyberbeveiligingswet i kraft 15. august 2026. Andre fulgte gjennom året.

Ventet du på klarhet, har den kommet, og svaret er at du sannsynligvis er sent ute snarere enn tidlig.

Hvem som er omfattet

NIS2 erstattet direktivet om nettverks- og informasjonssikkerhet fra 2016 og utvidet nettet betraktelig. Virkeområdet bestemmes av sektor og størrelse.

Vesentlige virksomheter dekker sektorer av høy kritikalitet: energi, transport, bank, finansmarkedsinfrastruktur, helse, drikkevann, avløpsvann, digital infrastruktur, IKT-tjenestestyring, offentlig forvaltning og rom.

Viktige virksomheter dekker andre kritiske sektorer: post- og budtjenester, avfallshåndtering, kjemikalier, mat, produksjon av visse produkter inkludert medisinsk utstyr, datamaskiner, elektronikk, maskiner og kjøretøy, digitale tilbydere som nettmarkedsplasser, søkemotorer og sosiale plattformer, samt forskningsorganisasjoner.

Størrelsesterskelen er generelt mellomstor virksomhet eller større, altså 50 ansatte eller flere, eller årsomsetning over 10 millioner euro. Noen virksomhetstyper er omfattet uansett størrelse, blant dem visse DNS-tilbydere, toppdomeneregistre, tillitstjenestetilbydere og tilbydere av offentlig elektronisk kommunikasjon.

Den tyske tilsynsmyndigheten anslo rundt 29 500 omfattede virksomheter i det landet alene. Ved den lovfestede fristen i mars 2026 hadde rundt 11 500 registrert seg, økende til rundt 18 500 ved utgangen av mai. Les det som en advarsel snarere enn en trøst. Andres trege registrering skaper ikke et unntak for deg.

To ting overrasker selskaper. For det første omfatter sektorlisten helt vanlige produsenter, ikke bare infrastrukturoperatører. Produserer du maskiner, elektronikk eller medisinsk utstyr i noen som helst skala, se nøye etter. For det andre vil kundene dine som er omfattet skyve sine leverandørkjedeplikter over på deg kontraktsmessig, selv om du selv faller utenfor. Å være utenfor virkeområdet betyr ikke å være upåvirket.

Registrering er en egen plikt

De fleste medlemsstater krever at omfattede virksomheter registrerer seg hos den nasjonale myndigheten, og det er der de første forsømmelsene skjer.

Registrering betyr typisk å identifisere virksomheten, sektorklassifiseringen, tjenestene, kontaktpunktene for sikkerhetssaker og medlemsstatene den opererer i. Fristene varierer per land, og prosessen er ofte mer omfattende enn et nettskjema.

Ikke anta at du er unntatt fordi myndigheten ikke har kontaktet deg. NIS2 bygger på selvidentifisering. Det er din jobb å avgjøre virkeområdet og registrere deg, ikke tilsynsmyndighetens jobb å finne deg.

Rapporteringstidslinjen

Hendelsesrapportering er den operativt mest krevende delen av direktivet, og fristene er stramme.

• Innen 24 timer etter kunnskap om en betydelig hendelse: et tidligvarsel, som angir om hendelsen mistenkes å skyldes ulovlige eller ondsinnede handlinger og om den kan ha grensekryssende virkning.
• Innen 72 timer: en hendelsesmelding, som utdyper tidligvarselet med en første vurdering, alvorlighet, virkning og kompromitteringsindikatorer.
• På forespørsel: statusrapporter underveis.
• Innen én måned: en sluttrapport med detaljert beskrivelse, trusseltype eller grunnårsak, iverksatte avbøtende tiltak og eventuell grensekryssende virkning.

En betydelig hendelse er en som har forårsaket eller kan forårsake alvorlig driftsforstyrrelse eller økonomisk tap, eller som har påvirket eller kan påvirke andre ved å volde betydelig materiell eller ikke-materiell skade.

Tidligvarselet innen 24 timer er den vanskelige delen. Tjuefire timer er ikke nok til å etterforske. Det er en forhåndsvarsling, og direktivet forventer det som en forhåndsvarsling. Team som venter til de forstår hendelsen før de rapporterer, vil bomme på vinduet hver gang.

Behandler organisasjonen også personopplysninger, kan du kjøre en GDPR-melding på 72 timer parallelt til en annen myndighet, med annet virkeområde og annen terskel. De prosessene må utformes sammen, som vi dekker i GDPR-guiden vår.

De ti tiltakene

Artikkel 21 krever risikostyringstiltak som minst dekker ti områder. Enkelt sagt:

1. Risikoanalyse og retningslinjer for informasjonssystemsikkerhet. Dokumentert, oppdatert og faktisk brukt av dem som drifter systemene.
2. Hendelseshåndtering. Deteksjon, respons, gjenoppretting og rapporteringsflyten over.
3. Forretningskontinuitet og krisehåndtering. Sikkerhetskopistyring, katastrofegjenoppretting og en testet gjenoppretting snarere enn en planlagt sikkerhetskopijobb.
4. Leverandørkjedesikkerhet. Behandlet separat under, fordi det er der mesteparten av innsatsen går.
5. Sikkerhet ved anskaffelse, utvikling og vedlikehold. Sikker utviklingspraksis, sårbarhetshåndtering og offentliggjøring.
6. Vurdering av effektivitet. Hvordan du vet at kontrollene virker. Tester, revisjoner, målinger.
7. Cyberhygiene og opplæring. Grunnleggende praksis og bevissthet, også for ledelsen.
8. Retningslinjer for kryptografi og kryptering. Hvor kryptering brukes og hvordan nøkler håndteres.
9. Personellsikkerhet, tilgangsstyring og ressursforvaltning. Ansettelser, endringer, avganger, minste privilegium og en oppdatert ressursoversikt.
10. Flerfaktorautentisering og sikret kommunikasjon. MFA eller kontinuerlig autentisering, sikret tale-, video- og tekstkommunikasjon, og nødkommunikasjonssystemer.

Ingenting av dette er eksotisk. I de fleste organisasjoner er gapet ikke å vite hva som skal gjøres, det er dokumentasjonen. NIS2-tilsyn er dokumentasjonstungt, og en udokumentert kontroll er i praksis fraværende.

Leverandørkjeden er det virkelige arbeidet

Den mest konsekvensrike endringen i NIS2 er vekten på leverandørkjederisiko. Omfattede virksomheter må vurdere sikkerhetspraksisen til sine direkte leverandører og tjenesteytere, inkludert kvaliteten på produktene deres og deres sikre utviklingspraksis.

I praksis kaskaderer dette. Et omfattet sykehus skyver krav over på programvareleverandørene sine. De skyver krav over på hostingleverandører og komponentleverandører. Selskaper godt utenfor det formelle virkeområdet ender med å svare på NIS2-avledede sikkerhetsspørreskjemaer fordi kunden deres er omfattet.

Selger du programvare eller tjenester inn i noen av de listede sektorene, forvent:

• Sikkerhetsspørreskjemaer som standard del av innkjøp, før kontrakt snarere enn etter.
• Kontraktsfestede sikkerhetskrav, inkludert varslingsfrister for hendelser som løper opp til kundens 24-timers plikt.
• Krav om dokumentasjon: oppsummeringer av penetrasjonstester, SOC 2- eller ISO 27001-status, dokumentasjon av sårbarhetsprosessen, SBOM-er.
• Revisjonsrettigheter.

Det effektive svaret er å bygge dokumentasjonspakken én gang. Det kundene spør om er stort sett det samme på tvers av spørreskjemaer, og artefaktene overlapper sterkt med pliktene i Cyber Resilience Act. Bygg en SBOM-løype, en dokumentert sårbarhetsprosess og en hendelseshåndbok, og du har besvart mesteparten av begge.

Ledelsens ansvar

NIS2 gjør styrende organer ansvarlige for å godkjenne tiltak for cyberrisikostyring og for å føre tilsyn med gjennomføringen, og medlemsstatene kan holde dem personlig ansvarlige. Ledelsen må også gjennomføre opplæring.

Derfor beveger NIS2-samtaler seg raskere enn de fleste etterlevelsestemaer inne i selskaper. Personlig ansvar endrer hvor fort et styre godkjenner et budsjett.

Sanksjoner

For vesentlige virksomheter opptil 10 millioner euro eller 2 prosent av samlet global årsomsetning, det høyeste av dem. For viktige virksomheter opptil 7 millioner euro eller 1,4 prosent. Myndighetene kan også gi bindende pålegg, kreve offentliggjøring av manglende etterlevelse, og i alvorlige tilfeller suspendere sertifisering eller midlertidig forby personer å utøve lederfunksjoner.

Hvor du begynner om du ikke har gjort det

En gjennomførbar rekkefølge for en organisasjon som starter nesten fra null:

Fastslå virkeområdet ordentlig. Sektor, størrelse og medlemsstatene du er etablert i. Få det skriftlig fra juristene deres, fordi alt annet følger av det.

Registrer deg. Sjekk fristen og prosedyren hos din nasjonale myndighet. Har den gått ut, registrer deg likevel.

Bygg ressursoversikten. Du kan ikke styre risiko på systemer du ikke har listet. Dette er artefaktet med størst vektstang og det som oftest mangler.

Skriv hendelseshåndboken og øv på den. Fokuser på 24-timersveien. Hvem erklærer, hvem vurderer grensekryssende virkning, hvem sender inn, og hva skjer klokka tre om natta på en helligdag.

Gjør leverandørgjennomgangen. List de kritiske leverandørene, vurder dem, og få sikkerhetsvilkår inn i kontraktene ved fornyelse.

Tett de åpenbare hullene. MFA overalt, testede sikkerhetskopier, oppdateringsstyring, tilgangsgjennomganger, logging. Lite glamorøst, og det er dette en revisjon ser på først.

Dokumenter underveis. Ikke en policyperm skrevet i etterkant. Beslutninger nedtegnet når de tas, med datoer og eiere.

En ærlig merknad om innsats

For en organisasjon med et fungerende sikkerhetsprogram er NIS2 stort sett en dokumentasjons- og rapporteringsøvelse. For en organisasjon uten er det en reell oppbygging, målt i kvartaler snarere enn uker.

Feilen er å behandle det som et etterlevelsesprosjekt eid av juridisk avdeling. Pliktene er operative. De bor hos dem som drifter systemene, og artefaktene holder seg bare oppdaterte om de er del av hvordan teamet jobber snarere enn noe som produseres til en revisjon.

Å få hjelp

Vi bygger og drifter programvaresystemer for selskaper i hele Europa, inkludert overvåkingen, loggingen, sikkerhetskopiene og leverandørkjedeoversikten NIS2 forventer. Der vi er nyttige er på ingeniørsiden: gjøre kontrollene reelle og la dokumentasjonen bli et biprodukt av normalt arbeid snarere enn en egen innsats.

Ta kontakt på office@c9group.dev. Vår guide til EU digital etterlevelse 2026 dekker hvordan NIS2 passer med alt annet som lander i år, og siden om vedlikehold av eldre systemer beskriver arbeidet som gjerne kommer først.

Vi er ikke et advokatfirma og gir ikke juridiske råd. Særlig fastsettelsen av virkeområdet hører til hos juristene deres.