NIS2-direktivet: Hva er det og hvem gjelder det for?

Publisert: 4. august 2023

Hva er NIS2?

For å styrke det kollektivt digitale forsvaret av EU- og EØS-landene, vedtok EU i 2016 direktivet om nettverks- og informasjonssikkerhet (NIS), som hadde som mål å styrke EUs kollektive sikkerhet for kritiske infrastrukturer og digitale tjenester. 5. mai 2023 publiserte norske myndigheter utkastet til lov om digital sikkerhet som bygger på kravene stilt i NIS.

Nå står vi ovenfor en utvidelse av NIS-direktivet med implementeringen av NIS2, hvor EU søker å harmonisere cybersikkerhetskravene de stiller til medlemslandene, spesifisere og utvide hvem direktivet skal gjelde for og hvordan direktivet skal håndheves, samt gi regulerende nasjonale myndigheter anledning til å utstede bøter tilsvarende satsene som ble introdusert i GDPR-forordningen.

NIS2 ble formelt godkjent i januar 2023, så forutsatt at NIS2 tas inn i EØS-avtalen vil Norge og norske virksomheter forventes å være innrettet etter direktivet og en oppdatert nasjonal lov som bygger på direktivet innen 18. oktober 2024.

Direktivets formål

Direktivets formål er å skape et høyt felles nivå av sikkerhet på tvers av alle medlemslandene. I tillegg er målet å forbedre beredskapen til virksomheter som er en del av eller leverer tjenester til EUs indre marked, både private og offentlige, og de for de som leverer og støtter kritisk infrastruktur.

Direktivet inneholder også krav til EUs medlemsland og EU-institusjoner på overnasjonalt nivå. Blant annet har European Network and Information Security Agency (ENISA) i oppgave å publisere rammeverk for bruk i produkt-, tjeneste- eller prosess-sertifiseringer. På denne måten skal direktivet støtte et større løft for den kritiske infrastrukturen både i og på tvers av medlemslandene.
 

Skjerpede krav

Direktivet inneholder betydelige skjerpinger av tidligere sikkerhets- og beredskapskrav. Direktivet gir blant annet utvidede krav innen informasjons- og cybersikkerhet, som:

• Involvering av ledelsen i beslutningstaking
• Krav til informasjon og opplæring om informasjonssikkerhet
• Krav til leverandørstyring og verdikjederisiko
• Krav til risikostyring, håndtering og rapportering
• Krav til håndtering av sikkerhetshendelser og rapportering til relevante myndigheter
• Deling av sikkerhets- og trusselinformasjon med relevante myndigheter
• Krav til forretningskontinuitet og krisehåndtering

I tillegg inneholder direktivet krav til tiltak for deling av sikkerhets- og trusselinformasjon. Myndighetene i de enkelte medlemslandene skal sikre en ordning som kan understøtte deling av trusselinformasjon i og mellom relevante sektorer. Å dele denne informasjonen anses som en sentral del av motstandskraft på tvers av sektorer og medlemsland.

Hvem vil omfattes av NIS2-direktivet?

Langt flere bedrifter og organisasjoner vil bli underlagt NIS2 sammenlignet med NIS1. NIS2 skiller mellom to typer kategorier med sektorer som vil bli omfattet:

Essensiell entiteter (leverandører av):

• Energi (olje, elektrisitet, gass, hydrogen)
• Transport (luft, vei, jernbane, maritim)
• Bank
• Infrastruktur for finansielle markeder
• Vann og avløp
• Drikkevann
• Helsetjenester
• Offentlig administrasjon
• Romfart

Viktige entiteter:

• Post og kurer tjenester
• Produksjon og distribusjon av kjemikalier
• Matproduksjon, -prosessering og -distribuering
• Avfallshåndtering
• Digitale tjenestetilbydere
• Forskning
• Produksjon (medisinsk utstyr, elektronikk, maskiner, motorkjøretøy og annen transport)

Virksomheter med mindre enn 50 ansatte og en omsetning på mindre enn 10 millioner euro i årlig global omsetning forventes ikke å være underlagt direktivet, med mindre tjenesten som leveres vurderes av myndighetene til å være av en tilstrekkelig samfunnsmessig viktig art.

Vår anbefaling

Vi anbefaler at du allerede nå undersøker hvilken relevans NIS2 vil ha for akkurat din bedrift eller organisasjon. Utforming, planlegging, gjennomføring og drift av direktivets tiltak for tekniske og organisatoriske virkeområder kan ta tid og kreve involvering av flere av din virksomhets fagområder og ressurser.

Det er betydelige fordeler å hente ved å ligge i forkant med planlegging og igangsetting av eventuelle tiltak, for å sikre at man har avsatt riktig mengde ressurser til bl.a. sikkerhet og risikostyring.