NIS2 og den nederlandske cybersikkerhetsloven: hva organisasjonen din trenger å vite

Av Tom Meevis, advokat hos Law & More

Nettsikkerhet er ikke lenger bare et teknisk spørsmål. Det er også et juridisk og styringsmessig spørsmål som påvirker så å si alle organisasjoner av alle størrelser.

Med det europeiske NIS2-direktivet og den nederlandske cybersikkerhetsloven flyttes ansvaret for digital robusthet sterkt over på styret. Den nederlandske cybersikkerhetsloven trer i kraft 15. august 2026. Bedriftseiere, styremedlemmer og complianceansvarlige må derfor på kort varsel etablere:

• om organisasjonen deres faller inn under virkeområdet til de nye reglene;
• hvilke forpliktelser som følger av dem;
• hvilke tiltak som er nødvendige;
• og hvordan organisasjonen kan oppfylle disse forpliktelsene.

Denne artikkelen beskriver hovedelementene i NIS2 og den nederlandske cybersikkerhetsloven: omfanget, aktsomhetsplikten, varslingsplikten, styrets ansvar, håndheving og tiltakene organisasjoner kan iverksette nå.

Hva er NIS2?

NIS2 er den formelle betegnelsen på direktiv (EU) 2022/2555. Det etterfølger det første europeiske direktivet om nettverks- og informasjonssikkerhet, vanligvis omtalt som NIS1.

Medlemsstatene var pålagt å implementere NIS2 i nasjonal lovgivning innen 17. oktober 2024. Fra 18. oktober 2024 erstattet NIS2 formelt det tidligere direktivet.

Målet er å heve og bedre samkjøre nivået av cyberrobusthet i EU. Dette går langs to hovedlinjer. For det første, et bredere omfang: mange flere organisasjoner faller inn under reglene enn under NIS1. For det andre, skjerpet tilsyn og strengere håndheving, med et bredere verktøysett og tydeligere ansvar for direktører.

Der NIS1 skilte mellom operatører av essensielle tjenester og leverandører av digitale tjenester, jobber NIS2 med essensielle enheter og viktige enheter. Dette skillet er ikke bare terminologisk: det bestemmer blant annet intensiteten i tilsynet og nivået på potensielle bøter.

Hvilke organisasjoner faller inn under NIS2?

NIS2 gjelder for organisasjoner som er aktive i atten utpekte sektorer, delt inn i sektorer med høy kritiskhet og andre kritiske sektorer.

Sektorer med høy kritisk betydning inkluderer energi, transport, bankvirksomhet, finansmarkedsinfrastruktur, helsevesen, drikkevann og avløpsvann, digital infrastruktur, IKT-tjenesteforvaltning for bedriftsbrukere, offentlig forvaltning og romfart.

De andre kritiske sektorene inkluderer post- og budtjenester, avfallshåndtering, kjemikalier, mat, produksjon, digitale leverandører og forskningsinstitusjoner.

Størrelsesterskelen

Innenfor disse sektorene er hovedregelen at en organisasjon faller inn under NIS2 der den kvalifiserer som en mellomstor eller stor bedrift. Kriteriene er minst 50 ansatte, eller en årlig omsetning eller balansesum på over 10 millioner euro.

Det finnes unntak fra denne hovedregelen. Enkelte organisasjoner faller inn under virkeområdet uavhengig av størrelse, fordi tjenestene deres anses som spesielt kritiske:

• leverandører av offentlige elektroniske kommunikasjonsnett og -tjenester;
• leverandører av tillitstjenester;
• leverandører av domenenavnregistreringstjenester;
• register over toppnivådomenenavn;
• offentlige organer.

Fra 15. august 2026 gjelder de nye forpliktelsene for over 8,000 organisasjoner i Nederland. Det er en betydelig utvidelse sammenlignet med antallet som dekkes av den nåværende loven om nettverks- og informasjonssikkerhet.

Organisasjoner som tidligere ikke så på seg selv som en del av en kritisk sektor kan derfor bli fanget opp, inkludert mellomstore produsenter, matprodusenter, forskningsinstitusjoner og leverandører av digitale tjenester. Det er viktig at organisasjonene selv er ansvarlige for å vurdere om de faller inn under virkeområdet. Det vil ikke komme noe brev fra en veileder som forteller dem det.

Aktsomhetsplikten: hvilke tiltak er nødvendige?

Kjernen i NIS2 og den nederlandske cybersikkerhetsloven er aktsomhetsplikten. Essensielle og viktige enheter må iverksette passende og forholdsmessige tekniske, operative og organisatoriske tiltak for å håndtere risikoene for sine nettverk og informasjonssystemer.

Reglene identifiserer hvilke emner policyen uansett må ta for seg:

• risikoanalyse og informasjonssikkerhetspolicy;
• håndtering av hendelser;
• forretningskontinuitet, sikkerhetskopieringshåndtering og katastrofegjenoppretting;
• sikkerhet i forsyningskjeden;
• cyberhygiene og opplæring av ansatte;
• retningslinjer for håndtering av sårbarheter;
• flerfaktorautentisering;
• sikret kommunikasjon;
• kryptografi;
• periodisk vurdering av tiltakenes effektivitet.

Tiltakene må stå i forhold til organisasjonens størrelse og risikoene den faktisk er eksponert for. En mindre viktig enhet trenger derfor ikke å iverksette de samme tiltakene som en stor essensiell enhet i en høyrisikosektor.

Det gjør ikke aktsomhetsplikten valgfri. Organisasjoner må kunne begrunne hvilke risikoer de identifiserte, hvilke tiltak de iverksatte og hvorfor disse tiltakene er passende. Ikke bare tiltakene i seg selv, men også måten de veies, registreres og evalueres med jevne mellomrom, er underlagt tilsyn.

Varslingsplikt etter en hendelse

Ved siden av aktsomhetsplikten pålegger NIS2 en trinnvis varslingsplikt for betydelige hendelser. Der en hendelse har eller kan ha en vesentlig innvirkning på tjenestenes kontinuitet, gjelder følgende frister i hovedtrekk:

• innen 24 timer, et tidlig varsel til det nasjonale teamet for respons på datasikkerhetshendelser eller den kompetente myndigheten;
• innen 72 timer, en formell varsling med en innledende vurdering av alvorlighetsgraden og virkningen;
• senest innen én måned, en sluttrapport som beskriver hendelsen, dens sannsynlige underliggende årsak, tiltakene som er iverksatt og eventuelle grenseoverskridende virkninger.

Disse fristene gjør det nødvendig å etablere klare prosedyrer på forhånd. Organisasjonen må vite når en hendelse er varslingspliktig, hvem som har varslingsmyndighet, hvilken informasjon som må være tilgjengelig, hvem som koordinerer, og hvordan styret og veilederen informeres.

En organisasjon som bare prøver å etablere en varslingsprosess under en hendelse, løper en betydelig risiko for ikke å kunne rapportere i tide eller fullstendig.

Styrets ansvar

Et viktig element i NIS2 er at ansvaret for å håndtere cyberrisiko uttrykkelig ligger hos styret. Styret må godkjenne sikkerhetstiltakene, føre tilsyn med implementeringen av dem, kunne vurdere organisasjonens cyberrisikoer og selv gjennomgå tilstrekkelig opplæring.

Nettsikkerhet kan derfor ikke lenger behandles som IT-avdelingens eget ansvar. Det er et styringstema som må være en del av den vanlige beslutningstakingen og risikostyringen.

Direktivet tar også uttrykkelig for seg det personlige ansvaret til toppledelsen dersom organisasjonen ikke overholder regelverket. Registrer styrets involvering deretter, for eksempel ved å dokumentere gjennomført opplæring, styrevedtak, godkjent policy, risikovurderinger, rapportering og tilsyn med implementeringen.

Den nederlandske implementeringen

Den nederlandske implementeringen av NIS2 har blitt betydelig forsinket. Fristen for implementering 17. oktober 2024 ble ikke overholdt.

Den 8. juli 2026 besluttet Europakommisjonen å anke Nederland, sammen med Irland, Spania og Frankrike, til EU-domstolen for manglende melding om gjennomføringstiltak. Nederland var dermed blant EUs fire etterslep.

Timingen er slående. En dag tidligere, 7. juli 2026, hadde Senatet godkjent cybersikkerhetsloven og loven om motstandskraft mot kritiske enheter. Hvorvidt det faktum at loven ble vedtatt før henvisningen ble sendt påvirker utfallet av saken, gjenstår å se; det er opp til retten å avgjøre.

Begge lovene trer i kraft 15. august 2026. Cybersikkerhetsloven implementerer NIS2-direktivet; loven om robusthet for kritiske enheter implementerer det europeiske CER-direktivet, som tar sikte på robusthet i kritisk infrastruktur. Organisasjoner som omfattes av sistnevnte vil formelt bli utpekt som kritiske enheter fra 15. august 2026.

Ved ikrafttredelsen opphører den nåværende loven om nettverks- og informasjonssikkerhet (Wbni). For organisasjoner som allerede er omfattet av den, betyr dette strengere forpliktelser; for organisasjoner som faller inn under virkeområdet for første gang, et helt nytt regime.

Registrering hos NCSC

En viktig ny forpliktelse er registrering hos Nasjonalt senter for cybersikkerhet. Essensielle og viktige enheter må registreres i det nasjonale enhetsregisteret. Registreringen er obligatorisk fra 15. august 2026 og går gjennom MijnNCSC-portalen, med eHerkenning for vanlige organisasjoner og SSOnRijk for offentlige organer. Endringer i de registrerte dataene må rapporteres innen fjorten dager.

Registrering er ikke bare en administrativ formalitet. Når organisasjoner er registrert, kan de koble seg til tjenestene til sin CSIRT, som tilbyr produkter og tjenester for å øke motstandskraften samt støtte i tilfelle en hendelse. Forbered registreringen i god tid, slik at implementeringen ikke starter først etter ikrafttredelsen.

Tilsyn og håndheving

Cybersikkerhetsloven legger opp til et differensiert tilsynsregime. Viktige enheter er underlagt proaktivt tilsyn: tilsynsmyndigheten kan kontrollere kontinuerlig og på eget initiativ, uten noen spesifikk hendelse eller signal. Viktige enheter er underlagt reaktivt tilsyn, der tilsynsmyndigheten i prinsippet handler som svar på en hendelse, en klage eller et annet konkret signal.

Tilsynet er fordelt på flere myndigheter. Fra 15. august 2026 fører den nederlandske myndigheten for digital infrastruktur tilsyn med organisasjoner i ni sektorer; andre veiledere er utpekt for andre sektorer. Finn ut hvilken veileder som er kompetent for din organisasjon.

Verktøysettet for håndheving er bredt og inkluderer:

• en sikkerhetsskanning eller sikkerhetsrevisjon;
• en bindende instruks;
• en administrativ tvangsfullbyrdelsesordre eller en ordre om tvangsfullbyrdelse;
• publisering av et brudd på loven;
• en administrativ bot;
• for viktige enheter: suspensjon av en sertifisering, en autorisasjon eller et styremedlem.

For viktige enheter er den maksimale boten minst 10 millioner euro eller 2 % av den totale globale årlige omsetningen, avhengig av hva som er høyest. For viktige enheter er den minst 7 millioner euro eller 1.4 % av den globale årlige omsetningen, igjen avhengig av hva som er høyest. Det endelige nivået avhenger av omstendighetene i saken, inkludert overtredelsens art, alvorlighetsgrad og varighet, graden av skyld og de iverksatte tiltakene.

Hva kan organisasjonen din gjøre nå?

• Gjennomfør en selvvurdering. Fastslå om organisasjonen er aktiv i en angitt sektor og oppfyller størrelsesgrensen.
• Bestem riktig kategori. Avgjør om organisasjonen kvalifiserer som en essensiell eller en viktig enhet, og hvilken veileder som er kompetent.
• Forbered registreringen. Samle inn dataene som trengs for registrering hos NCSC via MijnNCSC.
• Test tiltakene for aktsomhetsplikt. Vurder eksisterende tiltak for risikoanalyse, hendelsesrespons, forretningskontinuitet, sikkerhet i forsyningskjeden, cyberhygiene, sårbarheter, flerfaktorautentisering og kryptografi.
• Sett opp varslingsprosessen. Registrer hvem som vurderer om en hendelse er varslingspliktig, hvem som varsler, og hvordan fristene på 24 timer, 72 timer og én måned overholdes.
• Involver styret på en påviselig måte. Registrer hvilke beslutninger styret har tatt, hvilken opplæring som er gjennomført og hvordan det utøves tilsyn med implementeringen.
• Inkluder forsyningskjeden. En stor andel av sårbarheter oppstår ikke i selve organisasjonen, men hos leverandører og tjenesteleverandører. Gjennomgå kontraktene dine om sikkerhetsordninger, varslingsplikter og revisjonsrettigheter.

Avslutning

Cybersikkerhetsloven og loven om motstandskraft mot kritiske enheter representerer en betydelig skjerping av forpliktelsene til cybersikkerhet. Et bredere virkeområde, konkrete aktsomhetstiltak, stramme varslingsfrister, personlig ansvar for styremedlemmer og et omfattende verktøysett for håndheving betyr at organisasjoner ikke kan legge dette temaet til side. Med ikrafttredelse 15. august 2026 er forberedelsestiden kort.

Law & More bistår bedrifter, styremedlemmer og complianceansvarlige med å bestemme sin posisjon under NIS2 og den nederlandske cybersikkerhetsloven, etablere og teste aktsomhetstiltak, forberede registreringen hos NCSC og forankre cybersikkerhetspolicyen juridisk.

Ønsker du å få din organisasjons posisjon under de nye reglene vurdert? Ta gjerne kontakt med oss ​​for en uforpliktende prat.

Ofte stilte spørsmål

Nedenfor svarer vi på spørsmålene vi oftest får om dette emnet.

Når trer den nederlandske cybersikkerhetsloven i kraft?

15. august 2026 godkjente Senatet cybersikkerhetsloven og loven om motstandskraft mot kritiske enheter 7. juli 2026. Ved ikrafttredelsen bortfaller den nåværende lov om nettverks- og informasjonssikkerhet (Wbni).

Faller organisasjonen min inn under NIS2?

Det avhenger av sektoren din og størrelsen din. NIS2 dekker atten angitte sektorer, og innenfor disse sektorene, som hovedregel organisasjoner med minst 50 ansatte eller en årlig omsetning eller balansesum på over 10 millioner euro. Enkelte parter er dekket uavhengig av størrelse.

Vil jeg bli varslet hvis organisasjonen min er omfattet av loven?

Nei. Organisasjoner er selv ansvarlige for å vurdere om de faller inn under cybersikkerhetsloven. Venting risikerer at forpliktelser gjelder før vurderingen er foretatt.

Hva er forskjellen mellom en essensiell og en viktig enhet?

Den bestemmer intensiteten av tilsynet og nivået på potensielle bøter. Essensielle enheter er underlagt proaktivt tilsyn, der tilsynsførende kan kontrollere på eget initiativ. Viktige enheter er underlagt reaktivt tilsyn, foranlediget av en hendelse, klage eller annet signal.

Hva innebærer omsorgsplikten?

Iverksette passende og forholdsmessige tekniske, operative og organisatoriske tiltak for å håndtere risikoene for nettverket og informasjonssystemene dine, som dekker saker som risikoanalyse, hendelseshåndtering, forretningskontinuitet, sikkerhet i forsyningskjeden, cyberhygiene, sårbarheter, flerfaktorautentisering og kryptografi. Du må kunne begrunne hvorfor de valgte tiltakene er passende.

Hvilke varslingsfrister gjelder etter en hendelse?

En tidlig advarsel innen 24 timer, en formell varsling innen 72 timer med en innledende vurdering av alvorlighetsgrad og konsekvens, og en endelig rapport senest innen én måned. Sett opp varslingsprosessen på forhånd.

Må organisasjonen min registrere seg?

Ja. Registrering i det nasjonale enhetsregisteret er obligatorisk fra 15. august 2026 og skjer via MijnNCSC, ved hjelp av eHerkenning eller, for offentlige organer, SSOnRijk. Endringer må rapporteres innen fjorten dager. Når du er registrert, kan du koble deg til CSIRT-tjenestene dine.

Hvilket ansvar ligger hos styret?

Styret må godkjenne sikkerhetstiltakene, føre tilsyn med implementeringen av dem, kunne vurdere cyberrisikoer og selv gjennomgå opplæring. Direktivet omhandler toppledelsens personlige ansvar for manglende overholdelse, så registrer beslutninger, opplæring og tilsyn påviselig.

Hvor høye er bøtene?

For essensielle enheter minst 10 millioner euro eller 2 % av den globale årlige omsetningen; for viktige enheter minst 7 millioner euro eller 1.4 %, avhengig av hva som er høyest i hvert tilfelle. Det endelige nivået avhenger av faktorer som overtredelsens art, alvorlighetsgrad og varighet, samt graden av skyld.

Hvem fører tilsyn med etterlevelse?

Det varierer fra sektor til sektor. Fra 15. august 2026 fører den nederlandske myndigheten for digital infrastruktur tilsyn med organisasjoner i ni sektorer; andre veiledere er utpekt for andre sektorer. Finn ut hvilken veileder som er kompetent for din organisasjon.

Hvorfor har Nederland blitt anked til EU-domstolen?

For sen implementering av NIS2. Den 8. juli 2026 besluttet EU-kommisjonen å anke Nederland, sammen med Irland, Spania og Frankrike, til EU-domstolen for manglende melding om implementeringstiltak. Det faktum at cybersikkerhetsloven ble vedtatt én dag tidligere, avslutter ikke i seg selv denne saksgangen.

Gjelder dette også mine leverandører?

Sikkerhet i forsyningskjeden er et av temaene knyttet til aktsomhetsplikt. En stor andel av sårbarheter oppstår hos leverandører og tjenesteleverandører. Gjennomgå kontraktene dine om sikkerhetsordninger, varslingsplikter og revisjonsrettigheter.