Digitalsikkerhetsloven og digitalsikkerhetsforskriften

Kort oversikt

Digitalsikkerhetsloven og digitalsikkerhetsforskriften trådte i kraft 1. oktober 2025. Regelverket gjennomfører EUs første direktiv om sikkerhet i nettverks- og informasjonssystemer, NIS1, og stiller grunnleggende krav til digital sikkerhet hos nærmere angitte tilbydere av samfunnsviktige og digitale tjenester.

Virksomheter som omfattes, skal arbeide systematisk og risikobasert med sikkerhet, beredskap og hendelseshåndtering. For tilbydere av samfunnsviktige tjenester omfatter dette blant annet dokumentert sikkerhetsstyring, risikovurderinger, organisatoriske, teknologiske, fysiske og personellmessige tiltak, beredskapsplaner og oppfølging av leverandører. Alvorlige hendelser som påvirker tjenesteleveransen betydelig, skal varsles til myndighetene.

Regelverket er ikke KI-spesifikt. Når KI-systemer, skytjenester, automatisert oversettelse eller andre språkverktøy inngår i leveransen av en tjeneste som omfattes, kan de likevel være systemer, avhengigheter eller leverandørtjenester som må inngå i sikkerhetsarbeidet. Bruk av KI utvider ikke i seg selv lovens virkeområde.

Følg med på NIS2: Per 18. juli 2026 er NIS2-direktivet fortsatt under behandling for innlemmelse i EØS-avtalen. Det er ikke satt i kraft i Norge, og det finnes ingen verifisert norsk ikrafttredelsesdato. Inntil videre er det digitalsikkerhetsloven og -forskriften, basert på NIS1, som gjelder i Norge.

Hva regulerer dette

Regelverket skal forebygge, avdekke og motvirke uønskede hendelser i nettverks- og informasjonssystemer som brukes til å levere samfunnsviktige og digitale tjenester.

Forskriften presiserer virkeområdet gjennom kategorier og terskler for tilbydere av samfunnsviktige tjenester. Den fastsetter også nærmere krav til blant annet sikkerhetsstyring, risikovurderinger, sikkerhetstiltak, beredskap, leverandøroppfølging, innmelding og hendelsesvarsling.

Tilbydere av digitale tjenester omfattes av et eget regime for sikkerhet og varsling. Det er derfor viktig å avklare hvilken tilbyderkategori virksomheten tilhører, og ikke legge til grunn at alle krav gjelder likt for begge kategorier.

Hvem berøres

Offentlig sektor

Privat sektor

Hvorfor det har praktisk betydning

Svikt i digitale systemer kan ramme tjenester som helse, vann, energi, transport, finans og digital infrastruktur. Regelverket plasserer ansvaret for digital sikkerhet tydelig hos virksomhetens ledelse og gjør sikkerhetsarbeidet til en del av den ordinære styringen.

For virksomheter som bruker KI, automatisert oversettelse eller andre språkverktøy i en tjeneste som omfattes, må relevante risikoer og avhengigheter vurderes på samme måte som for andre digitale systemer. Det kan blant annet gjelde uautorisert tilgang, datalekkasje, manipulering, utilgjengelighet, mangelfull gjenoppretting og svikt hos en sky- eller systemleverandør.

KI-bruk er likevel bare indirekte relevant: Det avgjørende er om virksomheten og tjenesten omfattes av lovens virkeområde, og om systemet kan påvirke sikkerheten eller leveransen av den aktuelle tjenesten.

Sentrale krav og forpliktelser

Avklar og dokumenter om virksomheten er tilbyder av samfunnsviktige tjenester eller tilbyder av digitale tjenester; virkeområde, terskler og plikter er forskjellige.
Tilbydere av samfunnsviktige tjenester skal melde inn virksomheten og de aktuelle tjenestene til NSM og relevant sektortilsyn så raskt som mulig, og melde fra om endringer.
Tilbydere av samfunnsviktige tjenester skal ha et dokumentert styringssystem for sikkerhet som inngår i virksomhetens samlede styring, er godkjent av virksomhetens leder og gjennomgås minst årlig.
Risikovurderinger av nettverks- og informasjonssystemene som brukes i tjenesteleveransen, skal utarbeides, dokumenteres, vedlikeholdes og oppdateres ved relevante endringer.
Sikkerhetstiltakene skal være hensiktsmessige og proporsjonale med risikoen og omfatte relevante organisatoriske, teknologiske, fysiske og personellmessige forhold.
Tilbydere av samfunnsviktige tjenester skal ha dokumenterte planer for hendelseshåndtering og beredskap og gjennomføre relevante øvelser.
Tilbydere av samfunnsviktige tjenester skal stille nødvendige sikkerhetskrav til leverandører og andre som kan påvirke sikkerheten, gjøre kravene bindende og følge dem opp.
Begge tilbyderkategorier skal uten unødig opphold varsle om hendelser som har betydelig innvirkning på tjenesteleveransen.
For samfunnsviktige tjenester gjelder trinnvise frister: første varsel innen 24 timer, oppdatering innen 72 timer og hendelsesrapport innen én måned.
De trinnvise fristene i digitalsikkerhetsforskriften gjelder ikke på samme måte for tilbydere av digitale tjenester; disse følger lovens krav om varsling uten unødig opphold og de særskilte reglene for digitale tjenester.

Hva virksomheten kan vurdere å dokumentere

Gjennomfør en dokumentert virkeområdeanalyse mot kategoriene, kriteriene, tersklene og unntakene i loven og forskriften.
Kartlegg systemer, dataflyter, driftsmiljøer, leverandører og andre avhengigheter som er nødvendige for å levere den omfattede tjenesten.
Ta med relevante KI-systemer, språkverktøy og skytjenester i risikovurderinger, beredskapsplaner og oversikter over kritiske avhengigheter.
Fordel og dokumenter ansvar for sikkerhetsstyring, risikohåndtering, leverandøroppfølging og hendelsesvarsling.
Still konkrete krav til sikkerhet, varsling, revisjonsmuligheter, kontinuitet, gjenoppretting og avslutning av tjenesten i relevante leverandøravtaler.
Test at virksomheten kan oppdage, vurdere, eskalere og varsle alvorlige hendelser innen de fristene som gjelder for virksomhetens tilbyderkategori.
Samordne hendelsesprosedyrer med eventuelle varslingsplikter etter personvernregelverket, sikkerhetsloven og sektorspesifikke regler.
Følg NIS2-prosessen i EØS og vurder en frivillig gap-analyse, men merk tydelig at NIS2-kravene ennå ikke er gjeldende norsk rett.

Se også i regelverkskartet

Kilder og videre lesning

Lenkene peker til eksterne kilder. Kontroller gjeldende tekst og status for bruk i eget arbeid.

Opplysningene er generell informasjon og ikke juridisk rådgivning. Hvilke krav som gjelder, må vurderes ut fra virksomhetens sektor, rolle, opplysninger og konkrete bruk av teknologi.