Alt du trenger å vite om Digitalsikkerhetsloven

Digitalsikkerhetsloven er Norges første helhetlige lov om digital sikkerhet. Den ble vedtatt i desember 2023 og bygger på NIS-direktivet fra EU (Network and Information Security). Loven trer i kraft 1. oktober 2025.

Hensikten med loven er å styrke motstandsdyktigheten mot cyberangrep og andre digitale hendelser, spesielt i virksomheter som leverer samfunnskritiske eller digitale tjenester.

Kort sagt: Loven stiller krav til hvordan virksomheter organiserer, sikrer og rapporterer om sin digitale sikkerhet.

Hvem omfattes av Digitalsikkerhetsloven?

På et overordnet nivå gjelder loven for to typer virksomheter:

1. Samfunnsviktige virksomheter: innen energi, transport, bank, helse, vannforsyning og digital infrastruktur.
2. Tjenestetilbydere av digitale tjenester: som skytjenester, netthandel og søkemotorer

Når NIS2-direktivet innføres (antageligvis i løpet av det neste året), vil også flere sektorer omfattes, blant annet offentlig forvaltning, avfallshåndtering, post- og leveransetjenester, matproduksjon og produsenter av kritisk teknologi.

Små virksomheter er i utgangspunktet unntatt, men kan likevel omfattes dersom de leverer særlig kritiske tjenester.

Hvilke krav stilles i digitalsikkerhetsloven?

Virksomheter som omfattes må gjøre følgende:

• Gjennomføre risikovurderinger. Dette inkluderer alle digitale systemer og tjenester.
• Iverksette sikkerhetstiltak. Disse må stå i forhold til risikoen, og ta hensyn til både personer, prosesser og teknologi (tenk sikkerhetstrening, rutiner for tilgangsstyring og endepunktsikring).
• Etablere beredskap og hendelseshåndtering. Vit hvem som gjør hva, når, hvor og hvordan. I en beredskapssituasjon må du fordele roller, ansvar, myndighet og oppgaver og utarbeid enkle tiltakskort som effektiviserer hendelseshåndteringen. Sørg for at alle forstår sin egen og andres roller og ansvar ved å regelmessig gjennomføre øvelser som tester beredskaps- og hendelseshåndteringsevnen.
• Varsle myndighetene. Om virksomheten din opplever alvorlige digitale hendelser er det viktig at disse varsles innen fastsatte frister.
• Følge opp leverandører og samarbeidspartnere. Virksomheten din er kun så sikker som sitt svakeste ledd – sørg derfor for å sikre at hele verdikjeden har et tilstrekkelig sikkerhetsnivå, også leverandører du kjøper tjenester fra.

Er du usikker på om du omfattes av Digitalsikkerhetsloven? Da bør du gjøre følgende nå:

• Avklare om du er innenfor lovens virkeområde: sjekk sektor, størrelse og tjenester.
  
  Om du er omfattet, gå videre til neste punkt:
  

• Gjennomføre en gapanalyse: kartlegg dagens sikkerhetsnivå opp mot lovens krav.
• Etabler et styringssystem for sikkerhet: dokumenter policy, rutiner og roller, i første gang og som et minimum de som understøtter virksomhetens viktigste leveransekjeder.
• Sikre hendelseshåndtering og varsling: hvem gjør hva, når, hvor og hvordan? Sørg for klare prosesser og tekniske verktøy for å oppdage og melde fra om hendelser.
• Involver ledelsen: Digitalsikkerhetsloven, og etter hvert NIS2, setter klare krav til styret og toppledelsen, og understreker at de har det overordnede ansvaret for at kravene etterleves.
• Se fremover mot NIS2: forbered dere på at virkeområdet blir bredere og kravene strengere fra 2026.

Hva gjør Advania?

Advania jobber helhetlig med Digitalsikkerhetsloven. Det betyr både at driftstjenestene vi leverer til kundene våre er i henhold til kravene i loven, men også at vi bistår kundene våre med å etterleve kravene.

Trenger du hjelp med aktivitetene i listen over? Ta kontakt med oss, så setter vi opp en uforpliktende prat om hvordan vi kan hjelpe deg med å etterleve kravene.