Bygg sikkerhetskultur med fokus på NIS2

Digitalsikkerhetsloven trådte i kraft 1. oktober 2025 og bygger på EUs NIS1-direktiv. Men skal du bygge en sikkerhetskultur som varer, bør du løfte blikket mot NIS2. Der dagens lov setter minimumskrav, setter NIS2 standarden for hvordan moderne virksomheter bør styre risiko, beredskap og leverandørkjeder.

Av Pål André Låhne, Head of Cyber Security Advisory i NetNordic

---

Hva er NIS2 og hvorfor er det aktuelt?

NIS2 er EUs nye direktiv for digital sikkerhet, som vil erstatte dagens NIS1 – altså det regelverket som ligger til grunn for digitalsikkerhetsloven i Norge. Der NIS1 gjelder et begrenset antall samfunnsviktige virksomheter og leverandørleddet til disse, utvider NIS2 kravene til langt flere sektorer og leverandørkjeder.

Det stilles også tydeligere krav til ledelsesansvar, risikostyring, hendelseshåndtering og rapportering.

Norge er i ferd med å implementere NIS2 i nasjonalt regelverk, og virksomheter som allerede bygger etter disse kravene, vil stå godt rustet når de nye reglene trer i kraft.

Digitalsikkerhetsloven setter retningen, men NIS2 setter standarden for varig sikkerhet.
For virksomheter som nå må oppgradere sitt digitale forsvar, handler det ikke bare om å bli compliant i dag – men om å stå rustet for morgendagens krav.

Her er seks grep som gjør at du både møter lovens krav og bygger et solid fundament for fremtiden:

1. Sett NIS2 som målbilde

Digitalsikkerhetsloven krever handling nå, men NIS2 vil snart utvide og skjerpe kravene ytterligere. I stedet for å bygge midlertidige løsninger, bør du etablere en strategi med NIS2 som målbilde fra start. Det sparer deg for dobbeltarbeid og unødvendige kostnader, samtidig som du får et rammeverk som gir tydelig retning, forankring i ledelsen og vokser med virksomheten – ikke mot den.

2. Gjennomfør en GAP-analyse mot NIS2-kravene

Du kan ikke forbedre det du ikke måler. Start med en helhetlig kartlegging av hvor virksomheten står – juridisk, teknisk og organisatorisk. En grundig GAP-analyse avdekker hva som faktisk mangler og gjør det enklere å prioritere riktig.

En GAP-analyse skaper også engasjement internt, fordi teamet forstår hvorfor endringene er nødvendige – ikke bare hva som må gjøres.

3. Bygg videre på ISO 27001

Har dere allerede ISO 27001, står dere ikke på bar bakke. Mye av grunnmuren er lagt, men ISO alene dekker ikke alle NIS2-kravene. Bruk ISO 27001 som base, og utvid med tiltakene som NIS2 krever. Slik sikrer du sammenheng mellom styringssystem og regelverksoppfyllelse uten dobbeltarbeid.

4. Lukk gapene – med fokus på kritiske tjenester

Når du vet hvor du står, er neste steg å ta det videre med konkrete tiltak. Start med de mest sårbare områdene: kritiske tjenester, leverandørkjeder og eksponerte systemer. Prioriter tiltak som reduserer risiko og styrker driftsevne. Sikkerhet handler ikke om å gjøre alt på én gang – men om å gjøre de riktige tingene i riktig rekkefølge.

5. Etabler rutiner for hendelseshåndtering og rapportering

NIS2 stiller klare krav til hvordan virksomheter skal oppdage, håndtere og rapportere sikkerhetshendelser. Dette må fungere før noe skjer. Bygg tydelige roller, eskaleringsveier og dokumentasjonskrav. Test og tren regelmessig – for en beredskapsplan er verdiløs hvis ingen vet hvordan den skal brukes.

6. Oppdater dokumentasjon og ledelsesstøtte (GRC)

Sikkerhet handler ikke bare om teknologi – det handler like mye om styring, kultur og kontinuerlig forbedring. Sørg for at dokumentasjonen er oppdatert, tilgjengelig og etterprøvbar. Implementer et GRC-system (Governance, Risk, Compliance) som gir ledelsen oversikt, beslutningsstøtte og dokumentert etterlevelse. Et godt GRC-rammeverk gjør det enklere å håndtere risiko, følge opp revisjoner og dokumentere sikkerhetsarbeidet på tvers av virksomheten.

Klar til å ta steget?

NIS2 er ikke bare et regelverk – det er en mulighet til å bygge tryggere og smartere.

Ved å legge lista høyere enn minimumskravene, sikrer du ikke bare compliance, men også konkurransekraft og tillit.

Trenger du en sparringspartner på veien? NetNordic hjelper virksomheter med å navigere fra lovkrav til langsiktig sikkerhet – med mennesker og teknologi i sentrum.

Ta kontakt med oss, så finner vi veien videre sammen.

Les også:

Hva innebærer digitalsikkerhetsloven