Hva er NIS2-
NIS2 er EUs direktiv om tiltak for et høyt felles nivå av cybersikkerhet i hele Unionen. Direktivet er en videreutvikling av den opprinnelige NIS-regelverket fra 2016 og trådte i kraft i januar 2023. Medlemslandene skulle implementere det i nasjonal lovgivning innen oktober 2024. Norge følger regelverket gjennom EØS-avtalen og nasjonale lover, og kravene påvirker derfor mange virksomheter også her.
Hovedformålet med NIS2 er å styrke evnen til å forebygge, oppdage og håndtere digitale angrep. Cyberangrep mot energiforsyning, sykehus, transportnett og digitale tjenester kan få store samfunnskonsekvenser. Derfor stiller direktivet strengere krav til risikostyring, rapportering og ansvar enn tidligere regelverk. Det handler ikke bare om teknologi, men også om ledelse, rutiner, opplæring og leverandørkjeder.
For mange virksomheter er NIS2 noe nytt. Mange har hatt sikkerhetstiltak i mange år, men har sjelden hatt et helhetlig rammeverk som dokumenteres og følges opp systematisk. Nettopp derfor søker stadig flere etter informasjon om hva NIS2 betyr for dem, hvilke krav som gjelder, og hvem som kan hjelpe med å oppfylle dem.
Hvem omfattes av NIS2-
NIS2 gjelder for et bredt spekter av sektorer. Direktivet deler virksomheter inn i to hovedkategorier: væsentlige og viktige enheter. Væsentlige enheter finnes blant annet innen energi, transport, bankvirksomhet, finansmarkedsinfrastruktur, helsetjenester, drikkevannsforsyning, avløpshåndtering, digital infrastruktur og offentlig forvaltning. Viktige enheter omfatter blant annet post- og kurertjenester, avfallshåndtering, produksjon av kjemikalier, mat, medisinsk utstyr, elektronikk, maskiner og digitale leverandører.
Mange som tror at NIS2 ikke gjelder dem, tar feil. Direktivet gjelder også mellomstore og noen små virksomheter, avhengig av sektor og størrelse. I tillegg er mange leverandører til omfattede virksomheter indirekte berørt, fordi hovedvirksomheten krever at leverandørkjeden også oppfyller sikkerhetskrav. Det betyr at selskaper innen IT-drift, konsulenttjenester, skyløsninger og sikkerhetstjenester ofte får henvendelser om dokumentasjon og samarbeid knyttet til NIS2.
Det er derfor lurt å kartlegge om egen virksomhet omfattes, enten direkte eller gjennom kunder og partnere. En grundig vurdering av rolle, sektor og størrelse er et godt utgangspunkt for videre arbeid.
Viktige krav i NIS2
NIS2 stiller flere konkrete krav som virksomheter må etterleve. Det første og kanskje viktigste er risikostyring. Virksomheter må gjennomføre risikovurderinger, identifisere sårbarheter og innføre tiltak som står i forhold til risikoen. Tiltakene skal dekke områder som sikkerhet i informasjonssystemer, håndtering av hendelser, kontinuitet og gjenoppretting etter angrep, sikkerhet i anskaffelser og utvikling, samt bruk av kryptering og autentisering.
Et annet sentralt krav er ansvar for ledelsen. Under NIS2 kan ledere holdes personlig ansvarlige for at risikostyringstiltakene er godkjent og fulgt opp. Ledelsen må også gjennomføre opplæring i cybersikkerhet og sørge for at de ansatte har tilstrekkelig kompetanse. Dette gjør at cybersikkerhet i større grad blir et styrespørsmål og ikke bare et IT-anliggende.
NIS2 innfører også rapporteringsplikt for alvorlige hendelser. Virksomheter må varsle myndighetene innen kort tid etter at en hendelse er oppdaget, med en tidlig varsling etter 24 timer, en mer detaljert rapport etter 72 timer og en sluttrapport senere. Rutiner for dette må være på plass før en hendelse inntreffer.
Leverandørkjeden er et område som får særlig oppmerksomhet. Virksomheter må vurdere sikkerheten hos leverandørene sine, stille krav i avtaler og følge opp at kravene etterleves. Mange virksomheter oppdager at de mangler oversikt over egne leverandører og deres sikkerhetsnivå, og dette er ofte et av de største hullene som må tettes.
Sanksjonene under NIS2 er betydelige. For væsentlige enheter kan bøtene utgjøre opptil 10 millioner euro eller 2 prosent av global omsetning, avhengig av hva som er høyest. For viktige enheter er rammen opptil 7 millioner euro eller 1,4 prosent av omsetningen. I tillegg kan tilsynsmyndigheter pålegge konkrete tiltak og offentliggjøre brudd.
Hvorfor bør du komme i gang nå-
Det kan være fristende å utsette arbeidet med NIS2, særlig når kravene oppleves som komplekse. Men erfaring fra tidligere regelverk viser at de virksomhetene som starter tidlig, får bedre kontroll og lavere kostnader. Å bygge et sikkerhetsrammeverk tar tid. Det krever kartlegging, prioritering, endringer i rutiner, opplæring av ansatte og dokumentasjon som må holdes oppdatert over tid.
I tillegg vil mange kunder og samarbeidspartnere etterspørre dokumentasjon på at leverandørene følger NIS2 eller tilsvarende krav. Virksomheter som kan vise en strukturert tilnærming, får et konkurransefortrinn i anbudsprosesser og i forhandlinger om langsiktige avtaler. Å være tidlig ute kan dermed gi både sikkerhet og forretningsmessige fordeler.
Samtidig er det en fare for å gjøre tiltak i hastverk uten en god plan. Det kan føre til kostbare løsninger som ikke dekker de reelle behovene. En strukturert gjennomgang av status, gap og prioriteringer er derfor ofte den mest effektive veien videre.
Slik finner du riktig leverandør for NIS2-arbeidet
Når virksomheten har bestemt seg for å jobbe systematisk med NIS2, står man ofte overfor et valg om hvem som skal bistå. Behovet kan dekke mange områder: juridisk gjennomgang av plikter, teknisk sikkerhetsvurdering, risikoanalyser, utvikling av rutiner og policyer, opplæring av ledelse og ansatte, implementering av sikkerhetsløsninger og løpende overvåking.
Det er viktig å velge leverandører med relevant kompetanse og erfaring. Se etter dokumenterte referanser fra tilsvarende sektorer, kjennskap til norsk og europeisk regelverk, og evne til å tilpasse tjenestene til virksomhetens størrelse og modenhet. Sertifiseringer innen informasjonssikkerhet, som ISO/IEC 27001, kan også være et godt signal. Husk at riktig leverandør ikke alltid er den største. Ofte er det den som forstår din bransje og kan gi praktiske, gjennomførbare løsninger, som gir mest verdi.
Det er også lurt å sjekke hvordan leverandøren selv håndterer sikkerhet, personvern og taushetsplikt. Siden samarbeidet ofte innebærer innsyn i sensitive systemer og prosesser, er tillit og kvalitet i leveransen avgjørende.
Slik hjelper vi deg med NIS2-oppdraget
Vi formidler oppdrag mellom kunder og leverandører, og vi hjelper deg å finne rett kompetanse for NIS2-arbeidet. Enten du trenger hjelp til en første vurdering av om regelverket gjelder for deg, en fullstendig gap-analyse, implementering av sikkerhetstiltak eller opplæring av ledelsen, kan vi koble deg med leverandører som har riktig erfaring og kapasitet.
Prosessen er enkel. Du beskriver behovet ditt, og vi hjelper deg med å definere omfanget, tidsrammen og budsjettet. Deretter finner vi leverandører som passer til oppdraget, og vi sørger for en effektiv dialog og god oppfølging. Vi tar hensyn til både teknisk kompetanse og praktiske forhold, slik at oppdraget blir gjennomført på en måte som gir reell verdi.
For leverandører betyr det tilgang til kunder som har et konkret behov og et klart oppdrag. For kunder betyr det trygghet for at samarbeidet er godt forberedt og at valget av leverandør er gjort på et kvalitetsmessig grunnlag. Vårt mål er å gjøre veien fra behov til gjennomført oppdrag kortest mulig, uten at det går på bekostning av kvaliteten.
Kom i gang med NIS2 allerede i dag
NIS2 er ikke bare et regelverk som må oppfylles, men også en mulighet til å styrke virksomhetens motstandskraft mot digitale trusler. Med god planlegging, riktig kompetanse og tydelig ansvarsfordeling kan kravene oppfylles på en måte som gir både sikkerhet og forretningsmessig styrke.
Har du spørsmål om NIS2 eller ønsker å finne en leverandør som kan hjelpe deg- Ta kontakt med oss i dag. Beskriv gjerne din situasjon, så finner vi sammen den beste veien videre for din virksomhet.
NIS2 i andre områder
BedriftLink
