NIS2 sjekkliste for norske bedrifter: Komplett oversikt

Steg 2: Forankring i ledelsen

Ledelsesansvar er ikke et valgfritt tillegg under NIS2. Det er et lovkrav. En undersøkelse fra Gartner viser at 45 % av styrer i virksomheter med over 1 000 ansatte vil ha en dedikert cybersikkerhetskomite innen 2026 (Gartner, 2024). For NIS2-virksomheter er dette ikke bare en trend, det er en nødvendighet.

Sjekkliste: Ledelsesforankring

• [ ] Styret er informert om NIS2-kravene og virksomhetens forpliktelser
• [ ] Daglig leder har akseptert det personlige ansvaret for cybersikkerhet
• [ ] Det er avsatt budsjett og ressurser til NIS2-etterlevelse
• [ ] Ledelsen har gjennomgått eller planlagt cybersikkerhetstrening
• [ ] Cybersikkerhet er et fast punkt på styrets agenda

Steg 3: Gjennomfør gap-analyse

Gap-analysen er selve motoren i implementeringsprosjektet. Den viser hvor virksomheten står i dag og hva som mangler for å oppfylle NIS2-kravene.

Sjekkliste: Gap-analyse

• [ ] Kartlagt eksisterende sikkerhetstiltak mot NIS2 artikkel 21s ti minimumskrav
• [ ] Identifisert gap mellom nåsituasjon og krav
• [ ] Prioritert gap basert på risiko og implementeringstid
• [ ] Utarbeidet handlingsplan med ansvarlige, frister og budsjett
• [ ] Vurdert ekstern bistand for uavhengig vurdering

De ti minimumskravene i NIS2 artikkel 21 dekker risikoanalyse og sikkerhetspolicy, hendelseshåndtering, driftskontinuitet og krisestyring, leverandørkjedesikkerhet, sikkerhet ved anskaffelse og utvikling av systemer, vurdering av sikkerhetstiltakenes effektivitet, grunnleggende cyberhygienepraksis og opplæring, kryptografi og kryptering, tilgangskontroll og identitetshåndtering, og flerfaktorautentisering og sikker kommunikasjon.

Steg 4: Etabler risikostyring

Systematisk risikostyring er selve fundamentet i NIS2. Ifølge en undersøkelse fra BSI Group gjennomfører bare 38 % av europeiske virksomheter regelmessige cybersikkerhets-risikovurderinger som dekker hele virksomheten (BSI Group, 2024).

Sjekkliste: Risikostyring

• [ ] Risikovurderingsmetodikk er etablert og dokumentert
• [ ] Risikovurdering dekker alle kritiske systemer og prosesser
• [ ] Risikovurdering inkluderer leverandørkjeden
• [ ] Risikoeiere er utpekt for alle identifiserte risikoer
• [ ] Risikovurderingen oppdateres minimum årlig eller ved vesentlige endringer
• [ ] Akseptert restrisiko er godkjent av ledelsen

Steg 5: Sett opp hendelsesrapportering

NIS2s rapporteringskrav er blant de mest konkrete i direktivet: 24 timer for tidligvarsel, 72 timer for oppdatert rapport, og 30 dager for sluttrapport.

Sjekkliste: Hendelseshåndtering og rapportering

• [ ] Hendelseshåndteringsprosess er dokumentert og testet
• [ ] Kriterier for hva som utgjør en rapporteringspliktig hendelse er definert
• [ ] Rapporteringsrutiner for 24-timers varsel er etablert
• [ ] Kontaktperson for rapportering til sektormyndighet er utpekt
• [ ] Dobbel rapporteringsplikt (NIS2 + GDPR) er håndtert i prosessen
• [ ] Hendelsesøvelse er gjennomført eller planlagt

[PERSONAL EXPERIENCE] Den vanligste feilen vi ser er at virksomheter har hendelseshåndteringsprosesser som fungerer teknisk, men som ikke er koblet til rapporteringsrutinene mot myndigheter. Test hele kjeden fra deteksjon til rapportering, ikke bare den tekniske responsen.

Steg 6: Sikre leverandørkjeden

Leverandørkjedesikkerhet er et av de mest krevende NIS2-kravene. En rapport fra ENISA viser at leverandørkjedeangrep økte med 26 % fra 2023 til 2024 (ENISA, 2024).

Sjekkliste: Leverandørkjede

• [ ] Kritiske leverandører er kartlagt og prioritert
• [ ] Sikkerhetskrav er inkludert i leverandøravtaler
• [ ] Leverandørvurderinger er gjennomført for kritiske leverandører
• [ ] Prosess for løpende overvåking av leverandørsikkerhet er etablert
• [ ] Beredskapsplaner for leverandørsvikt er utarbeidet
• [ ] Krav til underleverandører er adressert i kontrakter

Steg 7: Implementer tekniske tiltak

De tekniske tiltakene dekker det mest konkrete i NIS2-kravene. Mange virksomheter har allerede mye på plass, men det kan være gap i spesifikke områder.

Sjekkliste: Tekniske sikkerhetstiltak

• [ ] Flerfaktorautentisering er implementert for alle privilegerte tilganger
• [ ] Kryptering av data i transit og i ro er implementert der relevant
• [ ] Tilgangskontroll følger minste-privilegium-prinsippet
• [ ] Sårbarhetshåndtering med regelmessig patching er etablert
• [ ] Nettverkssegmentering er implementert for kritiske systemer
• [ ] Logging og overvåking dekker kritiske systemer og hendelser
• [ ] Backup og gjenopprettingsprosedyrer er testet

Steg 8: Opplæring og cyberhygiene

NIS2 krever at alle ansatte, ikke bare IT-avdelingen, har grunnleggende kunnskap om cybersikkerhet. Ledelsen skal ha obligatorisk trening.

Sjekkliste: Opplæring

• [ ] Ledelsen har gjennomgått cybersikkerhetstrening
• [ ] Alle ansatte har gjennomgått grunnleggende cyberhygienetrening
• [ ] Phishing-simuleringer gjennomføres regelmessig
• [ ] Opplæring repeteres minimum årlig
• [ ] Opplæringen er dokumentert og sporbar

Steg 9: Driftskontinuitet og krisestyring

Virksomheten skal kunne opprettholde eller raskt gjenopprette kritiske tjenester etter en hendelse.

Sjekkliste: Kontinuitet

• [ ] Business continuity-plan (BCP) er utarbeidet og oppdatert
• [ ] Disaster recovery-plan (DRP) er dokumentert og testet
• [ ] Krisekommunikasjonsplan finnes (internt og eksternt)
• [ ] Backup-strategi dekker kritiske systemer med definerte RPO og RTO
• [ ] BCP/DRP-øvelse er gjennomført eller planlagt inneværende år

Steg 10: Registrering og dokumentasjon

Siste steg er å sikre at virksomheten er formelt registrert og at all dokumentasjon er komplett.

Sjekkliste: Formalia

• [ ] Virksomheten har vurdert sin klassifisering (vesentlig vs viktig enhet)
• [ ] Registrering hos sektormyndighet er gjennomført (når portalen åpner)
• [ ] All sikkerhetsdokumentasjon er samlet og tilgjengelig
• [ ] Intern revisjon av NIS2-etterlevelse er gjennomført
• [ ] Ledelsen har godkjent den samlede sikkerhetspolicyen

[ORIGINAL DATA] Basert på våre implementeringsprosjekter tar en full NIS2-implementering typisk 6-12 måneder for virksomheter med eksisterende ISMS, og 12-18 måneder for virksomheter som starter fra bunnen.

Ofte stilte spørsmål

Kan vi bruke ISO 27001 som utgangspunkt for NIS2-etterlevelse?

Ja, ISO 27001 dekker omtrent 70 % av NIS2-kravene. De viktigste gapene er typisk leverandørkjedesikkerhet, spesifikke hendelsesrapporteringsfrister, ledelsesansvar og opplæringskrav. En gap-analyse som sammenligner ISO 27001-kontroller mot NIS2 artikkel 21 er et godt utgangspunkt.

Hvor lang tid tar en NIS2-implementering?

Det avhenger av modenheten. Virksomheter med etablert ISMS bruker typisk 6-12 måneder. Uten eksisterende rammeverk bør du beregne 12-18 måneder. Start med tiltak som har lang implementeringstid, som leverandørkjedevurdering og kulturendring.

Trenger vi ekstern revisjon for NIS2?

NIS2 krever ikke formell sertifisering, men tilsynsmyndighetene kan gjennomføre revisjoner. Intern revisjon er en god praksis for å identifisere gap før tilsynsmyndigheten gjør det. Ekstern revisjon kan gi ytterligere trygghet.

Hva bør vi prioritere først?

Start med ledelsesforankring og gap-analyse. Disse er forutsetninger for alt annet. Deretter prioriter hendelsesrapportering (kort implementeringstid, høy risiko ved manglende etterlevelse) og leverandørkjedesikkerhet (lang implementeringstid).

Finnes det en offisiell NIS2-sjekkliste fra norske myndigheter?

NSM har publisert grunnprinsipper for IKT-sikkerhet som overlapper med NIS2-kravene. En offisiell NIS2-sjekkliste tilpasset digitalsikkerhetsloven er forventet når forskriftene er ferdigstilt.

Viktige punkter om NIS2 sjekkliste norske bedrifter Komplett

Denne sjekklisten gir en strukturert vei gjennom NIS2-kravene. Det viktigste er å starte. Ingen virksomhet trenger å løse alt på en gang. Prioriter basert på risiko og implementeringstid, forankre arbeidet i ledelsen, og bruk sjekklisten som et levende dokument som oppdateres etter hvert som virksomheten modnes.

De tre viktigste grepene å ta nå: avklar om virksomheten er omfattet, gjennomfør gap-analysen, og forankre budsjett og ansvar i styret. Alt annet bygger på disse tre grunnsteinene.

---

Meta description: NIS2-sjekkliste for norske bedrifter: 10 steg fra gap-analyse til registrering. 70 % av kravene dekkes av eksisterende ISMS ifølge EU-kommisjonen.