Oppdatert juli 2026 · Basert på NSM, Lovdata og regjeringen.no
NIS2 og digitalsikkerhetsloven forklart, for norske maritime virksomheter
En praktisk gjennomgang av hva regelverket krever, hvem det omfatter, og hva sjøtransport, havner og sjømatnæringen bør gjøre nå. Skrevet for ledere, ikke for jurister.
Sist oppdatert: juli 2026. Vi verifiserer fakta mot NSM, Lovdata og regjeringen.no, men dette er informasjon, ikke juridisk rådgivning.
Hva er NIS2?
NIS2 er EUs direktiv 2022/2555 om et felles høyt cybersikkerhetsnivå i hele unionen. Det utvider det opprinnelige NIS-direktivet fra 2016 til langt flere sektorer og stiller strengere krav til risikostyring, hendelsesrapportering og ledelsens ansvar.
For EU-landene var fristen for å innføre NIS2 i nasjonal lov 17. oktober 2024. Direktivet er merket som EØS-relevant, men det er ennå ikke tatt inn i EØS-avtalen. Norge kan derfor ikke sette det i kraft nasjonalt før EØS-innlemmelsen er på plass.
Viktig nyanse: NIS2 er per juli 2026 ikke norsk lov ennå. Justis- og beredskapsdepartementet forbereder en høring, og det ventes en ny lov som gjennomfører NIS2 sammen med CER-direktivet, og som vil erstatte dagens digitalsikkerhetslov. NSM har varslet en registreringsordning og tilsyn i løpet av 2026, men selve NIS2-loven er ennå ikke vedtatt. Ingen offisiell ikrafttredelsesdato er bekreftet. Vær varsom med aktører som oppgir eksakte datoer eller antall omfattede virksomheter som fakta.
Det som allerede er bindende i Norge i dag, følger av digitalsikkerhetsloven (som gjennomfører det opprinnelige NIS-direktivet). NIS2 er retningen kravene beveger seg, bredere omfang, kortere frister, tydeligere styreansvar og høyere bøter.
Hva er digitalsikkerhetsloven, og hvordan henger den sammen med NIS2?
Digitalsikkerhetsloven (lov av 20. desember 2023 nr. 108) gjennomfører det opprinnelige NIS-direktivet i norsk rett, og trådte i kraft 1. oktober 2025 sammen med digitalsikkerhetsforskriften. Den er altså allerede gjeldende norsk lov.
Loven stiller krav til virksomheter som leverer samfunnsviktige tjenester innen blant annet energi, transport, helse, vannforsyning, bank, finansiell infrastruktur og digital infrastruktur, samt visse digitale tjenestetilbydere. Kravene handler om forsvarlig sikkerhet og om å varsle alvorlige hendelser.
NIS2 vil, når det innføres, utvide denne kretsen betydelig og skjerpe kravene. For maritim næring betyr det i praksis: forbered dere på dagens digitalsikkerhetslov nå, og bygg dokumentasjonen slik at dere er klare for NIS2 uten å måtte starte på nytt.
Hvem omfattes av NIS2?
NIS2 omfatter virksomheter i utpekte sektorer som er mellomstore eller større, det vil i praksis si fra rundt 50 ansatte eller mer enn 10 millioner euro i omsetning eller balanse. Noen typer virksomheter omfattes uansett størrelse.
Sektorene deles i to vedlegg. Vedlegg I («høy kritikalitet») og vedlegg II («andre kritiske sektorer»). For maritim og kystnær næring er de mest relevante:
- Sjøtransport / vanntransport, vedlegg I (høy kritikalitet). Omfatter passasjer- og godstransport til sjøs og langs kysten.
- Havner og havneanlegg, vedlegg I. Omfatter driftsansvarlige for havner og de som drifter anlegg og utstyr i havnene.
- Digital infrastruktur, vedlegg I.
- Mat, produksjon, foredling og distribusjon, vedlegg II. Sjømatproduksjon og -foredling faller inn under matsektoren (direktivet bruker ordet «mat», ikke «sjømat»).
- Post- og kurértjenester, avfall, kjemikalier, produksjonsindustri, vedlegg II.
Kravene forplanter seg nedover: er dere leverandør til en omfattet virksomhet, vil kunden stille sikkerhetskrav til dere gjennom kontrakt, selv om dere i seg selv er under terskelen. I praksis trekkes mange små og mellomstore leverandører inn på denne måten.
Terskelen bygger på EUs definisjon av små og mellomstore bedrifter (kommisjonsrekommandasjon 2003/361/EF). «Fra ca. 50 ansatte eller over 10 M€» er en forenkling, for virksomheter nær grensen bør den konkrete vurderingen gjøres mot regelverket.
Hva er forskjellen på «vesentlige» og «viktige» virksomheter?
NIS2 deler omfattede virksomheter i to: vesentlige (essential) og viktige (important). Vesentlige er de største virksomhetene i de mest kritiske sektorene og møter strengere tilsyn og høyere bøter; viktige møter mer reaktivt tilsyn og lavere bøtetak.
- Vesentlige virksomheter: typisk store virksomheter (250+ ansatte eller mer enn 50 M€ omsetning) i vedlegg I-sektorer, samt enkelte navngitte virksomheter uansett størrelse. Underlagt proaktivt (ex ante) tilsyn.
- Viktige virksomheter: mellomstore virksomheter i vedlegg I, og alle omfattede virksomheter i vedlegg II. Underlagt reaktivt (ex post) tilsyn, utløst av indikasjoner på brudd.
For et typisk mellomstort rederi, en havn eller en sjømateksportør er «viktig virksomhet» det mest sannsynlige utfallet, men kategorien avgjøres av sektor og størrelse, og bør vurderes konkret.
Hva krever regelverket konkret?
Kjernen er fire ting: dokumentert risikostyring, sikring av leverandørkjeden, rask hendelsesrapportering, og at ledelsen tar ansvar. NIS2 artikkel 21 lister minst ti sikkerhetstiltak virksomheten må ha på plass.
Risikostyring og sikkerhetstiltak (art. 21)
- Retningslinjer for risikoanalyse og informasjonssikkerhet
- Håndtering av hendelser
- Kontinuitet og krisehåndtering (backup, gjenoppretting)
- Sikkerhet i leverandørkjeden
- Sikkerhet ved anskaffelse, utvikling og vedlikehold, inkl. sårbarhetshåndtering
- Rutiner for å måle om tiltakene virker
- Grunnleggende cyberhygiene og opplæring
- Kryptografi og kryptering
- Tilgangsstyring, personellsikkerhet og oversikt over verdier
- Flerfaktor-autentisering og sikret kommunikasjon
Hendelsesrapportering (art. 23)
Ved en alvorlig hendelse gjelder en trinnvis frist: tidlig varsel innen 24 timer, en fyldigere hendelsesmelding innen 72 timer, og en sluttrapport innen én måned. Pågår hendelsen fortsatt etter en måned, leveres en statusrapport, deretter sluttrapport innen én måned etter at den er løst.
Ledelsens ansvar (art. 20)
Ledelsen skal godkjenne sikkerhetstiltakene og føre tilsyn med at de gjennomføres, og ledelsen skal selv gjennomgå opplæring. Ledelsen kan holdes ansvarlig for brudd på styringspliktene. For vesentlige virksomheter åpner direktivet også for at en leder midlertidig kan forbys å utøve lederfunksjoner dersom brudd ikke rettes.
Hvilke sanksjoner og bøter gjelder?
NIS2 setter et felles minimumsnivå for maksimale overtredelsesgebyr: for vesentlige virksomheter minst 10 millioner euro eller 2 % av global årsomsetning, og for viktige virksomheter minst 7 millioner euro eller 1,4 %. Det høyeste beløpet gjelder.
Merk: dette er EU-direktivets minimums-makstall. De konkrete norske bøtenivåene fastsettes i den kommende norske loven og forskriften, og er ennå ikke vedtatt. Ikke legg til grunn EU-tallene som de norske satsene.
Hvem fører tilsyn i Norge?
Under dagens digitalsikkerhetslov er tilsynet sektorbasert: hvert sektordepartement peker ut tilsynsmyndighet for sin sektor, og NSM er nasjonal tilsynsmyndighet for sektorer uten egen utpekt myndighet, samt nasjonalt responsmiljø og kontaktpunkt mot EU/EØS. Sjøfartsdirektoratet har allerede gitt veiledning om hvordan loven treffer maritim sektor. Hvordan tilsynet organiseres under NIS2 er ennå ikke avklart.
Sjekkliste: 10 første steg mot samsvar
Dere trenger ikke ha alt på plass før dere begynner. Disse ti stegene tar dere fra «uvisst» til en dokumentert utgangsposisjon dere kan bygge videre på.
- Avklar om og hvordan dere omfattes, av regelverket direkte, eller via kunder som stiller krav.
- Kartlegg systemer, nettverk og dataflyt, inkludert OT/IoT og fjerntilganger.
- Før et leverandørregister: hvem har tilgang til hva, og hvilke krav stiller dere til dem.
- Gjennomfør en risikovurdering etter NSMs grunnprinsipper, prioritert etter operasjonell konsekvens.
- Etabler et styringssystem for informasjonssikkerhet med en eier i ledelsen.
- Lukk de åpenbare hullene: standardpassord, unødvendige fjerntilganger, flate nettverk, manglende MFA.
- Lag en tiltaksplan med ansvar, frister og prioritering.
- Etabler hendelsesberedskap med maler for 24-timers varsling.
- Sørg for backup og en testet gjenopprettingsrutine.
- Dokumentér alt, med dato, det er dokumentasjonen tilsyn, forsikring og kunder etterspør.
Usikker på om dere omfattes? Vi avklarer det gratis i første samtale.
Ofte stilte spørsmål om NIS2 og digitalsikkerhetsloven
Gjelder NIS2 allerede i Norge?
Nei. Per juli 2026 er NIS2 ennå ikke norsk lov. Det som gjelder i dag er digitalsikkerhetsloven, som gjennomfører det opprinnelige NIS-direktivet og trådte i kraft 1. oktober 2025. NIS2 ventes innført senere gjennom en ny lov, uten bekreftet dato.
Når trer NIS2 i kraft i Norge?
Det er ikke bekreftet. NIS2 må først innlemmes i EØS-avtalen, deretter gjennomføres i norsk lov. En høring er varslet og en ny lov (NIS2 sammen med CER-direktivet) er ventet, men ingen offisiell ikrafttredelsesdato foreligger. Vær skeptisk til kilder som oppgir en eksakt dato.
Omfattes vi hvis vi er under 50 ansatte?
Kanskje. Terskelen er om lag 50 ansatte eller over 10 M€ i omsetning/balanse, men enkelte virksomheter omfattes uansett størrelse. I tillegg forplanter kravene seg gjennom leverandørkjeden: er dere leverandør til en omfattet virksomhet, kan kunden pålegge dere krav uansett egen størrelse.
Er et rederi eller en havn omfattet?
Sjøtransport og havner ligger i NIS2 vedlegg I (høy kritikalitet). Omfattede rederier og havner over terskelen vil typisk være «vesentlige» eller «viktige» virksomheter. Den endelige klassifiseringen avhenger av størrelse og aktivitet og bør vurderes konkret.
Er sjømatprodusenter omfattet?
Matsektoren, produksjon, foredling og distribusjon, ligger i vedlegg II (viktige virksomheter). Sjømatproduksjon og -foredling faller inn under matsektoren. Direktivet bruker begrepet «mat», ikke «sjømat» spesifikt.
Hva er fristen for hendelsesrapportering?
NIS2 setter en trinnvis frist: tidlig varsel innen 24 timer, hendelsesmelding innen 72 timer, og sluttrapport innen én måned. Dagens digitalsikkerhetslov har egne varslingskrav; forberedt beredskap gjør at dere aldri starter på blankt ark under en hendelse.
Kan ledelsen holdes personlig ansvarlig?
NIS2 gjør ledelsen ansvarlig for å godkjenne og følge opp sikkerhetstiltakene, og ledelsen skal selv ha opplæring. Ledelsen kan holdes ansvarlig for brudd på styringspliktene, og for vesentlige virksomheter kan en leder i ytterste konsekvens midlertidig forbys å utøve lederfunksjoner.
Hvor store kan bøtene bli?
NIS2 setter et minimumsnivå for maksimale gebyr: minst 10 M€ eller 2 % av global omsetning for vesentlige virksomheter, og minst 7 M€ eller 1,4 % for viktige. Dette er EU-direktivets tall, de konkrete norske satsene fastsettes i den kommende norske loven.
Hvem fører tilsyn?
Under digitalsikkerhetsloven er tilsynet sektorbasert, med NSM som nasjonal myndighet der ingen sektormyndighet er utpekt, og som nasjonalt responsmiljø. Sjøfartsdirektoratet har gitt veiledning for maritim sektor. Tilsynsmodellen under NIS2 er ennå ikke avklart.
Hva bør vi gjøre nå?
Start med å kartlegge systemer og leverandører, gjennomføre en risikovurdering etter NSMs grunnprinsipper, og bygge dokumentasjonen. Da oppfyller dere dagens digitalsikkerhetslov og står klare for NIS2 uten å måtte gjøre jobben to ganger. Havvakt gjør dette som en løpende tjeneste.