Fra 1. oktober 2025 ble ansvaret for digitalsikkerhet tydeliggjort og skjerpet gjennom den nye digitalsikkerhetsloven. Regelverket stiller nå strengere krav til hvordan virksomheter håndterer digitale trusler.
I en stadig mer uforutsigbar geopolitisk virkelighet og et samfunn som hviler tungt på digitale løsninger, er truslene fra cyberangrep og digital sabotasje mer reelle enn noensinne. Norge møter et nytt og omfattende regelverk som fundamentalt vil endre landskapet for digital sikkerhet: digitalsikkerhetsloven. Denne loven, med tilhørende forskrifter som trådte i kraft 1. oktober 2025 er ikke bare et teknisk anliggende for IT-avdelingen. Den representerer et kritisk lederansvar med potensielt store konsekvenser for virksomheten. Både på direktør- og styrenivå.
En hypotese: mange norske virksomheter er ikke klare for dette regelverket. En «vente og se»-holdning kan bli kostbar og er ikke tilrådelig.
Digitalsikkerhetsloven er Norges gjennomføring av EUs første NIS-direktiv (NIS 1), det første felleseuropeiske regelverket for cybersikkerhet. Den tilhørende digitalsikkerhetsforskriften gjennomfører deler av det etterfølgende NIS 2-direktivet.
Mens NIS 1 fra 2016 la grunnlaget for et felles regelverk om cybersikkerhet i EU, utvidet NIS 2 fra 2022 både omfanget og ansvaret. Flere sektorer og selskaper ble omfattet, kravene til styring og ledelsesforankring ble presisert og skjerpet, og sanksjonene ved manglende etterlevelse ble betydelig strengere.
Hovedformålet er å sikre grunnleggende krav til digital sikkerhet i virksomheter som har særlig betydning for samfunnet. Dette gjøres ved å etablere rammer for å forebygge, avdekke og motvirke hendelser som kan ha stor effekt på kritisk infrastruktur og samfunnsfunksjoner.
Ettersom loven treffer så mange virksomheter, tetter denne for et tidligere fragmentert og sektorielt regelverk i Norge, som hadde klare hull og manglet en helhetlig tilnærming til digital sikkerhet. Med geopolitiske spenninger og den stadig økende trusselen fra cyberkriminalitet og cyberterrorisme, har behovet for et samlet og robust forsvar blitt aktualisert.
Spørsmålet alle ledere, både på direktørnivå og i og styrer, må stille seg er: Er vi omfattet av denne loven? Loven berører sektorer som:
Dette omfatter virksomheter som tilbyr samfunnsviktige tjenester, og den treffer – fra store, nasjonale aktører helt ned til enkelte sensorleverandører.
Kriteriene for å omfattes er blant annet at en tjeneste er viktig for å opprettholde kritiske, samfunnsmessige eller økonomiske aktiviteter, eller at en forstyrrelse av tjenesten kan få betydelige virkninger. Altså:
Det finnes unntak for små virksomheter; for eksempel digitale tjenestetilbydere med færre enn 50 ansatte og en årlig omsetning under 10 millioner euro ikke like hardt truffet, spesielt ikke av varslingsplikten. Husk likevel at dette ikke gjelder alle typer små virksomheter, og det vil kunne være nødvendig med en grundig vurdering.
Hvis virksomheten er omfattet, er det flere nøkkelkrav virksomheten må etterleve:
Brudd på digitalsikkerhetsloven er ikke uten konsekvenser. Loven gir hjemmel for å ilegge overtredelsesgebyrer. Disse gebyrene kan være enten:
Disse sanksjonene fattes administrativt, men kan påklages. En bot på titalls millioner kroner kan ha en lammende effekt på en virksomhet, i tillegg til tap av omdømme og tillit.
Vår generelle vurdering er at norske virksomheter i vekslende grad er modne for dette regelverket. Det kan skyldes en tendens til å «vente og se» eller at «det er lettere å be om tilgivelse enn tillatelse»
Dette er imidlertid strategier som kan få betydelige konsekvenser når det gjelder digital sikkerhet.
Ja, det handler om etterlevelse. Men det handler også om å gjøre virksomheten din tryggere og mer konkurransedyktig.
Bruk loven som en anledning til å bygge noe bedre. Det starter med at du tar ansvar – i dag.
Dette er ikke tiden for å vente. Digitalsikkerhetsloven krever lederskap, strategisk tenkning og konkrete tiltak.