Digitalsikkerhetsloven: omfang og varsling
Digitalsikkerhetsloven har gjeldt siden oktober 2025. Kontroller tjenestedefinisjoner, unntak og varslingsregler for riktig tilbyderkategori.
Forsidebildet er en AI-generert redaksjonell illustrasjon. Skjermer og dokumenter er illustrerte konsepter.
Digitalsikkerhetsloven og forskriften trådte i kraft 1. oktober 2025. De gjennomfører NIS1. Arbeidet med norsk gjennomføring av NIS2 er separat. NSM forklarer forskjellen.
Første oppgave er å vurdere om tjenestene virksomheten leverer, omfattes av dagens lov.
Les tjenestedefinisjonene og unntakene
Loven retter seg mot tilbydere av samfunnsviktige tjenester og bestemte digitale tjenester. Bransjenavnet alene avgjør ikke omfanget. Forskriften definerer kategorier og vilkår.
Samfunnsviktige tjenester omfatter bestemte aktiviteter innen blant annet energi, transport, helse og digital infrastruktur. Digitale tjenester omfatter nettbaserte markedsplasser, søkemotorer og skytjenester.
Det finnes unntak for små tilbydere i kategorien digitale tjenester. Ikke anta at alle små skyleverandører er omfattet, eller at alle små tilbydere av samfunnsviktige tjenester er unntatt. Bruk forskriftens bestemmelser om virkeområde, og dokumenter konklusjonen.
Fordel sikkerhetsarbeidet
Kartlegg systemene som trengs for den omfattede tjenesten, risikoen for driften og hvem som eier oppfølgingen. Vedlikehold forholdsmessige tiltak og dokumentasjon som kan brukes ved tilsyn.
Kontroller innmeldingskrav og kontaktopplysninger for riktig kategori. NSMs veiledningsside har informasjon til tilbydere og om innmelding av samfunnsviktige tjenester.
Bruk riktig varslingsfrist
Varsling avhenger av tilbyderkategori og konsekvensene. For samfunnsviktige tjenester har forskriften en seneste frist på 24 timer for første varsel, med videre rapportering. Plikten til å varsle uten unødig opphold gjelder fortsatt.
Ikke kopier tidsplanen automatisk til rutinen for en digital tjeneste. NSMs detaljerte veileder skiller uttrykkelig mellom reglene.
Bruk NSMs varslingsinstruks for terskel, mottaker og innsending. Utpek hovedkontakt og stedfortreder.
Samme hendelse kan utløse plikter etter personvernregler, sektorregler eller avtaler. Sett dem ved siden av hverandre i hendelsesplanen, med egne vilkår og mottakere.
Se også hva NIS2 betyr for norske virksomheter. Dagens plikter er utgangspunktet.
