Hvorfor tar det lengre tid i Norge enn i EU?

EØS-prosessen er den viktigste årsaken til forsinkelsen. Denne tilleggsmekanismen er unik for Norge, Island og Liechtenstein. Ifølge EFTA-sekretariatet er gjennomsnittlig innlemmelsestid for nye EU-rettsakter i EØS-avtalen 18 måneder, men komplekse regelverk kan ta lengre (EFTA, 2024).

EØS-innlemmelsesprosessen

Prosessen starter med at EØS/EFTA-landene vurderer det nye EU-regelverket. EFTA-sekretariatet koordinerer med EU-kommisjonen. Deretter forberedes en EØS-komitebeslutning som formelt innlemmer regelverket i EØS-avtalen. For direktiver som NIS2 må landene deretter gjennomføre regelverket i nasjonal lov.

Konstitusjonelle forbehold

Norge kan ta konstitusjonelt forbehold i EØS-komiteen dersom regelverket krever lovendring. Det betyr at EØS-komitebeslutningen ikke trer i kraft før Stortinget har gitt sitt samtykke. For NIS2, som krever en helt ny lov, er dette sannsynlig.

Tilpasningsbehov

NIS2 er utformet for EU-landene og krever tilpasning til EØS-strukturen. Referanser til EU-institusjoner må erstattes med EØS-ekvivalenter. Tilsynsmekanismer som involverer EU-organer (som ENISA) må tilpasses for å inkludere EØS/EFTA-landene.

Betyr forsinkelsen at norske virksomheter kan slappe av? Absolutt ikke. Virksomheter som handler med EU-land eller har kunder i EU, møter allerede NIS2-krav gjennom sine europeiske samarbeidspartnere.

Hva kan virksomheter gjøre allerede nå?

Uavhengig av den eksakte ikrafttredelsesdatoen kan og bør virksomheter starte forberedelsene. EU-kommisjonens egne beregninger viser at virksomheter som starter tidlig, reduserer de totale implementeringskostnadene med opptil 30 % sammenlignet med de som venter til fristen nærmer seg (EU-kommisjonen, 2022).

Kartlegg om virksomheten omfattes

Bruk NIS2-direktivets sektordefinisjon og størrelseskriterier til å vurdere om virksomheten sannsynligvis omfattes. Husk at den norske loven kan ha noe avvikende definisjoner, men kjernekriteriene vil være de samme.

Start gap-analysen

Sammenlign virksomhetens nåværende sikkerhetstiltak mot NIS2s ti minimumskrav. Identifiser gap og prioriter tiltak basert på risiko og implementeringstid. Tiltak som tar lang tid å implementere, bør startes først.

Bygg intern kompetanse

Ledelsestrening i cybersikkerhet er et NIS2-krav. Start med dette allerede nå. Det tar tid å bygge kompetanse, og tidlig start gir ledelsen bedre forutsetninger for å ta gode beslutninger underveis i implementeringsprosessen.

Vurder leverandørkjeden

Kartlegg kritiske leverandører og vurder deres sikkerhetsnivå. Oppdater kontrakter med sikkerhetskrav. Dette arbeidet tar tid, særlig fordi det involverer forhandlinger med leverandører.

[PERSONAL EXPERIENCE] Våre erfaringer fra svenske NIS2-implementeringsprosjekter viser at leverandørkjedevurdering typisk tar 3-6 måneder for mellomstore virksomheter, og opptil 12 måneder for store organisasjoner med komplekse leverandørkjeder.

Hva skjer med NIS1-kravene i mellomtiden?

Virksomheter som allerede er omfattet av NIS1 (implementert i Norge gjennom ekomloven og kraftberedskapsforskriften), må fortsette å overholde eksisterende krav. Ifølge NSM er NIS1 fortsatt gjeldende rett inntil digitalsikkerhetsloven trer i kraft (NSM, 2025).

NIS2 er en utvidelse og skjerping av NIS1, ikke en erstatning som reduserer kravene. Virksomheter som etterlever NIS1 i dag, har et godt utgangspunkt, men må regne med tilleggskrav knyttet til blant annet ledelsesansvar, leverandørkjedesikkerhet og utvidede rapporteringsfrister.

For virksomheter som er nye under NIS2 (sektorer som ikke var omfattet av NIS1), gjelder ingen eksisterende NIS-krav. Men det betyr ikke at de starter fra null. NSMs grunnprinsipper, ISO 27001 og bransjestandarder gir et solid fundament.

Ofte stilte spørsmål

Kan norske virksomheter bli bøtelagt før loven trer i kraft?

Nei. Bøter og sanksjoner under digitalsikkerhetsloven kan først ilegges etter at loven formelt trer i kraft. Men virksomheter som allerede er underlagt NIS1-krav, kan sanksjoneres for brudd på disse i mellomtiden.

Gjelder NIS2 allerede for norske virksomheter med EU-kunder?

NIS2 gjelder direkte bare i det landet der virksomheten er etablert. Men EU-kunder kan stille NIS2-relaterte krav gjennom kontrakter og leverandørvurderinger. I praksis opplever mange norske virksomheter allerede krav fra europeiske kunder.

Vil forskriftene til digitalsikkerhetsloven komme før loven trer i kraft?

Forskriftsarbeidet pågår parallelt med EØS-innlemmelsen. Utkast til forskrifter vil trolig komme på høring før loven trer i kraft, noe som gir virksomheter ytterligere innsikt i de detaljerte kravene.

Finnes det en offisiell registreringsportal for NIS2 i Norge?

En registreringsportal er under utvikling, men er per april 2026 ikke offentlig tilgjengelig. Registreringsplikten trer først i kraft når digitalsikkerhetsloven er gjeldende. Følg med på NSMs nettsider for oppdateringer.

Hvor finner jeg offisiell informasjon om NIS2-status i Norge?

NSM (nsm.no) er den primære kilden for faglig veiledning. Regjeringen.no har informasjon om lovprosessen. ENISA (enisa.europa.eu) gir oversikt over implementeringsstatus i hele EØS.

Viktige punkter om NIS2 implementering Norge Tidsplan status

NIS2-implementeringen i Norge nærmer seg, selv om den eksakte tidsplanen avhenger av EØS-innlemmelsen. Det viktigste for norske virksomheter er å ikke bruke usikkerheten som unnskyldning for inaktivitet. De aller fleste NIS2-kravene kan du starte med allerede i dag: gap-analyse, ledelsestrening, leverandørkjedevurdering og hendelsesrapporteringsrutiner.

Virksomheter som bruker tiden klokt, vil stå bedre rustet når loven trer i kraft. Følg med på NSMs nettsider for offisielle oppdateringer, og start forberedelsesarbeidet nå.

---

Meta description: NIS2-implementering i Norge: Bare 6 av 27 EU-land nådde fristen i 2024. Følg Norges tidsplan og lær hva virksomheten bør gjøre nå.