NIS2: Nytt cybersikkerhetsdirektiv fra EU

NIS2-direktivet, er en oppdatering av det opprinnelige NIS-direktivet (Network and Information Security Directive) fra 2016, som ble vedtatt av EU i november 2022. Direktivet trådte i kraft 18. oktober 2024 i EU, og skal inn i norsk lovverk etter hvert. Målet med direktivet er å styrke cybersikkerheten i medlemslandene.

Hva betyr NIS2?

1. Flere sektorer: NIS2 dekker flere sektorer enn det opprinnelige direktivet. Det inkluderer nå sektorer som energi, transport, helsevesen, digital infrastruktur, offentlig administrasjon, samt visse tjenester innen IKT og forsyningskjeder. Dette betyr at flere typer virksomheter nå må følge kravene.
2. Strengere sikkerhetskrav: NIS2 innfører detaljerte krav til cybersikkerhetstiltak. Dette omfatter blant annet risikostyring, sikkerhetsarkitektur, og beredskapstiltak. Virksomheter må implementere tekniske og organisatoriske tiltak for å håndtere risikoer og minimere innvirkningen av sikkerhetshendelser.
3. Rapporteringsplikt: Virksomheter som omfattes av NIS2 må rapportere cybersikkerhetshendelser innen 24 timer etter at hendelsen er oppdaget. Rapporteringen skal omfatte en innledende vurdering av omfanget og virkningen av hendelsen, og ytterligere rapporter kan kreves etter mer detaljert analyse.
4. Tilsyn og sanksjoner: Direktivet gir nasjonale myndigheter økt tilsynsmyndighet og mulighet til å ilegge strengere sanksjoner ved manglende etterlevelse. Sanksjonene kan inkludere betydelige bøter, og det er forventet at håndhevingen av reglene vil være mer konsekvent på tvers av medlemslandene.
5. Tverrsektoriell samarbeid: NIS 2 oppfordrer til økt samarbeid mellom offentlige og private aktører, samt mellom EU-medlemslandene. Dette inkluderer informasjonsdeling, felles respons på cybersikkerhetstrusler, og utvikling av felles standarder og beste praksis.
6. Forsyningskjede sikkerhet: Direktivet legger stor vekt på sikkerhet i forsyningskjeden. Virksomheter må vurdere sikkerheten til sine leverandører og partnere, og ta hensyn til risikoer som oppstår gjennom eksterne avhengigheter.
7. Krav til styringsstrukturer: NIS2 krever at styrende organer i selskaper har tilstrekkelig kompetanse på cybersikkerhet, og at de tar aktiv del i beslutninger om virksomhetens sikkerhetsstrategi.

Ønsker du hjelp til å komme i gang?

Cato Evensen, Strategisk rådgiver IT-sikkerhet

Send e-post til