Hvorfor valgte Norge å samle direktivene?

Norge har tradisjon for sektorovergripende sikkerhetslovgivning, med sikkerhetsloven fra 2018 som et tydelig eksempel. Regjeringen har uttalt at en samlet lov gir mer konsistent regulering og reduserer byrden for virksomheter som ellers måtte forholde seg til to separate regelverk (Justis- og beredskapsdepartementet, 2024).

Fordeler med sammenslåing

For norske virksomheter er den største fordelen forenkling. I stedet for å gjennomføre to separate risikovurderinger, en for cybertrusler og en for fysiske trusler, kan virksomheten gjøre en helhetlig vurdering. Rapporteringen går til én myndighet, ikke to. Dokumentasjonskravene er samordnet.

Utfordringer med sammenslåing

Den viktigste utfordringen er at norsk lov potensielt stiller høyere krav enn det hvert enkelt direktiv gjør alene. Virksomheter som bare ville vært omfattet av NIS2 i et EU-land, kan i Norge møte tilleggskrav knyttet til fysisk motstandsdyktighet. Det øker etterlevelseskostnaden for noen virksomheter.

En annen utfordring er tolkningsrisiko. Når to EU-direktiv implementeres gjennom ett lovverk, kan det oppstå uklarheter om hvordan spesifikke krav skal forstås i lys av det underliggende direktivet.

Hva betyr det å bli utpekt som kritisk enhet?

Under CER-direktivet skal nasjonale myndigheter identifisere og utpeke kritiske enheter i hver sektor. EU-kommisjonen har estimert at prosessen med å identifisere kritiske enheter kan ta 12-18 måneder etter at direktivet er implementert (EU-kommisjonen, 2023). I Norge vil denne prosessen integreres i digitalsikkerhetslovens rammeverk.

Identifiseringsprosessen

Kritiske enheter identifiseres basert på om de leverer en viktig tjeneste, om det ikke finnes tilstrekkelige alternativer, og om en forstyrrelse av tjenesten ville ha vesentlig innvirkning på samfunnet. Sektormyndighetene gjennomfører vurderingen, med NSM i en koordinerende rolle.

Tilleggskrav for kritiske enheter

Virksomheter som utpekes som kritiske enheter, får tilleggskrav utover de generelle NIS2-kravene. Disse inkluderer mer omfattende risikovurderinger som også dekker fysiske trusler, krav til bakgrunnssjekk av nøkkelpersonell, spesifikke krav til fysisk sikring av kritisk infrastruktur, og planer for å opprettholde tjenesteleveranse under krisesituasjoner.

[PERSONAL EXPERIENCE] I prosjekter med virksomheter som er utpekt som kritisk infrastruktur under sikkerhetsloven, ser vi at det fysiske sikkerhetsarbeidet ofte er mindre modent enn cybersikkerheten. Mange virksomheter har investert betydelig i IT-sikkerhet, men har ikke gjort tilsvarende for fysisk sikring av servere, nettverksutstyr og kontrollsystemer.

Hvordan påvirker CER leverandørkjeden?

CER-direktivet stiller krav til at kritiske enheter vurderer avhengigheter i leverandørkjeden. En rapport fra OECD viser at 62 % av cyberangrep mot kritisk infrastruktur i 2024 involverte en leverandør eller tredjepart (OECD, 2025). Leverandørkjedevurdering er derfor ikke et teoretisk krav, men en praktisk nødvendighet.

Vurdering av avhengigheter

Kritiske enheter må kartlegge hvilke leverandører de er avhengige av for å levere sine viktige tjenester. Det inkluderer ikke bare IT-leverandører, men også leverandører av fysisk infrastruktur, vedlikehold, transport og andre tjenester som er nødvendige for driften.

Krav til leverandører

Virksomheter kan måtte stille sikkerhetskrav til leverandører som går utover det NIS2 alene krever. CER legger til krav om fysisk sikring og motstandsdyktighet som bør gjenspeiles i leverandøravtaler. For leverandører som betjener kritiske enheter, kan dette bety økte krav og kostnader.

Citatkapsel: OECD rapporterer at 62 % av cyberangrep mot kritisk infrastruktur i 2024 involverte en leverandør eller tredjepart, noe som understreker behovet for CER-direktivets krav til leverandørkjedevurdering (OECD, 2025).

Hva bør virksomheter gjøre for å forberede seg?

Bare 18 % av virksomheter i kritiske sektorer har begynt å vurdere fysisk motstandsdyktighet i tillegg til cybersikkerhet, ifølge en rapport fra Deloitte (Deloitte, 2025). Det er et bekymringsfullt lavt tall, gitt at digitalsikkerhetsloven vil kreve begge deler.

Helhetlig risikovurdering

Gjennomfør en risikovurdering som dekker både cybertrusler og fysiske trusler. Vurder naturhendelser, sabotasje, terrorisme og utilsiktede hendelser. Kartlegg avhengigheter mellom fysiske og digitale systemer.

Fysisk sikring

Vurder den fysiske sikringen av kritisk infrastruktur. Det inkluderer tilgangskontroll, overvåking, redundans og beskyttelse mot naturhendelser. For mange virksomheter er dette et mindre modent område enn cybersikkerheten.

Samordnet dokumentasjon

Utnytt fordelen med den norske tilnærmingen ved å etablere samordnet dokumentasjon for både fysisk og digital sikkerhet. En felles risikovurdering, en felles hendelseshåndteringsplan og et felles styringssystem gir bedre oversikt og er enklere å vedlikeholde.

Ofte stilte spørsmål

Er CER relevant for virksomheter som bare er omfattet av NIS2?

Dersom virksomheten ikke er utpekt som kritisk enhet under CER, gjelder bare NIS2-kravene. Men fordi Norge implementerer begge i ett lovverk, kan noen CER-elementer bli integrert i de generelle kravene. Følg med på forskriftene som utarbeides til digitalsikkerhetsloven.

Må vi gjøre to separate risikovurderinger?

Nei, det er hele poenget med den norske tilnærmingen. Gjør en helhetlig risikovurdering som dekker både cyber- og fysiske trusler. Det er både mer effektivt og gir et bedre risikobilde.

Hvem avgjør om virksomheten er en kritisk enhet?

Sektormyndighetene identifiserer og utpeker kritiske enheter basert på kriterier fastsatt i loven og forskriftene. Virksomheter kan ikke selv velge å bli utpekt eller reservere seg mot utpeking.

Gjelder CER-kravene for underleverandører?

CER stiller krav til at kritiske enheter vurderer sine leverandørkjeder, men underleverandører er ikke direkte omfattet av CER. De kan imidlertid møte krav gjennom kontrakter med kritiske enheter som må sikre sin leverandørkjede.

Hva skjer med eksisterende krav i sikkerhetsloven?

Sikkerhetsloven og digitalsikkerhetsloven vil eksistere parallelt. Virksomheter som er underlagt sikkerhetsloven, får et tilleggssett krav gjennom digitalsikkerhetsloven. NSM jobber med å samordne kravene slik at overlappende virksomheter ikke får unødvendig dobbelt byrde.

Viktige punkter om NIS2 CER To direktiv én

Norges beslutning om å samle NIS2 og CER i én lov er pragmatisk og reflekterer en virkelighet der fysiske og digitale trusler i økende grad henger sammen. For virksomheter som ville vært omfattet av begge direktiv, betyr det en enklere hverdag med ett regelverk å forholde seg til.

Det viktigste du kan gjøre nå er å utvide risikovurderingen til å inkludere fysiske trusler, kartlegge fysiske avhengigheter i leverandørkjeden, og etablere samordnet dokumentasjon. Virksomheter som allerede har et godt cybersikkerhetsrammeverk, har et forsprang, men må supplere det med fysisk motstandsdyktighet.

---

Meta description: Norge samler NIS2 og CER i digitalsikkerhetsloven. Over 37 % av Europas kritiske infrastruktur er grensekryssende. Lær hva det betyr.