Vad är Digitalsikkerhetsloven? 🇳🇴 NIS2 i Norge

Lov om digital sikkerhet (digitalsikkerhetsloven) är Norges nationella "DigitalSecurity Act" och landets implementering av NIS2. Den gäller i Norge för leverantörer av samhällsviktiga tjänster inom sektorer som energi, transport, hälsa, vattenförsörjning, bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur, samt vissa leverantörer av digitala tjänster som marknadsplatser på nätet, sökmotorer och molntjänster.

Lagens mål är att fastställa en baslinje för hantering av cyberrisker och incidentrapportering så att kritiska tjänster kan fortsätta att fungera. Lagen träder i kraft den 1 oktober 2025.

Läs också om detta: Vad är NSM:s ICT-säkerhetsprinciper? Norska rekommendationer för cybersäkerhet

Vad kräver digitalsikkerhetsloven?

På en övergripande nivå fastställer lagen tydliga skyldigheter för två grupper: leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster.

• Utföra riskbedömningar för det nätverk och de informationssystem som används för att leverera tjänsten.
• Genomföra lämpliga och proportionerliga tekniska och organisatoriska säkerhetsåtgärder som motsvarar risken, med beaktande av den tekniska utvecklingen.
• Utan onödigt dröjsmål rapportera till den utsedda nationella myndigheten när en incident har en betydande inverkan på tjänsteleveransen.
• Säkerställa kontinuitet genom att förebygga, upptäcka och minska konsekvenserna av incidenter så att tjänsterna kan upprätthållas.
• För leverantörer av digitala tjänster omfattar detta områden som system- och utrustningssäkerhet, incidenthantering, hantering av tjänstekontinuitet, övervakning, revision och testning samt användning av erkända internationella standarder.
• Utse en representant i Norge om du erbjuder digitala tjänster i Norge men är etablerad utanför EES.
• Samarbeta med tillsynen, lämna information och ge tillträde för inspektioner. Bristande efterlevnad kan leda till förelägganden, tvångsböter och administrativa påföljder.

Hur tillhandahåller digitalsikkerhetsloven säkerhet?

Lagen kräver en riskbaserad säkerhetsbaslinje och kontinuerlig förbättring. Den tvingar organisationer att genomföra incidenthantering, kontinuitetsplanering, övervakning, revision och testning samt att anpassa sig till erkända standarder. Den ger också myndigheterna tillsynsbefogenheter och möjlighet att beordra åtgärder och utkräva straffavgifter, vilket driver fram en verklig uppföljning.

Digitalsikkerhetsloven ger flera fördelar när den implementeras:

• Tydlig och praktisk struktur för hantering av cyberrisker och incidenthantering.
• Färre och kortare avbrott för tjänster som kunderna är beroende av.
• Starkare försäkran för partners och tillsynsmyndigheter om att säkerhetskontroller finns på plats.
• Enklare anpassning till internationella standarder som redan används vid revisioner och certifieringar.

Hur lång tid tar det att uppfylla kraven i digitalsikkerhetsloven?

Det beror på din nuvarande mognadsgrad, omfattning och resurser.

• Från låg mognadsgrad: vanligtvis 9-12 månader.
• Med vissa kontroller på plats eller GDPR/ISO-arbete utfört: cirka 4-6 månader.
• Redan ISO 27001-certifierad: många kontroller överensstämmer, räkna med 2-4 månader för att täppa till luckor som rapportering, styrning och sektorsspecifika förfaranden.
• Redan EU NIS2-kompatibel: de flesta kontroller är anpassade, räkna med bara några veckors arbete.

Att använda en specialbyggd plattform som Cyberday kan förkorta dessa tidsfrister genom att ge dig färdiga uppgifter, dokumentation och insamling av bevis.

Vanliga frågor

Är digitalsikkerhetsloven obligatorisk?

Ja, det är en bindande norsk lag för enheter som omfattas av direktivet. Tillsynsmyndigheterna kan beordra rättelser och utfärda sanktioner för bristande efterlevnad.

Varför är digitalsikkerhetsloven viktig?

Den höjer miniminivån för cybersäkerhet inom samhällsviktiga sektorer och viktiga digitala tjänster i Norge. Obligatorisk riskhantering och incidentrapportering gör kritiska tjänster mer motståndskraftiga och förbättrar den nationella tillsynen.

Vem måste följa digitalsikkerhetsloven?

Leverantörer av samhällsviktiga tjänster inom energi, transport, hälsa, vattenförsörjning, bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur samt leverantörer av digitala tjänster som erbjuder marknadsplatser, sökmotorer eller molntjänster i Norge. Enheter utanför EES som erbjuder sådana digitala tjänster i Norge måste utse en lokal representant.

När träder digitalsikkerhetsloven i kraft?

Lagen träder i kraft den 1 oktober 2025, med enskilda bestämmelser som kan träda i kraft vid olika tidpunkter om regeringen så beslutar.

Stöds digitalsikkerhetsloven i Cyberday?

Ja, det gör vi. Cyberday innehåller uppgifter, mallar och insamling av bevis som är kopplade till digitalsikkerhetsloven.