Cybersikkerhet · NIS1 / NIS2 · Norge
Norge er per juni 2026 regulert av NIS1 — digitalsikkerhetsloven (lov 2023-12-20 nr. 108), i kraft 1. oktober 2025. NIS2-direktivet er ennå ikke innlemmet i EØS-avtalen; ny norsk lov ventes i 2026. NSM er koordinerende tilsynsmyndighet.
Kilder: NSM digitalsikkerhetsloven · NSM ny lov · NIS2 EØS-notat
Gjeldende norsk rett
Digitalsikkerhetsloven (NIS1)
Lov 2023-12-20 nr. 108
I kraft: 1. oktober 2025
Tilsyn: NSM + sektortilsyn
Kommende (under juridisk avklaring)
Ny digitalsikkerhetslov (NIS2)
EØS-innlemmelse pågår
Norsk lov ventes 2026
Tilsyn: NSM + sektortilsyn (utvidet)
Digitalsikkerhetsloven (NIS1) retter seg mot samfunnskritiske tjenester og visse digitale tjenesteleverandører. De fleste AI- og SaaS-leverandører — inkludert HR-tech — er i dag IKKE direkte under loven. Under NIS2 (kommende) er scopet kraftig utvidet. Virksomheter med ≥50 ansatte eller >10M EUR omsetning i berørte sektorer kan komme inn. (Endelig norsk NIS2-scope avhenger av lovbehandling).
NIS2 Artikkel 21 krever at vesentlige/viktige enheter håndterer sikkerhetsrisiko i leverandørkjeden. Store HR-kunder (helseforetak, energiselskaper) kan stille NIS2-inspirerte dokumentasjonskrav til HR-tech-leverandørene sine – selv om leverandøren ikke er direkte under NIS2. God sikkerhetsdokumentasjon er en salgsfremmende faktor.
Risikobaserte sikkerhetstiltak: (a) hendelseshåndteringsplan, (b) kontinuitets- og beredskapsplan, (c) forsyningskjedesikkerhet, (d) sikring av nettverks- og informasjonssystemer, (e) kryptografipolicy, (f) personellsikkerhet og tilgangskontroll, (g) multifaktor-autentisering. Kravene er proporsjonale med risiko og virksomhetsstørrelse.
NSM (Nasjonal sikkerhetsmyndighet) er koordinerende tilsynsmyndighet. NSM leder NCSC-Norge og er nasjonalt kontaktpunkt i EU-samarbeidet (NIS Cooperation Group). Sektortilsyn (Nkom for ekom, NVE for energi, Helsetilsynet m.fl.) fører tilsyn i sine sektorer. NSM-registreringsportal for virksomheter ventes rundt 2026 (estimat).
1) Kartlegg om virksomheten kan falle under NIS2-scope (sektortilhørighet, størrelse). 2) Dokumenter sikkerhetstiltak i tråd med Art. 21 – dette er god praksis uavhengig av om man er direkte underlagt loven. 3) Forbered hendelsesresponsplan med 24t/72t-rapporteringslinje. 4) Sjekk om kunder stiller NIS2-inspirerte leverandørkrav allerede nå. (Søk juridisk rådgivning for endelig scoping under norsk NIS2-lovgivning).
Norske AI- og SaaS-leverandører som selger inn i EU møter gjerne krav fra begge regelverk: EU AI Act (høyrisiko Annex III gjelder i EU) og NIS2 (leverandørkjede-krav fra kunder). PowerQuant leverer compliance-evidens for begge.