NIS2 og digitalsikkerhetsloven: det norske virksomheter må ha på plass

NIS2 er EUs skjerpede direktiv for digital sikkerhet. Fristen for EU-landene til å innføre reglene var 17. oktober 2024, og i Norge følges utviklingen opp gjennom digitalsikkerhetsloven, som ble vedtatt i 2023. Detaljene i norsk gjennomføring har vært i bevegelse, men retningen er entydig, og den venter ikke på noen.

Hva NIS2 faktisk krever

Kjernen er styring, ikke teknologi. Virksomheter som omfattes, må kunne vise at de har kontroll: risikovurderinger som faktisk gjennomføres, sikkerhetstiltak som faktisk følges, leverandørkjeder som faktisk er vurdert, og ledelse som faktisk er ansvarlig. I tillegg kommer varslingsplikten: alvorlige hendelser skal varsles raskt, med tidlig varsel innen 24 timer og mer utfyllende melding innen 72 timer i direktivets system.

Legg merke til ordet som går igjen: faktisk. En perm med policyer er ikke etterlevelse. Etterlevelse er det som skjer hver dag, og som kan dokumenteres i etterkant.

Kravet er ikke å ha rutiner. Kravet er å kunne bevise at de følges.

Hvorfor dette er vanskelig manuelt

To norske hendelser viser mønsteret. Østre Toten kommune ble i 2021 rammet av et dataangrep der person- og helseopplysninger kom på avveie; Datatilsynet ga fire millioner i gebyr for manglende logging og internkontroll, og oppryddingen kostet over 30 millioner i tillegg. Og da Hydro ble angrepet i 2019, måtte fabrikker verden over drives på penn og papir i månedsvis. Totalkostnaden endte rundt 800 millioner kroner.

I begge tilfeller fantes det folk, kompetanse og vilje. Det som manglet, var systemer som logget kontinuerlig, fanget avvik i tide og kunne dokumentere hva som var gjort. Det er nøyaktig det NIS2-regimet krever, og nøyaktig det som er urimelig å forvente av manuelle rutiner.

Det du bør ha på plass nå

• Oversikt: hvilke systemer, data og leverandører dere er avhengige av, og hvem som eier hva.
• Logging som skjer av seg selv: tilgang, endringer og hendelser, med tidsstempel, uten at noen må huske det.
• Avviksbehandling som lukkes: hvert avvik registrert, fulgt opp og dokumentert, ikke en innboks som gror igjen.
• Varslingsevne: når noe skjer, må dere kunne beskrive hva, når og hvor raskt. Det krever at grunnlaget allerede finnes.

Der automatisering endrer spillet

Alt over er rutinearbeid: repetitivt, tidskritisk og dokumentasjonstungt. Altså nøyaktig det AI-agenter er bygget for. Agentene logger fortløpende, purrer på åpne avvik, varsler ansvarlig og skriver utkastene til meldingene som må sendes. Menneskene vurderer og beslutter. Og når tilsynet spør, ligger revisjonssporet der allerede.

Denne artikkelen er generell informasjon, ikke juridisk rådgivning. Hvilke krav som gjelder for din virksomhet, avhenger av sektor og størrelse. Følg med på oppdateringer fra norske myndigheter, og søk juridisk bistand ved behov.

← Alle artikler