NIS2 for SMB: Gjelder kravene for små bedrifter?
NIS2 for SMB: Gjelder kravene for små bedrifter?
Hovedregelen i NIS2 er klar: virksomheter med under 50 ansatte og under 10 millioner euro i omsetning er unntatt. Men det finnes viktige unntak som gjør at noen SMB-er likevel omfattes direkte. Og et enda større antall vil møte NIS2-krav indirekte gjennom leverandørkjeden.
EU-kommisjonen anslår at 90 % av NIS2-virksomheter er mellomstore eller store selskaper, mens ca. 10 % er SMB-er som faller inn under unntaksbestemmelsene (EU-kommisjonen, 2022). I tillegg vil et ukjent, men sannsynligvis stort, antall SMB-er møte krav indirekte som underleverandører til NIS2-virksomheter.
Nøkkelpunkter
- Hovedregel: virksomheter under 50 ansatte og 10 millioner euro i omsetning er unntatt
- Ca. 10 % av direkte NIS2-virksomheter er SMB-er under unntaksbestemmelser (EU-kommisjonen, 2022)
- DNS-leverandører, TLD-registre, tillitstenester og offentlige ekomtilbydere omfattes uansett størrelse
- Indirekte krav gjennom leverandørkjeden treffer langt flere SMB-er
Hvilke SMB-er er direkte omfattet av NIS2?
NIS2 artikkel 2 fastsetter størrelseskriteriene, men artikkel 2(2) lister flere unntak. Ifølge en analyse fra DIGITALEUROPE er det omtrent 8 000-10 000 SMB-er i EØS som faller inn under unntakene (DIGITALEUROPE, 2024). For norske SMB-er er det viktig å sjekke om din virksomhet er blant dem.
Unntak 1: Spesifikke digitale tjenester
Uavhengig av størrelse omfatter NIS2 leverandører av DNS-tjenester, TLD-registre (f.eks. Norid for .no), leverandører av kvalifiserte tillitstenester (digitale sertifikater, e-signatur), og tilbydere av offentlige elektroniske kommunikasjonsnett.
Et norsk selskap med 10 ansatte som leverer DNS-tjenester, er altså direkte NIS2-virksomhet.
Unntak 2: Eneleverandør i en medlemsstat
Dersom SMB-en er den eneste leverandøren av en tjeneste som er vesentlig for opprettholdelsen av kritisk samfunnsfunksjon, kan sektormyndigheten utpeke den som vesentlig eller viktig enhet.
Unntak 3: Dominoeffekt
Dersom et tjenesteavbrudd hos SMB-en kan ha vesentlig innvirkning på offentlig sikkerhet, offentlig helse eller andre vesentlige enheter, kan den utpekes.
Unntak 4: Offentlig forvaltning
Offentlige virksomheter i NIS2-sektorer omfattes uavhengig av størrelse. Små kommunale enheter eller statlige tilsyn kan dermed være direkte NIS2-virksomheter.
Citatkapsel: Omtrent 10 % av direkte NIS2-virksomheter er SMB-er under unntaksbestemmelsene ifølge EU-kommisjonen, og DIGITALEUROPE anslår at 8 000-10 000 SMB-er i EØS er direkte omfattet (DIGITALEUROPE, 2024).
Trenger dere eksperthjelp med nis2 for smb: gjelder kravene for små bedrifter??
Våre skyarkitekter hjelper dere med nis2 for smb: gjelder kravene for små bedrifter? — fra strategi til implementering. Book et gratis 30-minutters rådgivningssamtale uten forpliktelse.
Hvordan treffer NIS2 SMB-er indirekte?
Selv om din SMB ikke er direkte NIS2-virksomhet, kan kravene treffe deg indirekte. En undersøkelse fra Kaspersky viser at 43 % av cyberangrep retter seg mot SMB-er, ofte som inngangsport til større organisasjoner (Kaspersky, 2024). NIS2-virksomheter er pålagt å sikre sin leverandørkjede, og det inkluderer sine SMB-leverandører.
Leverandørkjekrav fra NIS2-kunder
NIS2-virksomheter må stille sikkerhetskrav til sine leverandører. Hvis du som SMB leverer tjenester til et sykehus, en bank, et energiselskap eller en offentlig virksomhet, vil du trolig møte nye kontraktskrav. Typiske krav inkluderer dokumentert risikovurdering, hendelsesrapportering til kunden, kryptering av data, tilgangskontroll og flerfaktorautentisering, og backup og gjenopprettingsprosedyrer.
Praktisk konsekvens
Du kan miste kontrakter hvis du ikke oppfyller kundenes nye krav. SMB-er som betjener NIS2-sektorer bør forberede seg proaktivt, ikke vente til kundene sender oppdaterte kontrakter.
[UNIQUE INSIGHT] NIS2s indirekte påvirkning på SMB-er er trolig den mest undervurderte konsekvensen av direktivet. Mens direktivet formelt bare gjelder mellomstore og store virksomheter, vil leverandørkjekravene skape en kaskade av sikkerhetskrav nedover i verdikjeden. For SMB-er som leverer IT-tjenester, programvare eller drift til NIS2-sektorer, vil dette bli en konkurransefaktor.
Hva bør SMB-er gjøre selv om de ikke er direkte omfattet?
Uavhengig av NIS2-status viser NorSIS at 47 % av norske SMB-er har opplevd minst én cyberhendelse de siste 12 månedene (NorSIS, 2024). God cybersikkerhet er forretningskritisk uavhengig av regulering.
Grunnleggende tiltak alle SMB-er bør ha
Flerfaktorautentisering på alle kontoer. Regelmessig oppdatering og patching av programvare. Backup med jevnlig testing av gjenoppretting. Opplæring av ansatte i cyberhygiene. Brannmur og antivirus på alle enheter.
Tiltak for SMB-er i NIS2-sektorenes leverandørkjede
I tillegg til grunnleggende tiltak bør disse SMB-ene dokumentere sine sikkerhetstiltak (kundene vil spørre), etablere hendelsesrapporteringsprosess, gjennomføre en enkel risikovurdering, vurdere ISO 27001-sertifisering (gir kundetillit), og ha klare kontaktpunkter for sikkerhetsspørsmål.
NSMs grunnprinsipper for SMB
NSM har utviklet en forenklet versjon av grunnprinsippene tilpasset mindre virksomheter. Start der. Det gir et solid fundament som også vil tilfredsstille de fleste kundekrav.
[PERSONAL EXPERIENCE] I arbeid med SMB-er som leverer til NIS2-sektorer i Skandinavia, ser vi at de som har dokumentert sikkerhetspraksis, vinner kontrakter foran konkurrenter som ikke kan vise det samme. Investering i basale sikkerhetstiltak og dokumentasjon har direkte kommersiell verdi.
Finnes det økonomisk støtte for SMB-er?
EU har anerkjent at NIS2 kan gi uforholdsmessig byrde for SMB-er. Ifølge EU-kommisjonens Digital Europe-program er det avsatt midler til cybersikkerhetsstøtte for SMB-er i EØS (EU-kommisjonen, 2024). I Norge kan Innovasjon Norge og Digitaliseringsdirektoratets programmer være relevante.
EU-programmer
Digital Europe Programme har komponenter rettet mot cybersikkerhet for SMB-er. ENISA tilbyr gratis ressurser og verktøy for SMB-sikkerhet.
Norske programmer
Innovasjon Norge har digitaliserings- og sikkerhetsprogrammer. NorSIS tilbyr gratis veiledning og verktøy for SMB-er. NSMs grunnprinsipper er fritt tilgjengelige.
Bransjeinitiativ
Noen bransjeforeninger utvikler felles sikkerhetstiltak og veiledere for sine medlemmer. Sjekk om din bransjeforening har relevante ressurser.
Ofte stilte spørsmål
Er min enkeltmannsforetak omfattet av NIS2?
Enkeltmannsforetak med under 50 ansatte og under 10 millioner euro i omsetning er i utgangspunktet unntatt, med mindre du leverer en tjeneste som faller inn under unntakene (DNS, tillitstenester, etc.).
Kan kundene kreve NIS2-etterlevelse av meg som SMB?
Kundene kan stille de sikkerhetskravene de ønsker gjennom kontrakter. Mange NIS2-virksomheter vil stille krav som gjenspeiler NIS2-kravene til sine leverandører, uavhengig av leverandørens størrelse.
Er ISO 27001 for dyrt for en SMB?
ISO 27001-sertifisering koster typisk 100 000-300 000 kroner for en SMB, avhengig av størrelse og kompleksitet. For SMB-er som betjener NIS2-sektorer, kan investeringen tjenes inn gjennom beholdte og nye kontrakter.
Hva om jeg vokser over størrelseskriteriene?
Dersom virksomheten passerer 50 ansatte eller 10 millioner euro i omsetning og opererer i en NIS2-sektor, blir den direkte omfattet. Planlegg for dette i forkant.
Kan sektormyndigheten utpeke min SMB som vesentlig?
Ja, dersom virksomheten har en kritisk funksjon som ikke enkelt kan erstattes. Det er sjeldent for SMB-er, men ikke umulig.
Viktige punkter om NIS2 SMB Gjelder kravene små
De fleste SMB-er er formelt unntatt fra NIS2, men virkeligheten er mer nyansert. Noen SMB-er er direkte omfattet gjennom unntaksbestemmelsene. Langt flere vil møte krav indirekte gjennom leverandørkjeden. Og alle SMB-er har nytte av grunnleggende cybersikkerhet, uavhengig av NIS2.
Sjekk om virksomheten faller inn under unntakene. Forbered deg på kundekrav. Implementer grunnleggende tiltak. Det koster lite sammenlignet med en cyberhendelse.
Meta description: 90 % av NIS2-virksomheter er mellomstore eller store. Men 43 % av cyberangrep retter seg mot SMB-er. Lær når og hvordan NIS2 treffer din SMB.
Om forfatteren
Country Manager, Sverige
Johan leder Opsios virksomhet i Sverige og driver AI-innføring, DevOps-transformasjon, sikkerhetsstrategi og skyløsninger for nordiske bedrifter. Med over 12 års erfaring innen skyinfrastruktur har han levert mer enn 200 prosjekter på AWS, Azure og GCP — med spesialisering innen Well-Architected-vurderinger, landingssonedesign og multi-sky-strategi.
Redaksjonelle retningslinjer: Artikkelen er skrevet av en sertifisert fagperson og gjennomgått av vårt ingeniørteam. Vi oppdaterer den når teknologien eller regelverket den omhandler endres; datoene over viser siste oppdatering. Opsio er redaksjonelt uavhengig — vi anbefaler løsninger ut fra tekniske fortrinn, ikke kommersielle relasjoner.