NIS2 og cybersikkerhetsloven: hva krever den av deg?

Den nederlandske implementeringen av NIS2-direktivet, cybersikkerhetsloven ( Cyberbeveiligingswet , Cbw), har vært i kraft siden 15. august 2026. Den erstatter den tidligere loven om nettverks- og informasjonssikkerhet ( Wet beveiliging netwerk- en informatiesystemen , Wbni) og gjelder for organisasjoner som er utpekt som essensielle eller viktige enheter på tvers av atten sektorer, inkludert energi, drikkevann, digital infrastruktur, helsevesen, transport, offentlig forvaltning, produksjon, avfall og posttjenester. Den når ut til mer enn 8,000 organisasjoner i Nederland.

Tre forpliktelser definerer det. Den første er en aktsomhetsplikt ( zorgplicht ): en enhet innenfor virkeområdet må iverksette passende og forholdsmessige tekniske, operative og organisatoriske tiltak for å håndtere risikoene for sine nettverks- og informasjonssystemer, og for å begrense konsekvensene av hendelser. Den andre er en rapporteringsplikt ( meldplicht ): en betydelig hendelse må varsles til det kompetente teamet for respons på datasikkerhetshendelser og til sektorlederen innen de lovbestemte periodene, startende med et tidlig varsel innen tjuefire timer, et fullstendig varsel innen syttito timer og en endelig rapport innen en måned. Den tredje er registrering ( registratieplicht ) hos Nasjonalt senter for cybersikkerhet (NCSC).

Det som skiller NIS2 fra tidligere nettsikkerhetsforskrifter er hvor ansvaret ligger. Ledelsesorganer må godkjenne risikostyringstiltakene og føre tilsyn med implementeringen av dem, de kan holdes ansvarlige for feil, og de er pålagt å følge opplæring. Aktsomhetsplikten omfatter også forsyningskjeden, noe som betyr at den må implementeres gjennom kontrakter med leverandører og tjenesteleverandører.

Gjelder NIS2 for din organisasjon?

NIS2 gjelder hvis organisasjonen din opererer i en av de atten listede sektorene og oppfyller størrelsesgrensen, eller hvis den tilhører en kategori som er dekket uavhengig av størrelse. Cybersikkerhetsloven har gjeldt siden 15. august 2026, og det er ingen generell overgangsperiode: forpliktelsene gjelder nå.

Nederland implementerte direktivet senere enn den europeiske fristen. Mange eldre artikler refererer fortsatt til «en frist i 2025». Den datoen er ikke lenger relevant. Det som er viktig er at de nederlandske reglene er i kraft og at tilsynsmyndighetene kan håndheve dem.

Hvilke sektorer og organisasjoner er omfattet?

Loven dekker atten sektorer, oppført i to vedlegg. Det første vedlegget inneholder sektorer med høy kritisk betydning, som energi, transport, bankvirksomhet, finansmarkedsinfrastruktur, helsevesen, drikkevann, avløpsvann, digital infrastruktur, offentlig forvaltning og romfart. Det andre vedlegget inneholder andre kritiske sektorer, som post- og budtjenester, avfallshåndtering, kjemikalier, mat, produksjon, digitale leverandører og forskning.

Innenfor disse sektorene avgjør størrelsen om du er dekket. I følge NCSC faller organisasjonen din inn under virkeområdet hvis den oppfyller minst ett av disse kriteriene:

• Staffden sysselsetter 50 eller flere personer (i heltidsekvivalenter)
• Omsetning og balanse: den sysselsetter færre enn 50 personer, men både den årlige omsetningen og den totale balansen overstiger 10 millioner euro
• GruppePartnerforetak og tilknyttede foretak teller mot disse tallene, så et lite datterselskap av et stort konsern kan fortsatt være dekket

Noen organisasjoner er dekket uavhengig av størrelse. Disse inkluderer DNS-tjenesteleverandører, leverandører av offentlige elektroniske kommunikasjonsnettverk eller -tjenester, tillitstjenesteleverandører, toppnivådomeneregistre og offentlige organisasjoner.

Innenfor sitt virkeområde skiller loven mellom essensielle og viktige enheter. Som regel er større organisasjoner i sektorer med høy kritisk betydning essensielle enheter; andre er viktige enheter. Skillet er viktig for tilsyn og for maksimal bot. Den nederlandske myndigheten for digital infrastruktur (RDI) tilbyr et selvvurderingsverktøy (NIS2-Zelfevaluatie) på regelhulpenvoorbedrijven.nl for å hjelpe deg med å etablere din posisjon. Hvis resultatet er uklart, for eksempel på grunn av en gruppestruktur eller blandede aktiviteter, få det vurdert og registrer begrunnelsen.

Hva krever omsorgsplikten?

Aktsomhetsplikten krever passende og forholdsmessige tiltak for å håndtere risikoene for nettverket og informasjonssystemene dine. «Forholdsmessige» betyr at tiltakene må samsvare med størrelsen din, din eksponering for risiko og den mulige virkningen av en hendelse på samfunnet og økonomien.

Direktivet setter et minimumsgrunnlag i artikkel 21(2) i NIS2-direktivet. Kort sagt må tiltakene dine dekke:

• Risikoanalyse: retningslinjer for risikoanalyse og sikkerheten til informasjonssystemene dine
• Håndtering av hendelserprosedyrer for å oppdage, håndtere og gjenopprette etter hendelser
• Kontinuitetforretningskontinuitet, sikkerhetskopiering, gjenoppretting og krisehåndtering
• Forsyningskjedesikkerhet i dine forhold til leverandører og tjenesteleverandører
• Utvikling og vedlikeholdsikkerhet ved anskaffelse, utvikling og vedlikehold av systemer, inkludert håndtering av sårbarheter
• Testingprosedyrer for å vurdere om tiltakene dine er effektive
• Hygiene og opplæringgrunnleggende opplæring i cyberhygiene og cybersikkerhet for ansatte
• Kryptografi og tilgangbruk av kryptering, sikkerhet innen personalressurser, tilgangskontroll og forvaltning av eiendeler, inkludert sikker autentisering

Loven foreskriver ikke én spesifikk standard. Mange organisasjoner bruker et eksisterende rammeverk for informasjonssikkerhet til å strukturere tiltakene sine. Det som teller for en veileder er om du kan vise at tiltakene dine er basert på en risikovurdering og faktisk fungerer.

Hvordan fungerer rapporteringsplikten og håndhevingen?

En betydelig hendelse må rapporteres i tre trinn: et tidlig varsel innen 24 timer, et hendelsesvarsel innen 72 timer og en endelig rapport innen én måned. Du rapporterer til det kompetente teamet for respons på datasikkerhetshendelser (CSIRT) og til din sektorleder.

24-timersvarselet er kort og trenger ikke å være fullstendig. Det signaliserer hovedsakelig at noe skjer og om det kan være ondsinnede hensikter eller grenseoverskridende effekter. 72-timersvarselet gir en første vurdering av alvorlighetsgraden og virkningen. Den endelige rapporten beskriver årsaken, tiltakene som er iverksatt og eventuelle grenseoverskridende konsekvenser.

Tilsynet er delt inn etter sektor. Avhengig av aktivitetene dine kan din veileder for eksempel være Miljø- og transporttilsynet (ILT), De Nederlandsche Bank (DNB), den nederlandske finansmarkedstilsynet (AFM), Helse- og ungdomstilsynet (IGJ), den nederlandske mat- og forbrukerprodukttilsynet (NVWA) eller RDI. Veiledere har håndhevingsmyndigheter, som inkluderer å ilegge administrative bøter.

NIS2 overlapper også med personvernforordningen (GDPR). Hvis en hendelse involverer personopplysninger, kan det være nødvendig med en separat melding til den nederlandske databeskyttelsesmyndigheten ( Autoriteit Persoonsgegevens ). Tilpass NIS2-prosedyren din til prosedyren for datainnbrudd, slik at én hendelse ikke fører til to separate, ukoordinerte prosesser.

Hvilke endringer skjer for ledelsen, de ansatte og selskapet?

Den viktigste endringen er at nettsikkerhet ikke lenger bare er et anliggende for IT-avdelingen. NIS2 legger ansvaret hos ledelsen, og forventer at hele organisasjonen, inkludert ansatte og leverandører, bidrar.

Hva betyr NIS2 for ansatte?

NIS2 skaper ikke nye individuelle rettigheter eller plikter direkte for ansatte; forpliktelsene ligger hos organisasjonen. I praksis må imidlertid arbeidsgiveren omsette aktsomhetsplikten til regler og opplæring for ansatte.

Grunnleggende opplæring i cyberhygiene og cybersikkerhet er en del av minimumstiltakene. Det betyr at dine ansatte for eksempel bør:

• Awarenessdelta i opplæring om phishing, passord og sikker arbeidstid
• Intern rapporteringvite hvordan og til hvem de rapporterer en mistenkt hendelse eller sårbarhet, slik at du kan overholde 24-timersfristen
• Adgangbruker sikker autentisering og har kun tilgang til systemene de trenger for arbeidet sitt

Registrer disse reglene i en policy eller personalhåndbok. Hvis du innfører ny overvåking av ansattes systemer eller atferd, sjekk reglene om personvern og, der det er relevant, bedriftsrådets rolle.

Hva må styringsorganet gjøre?

Ledelsesorganet må godkjenne tiltakene for risikostyring innen cybersikkerhet og føre tilsyn med implementeringen av dem. Medlemmene må følge opplæring slik at de har nok kunnskap til å vurdere risikoer og tiltak. Hvis organisasjonen ikke overholder disse, kan ledelsesorganet holdes ansvarlig.

I praksis betyr dette at styret ikke lenger bare kan delegere cybersikkerhet. Styremedlemmer bør:

• Bestemgodkjenne risikovurderingen og tiltakene formelt, og registrere denne beslutningen
• overvåkemotta regelmessige rapporter om statusen til tiltakene og om hendelser
• Lærfølg opplæring og hold kunnskapen oppdatert
• TildeleSørg for at det er nok budsjett, nok folk og tydelige roller

Hvorvidt en direktør kan holdes personlig ansvarlig for skade, avhenger av de generelle reglene i nederlandsk selskapsrett og sakens fakta. Tydelig beslutningstaking og dokumentasjon bidrar til å vise at styret tok sin rolle på alvor.

Hva er bøtene og andre konsekvenser?

Tilsynsmyndigheter kan ilegge bøter på opptil 10 millioner euro eller 2 % av den globale årlige omsetningen for viktige enheter, og opptil 7 millioner euro eller 1.4 % for viktige enheter, avhengig av hva som er høyest. Dette er maksimalbeløp; den faktiske boten avhenger av alvorlighetsgraden av bruddet og omstendighetene.

Bøter er ikke den eneste risikoen. En overordnet kan også bruke andre håndhevingstiltak for å få deg til å overholde regelverket. En alvorlig hendelse kan også føre til krav fra kunder eller forretningspartnere, til kontraktsmessige konsekvenser med leverandører og til omdømmeskade. God forberedelse beskytter deg derfor på flere måter.

Hvordan håndterer dere leverandører og kontrakter?

Aktsomhetsplikten gjelder også for forsyningskjeden din, så du må også håndtere cybersikkerhetsrisikoene til leverandørene og tjenesteleverandørene dine. I praksis gjøres dette i stor grad gjennom kontrakter.

Punkter som bør tas opp i leverandørkontrakter inkluderer:

• Sikkerhetskrav: tiltakene leverandøren må iverksette, i tråd med din egen risikovurdering
• Hendelsesvarselen kort frist for leverandøren til å informere deg om hendelser, slik at du kan overholde dine egne rapporteringsfrister
• Revisjon og informasjondin rett til å be om informasjon og få samsvar kontrollert
• Underleverandørregler om bruk av underleverandører og overføring av forpliktelser
• Ansvar og oppsigelseHva skjer hvis leverandøren ikke overholder kravene, og hvordan du kan avslutte forholdet

Gjennomgå eksisterende kontrakter med dine viktigste IT- og tjenesteleverandører først. Nye kontrakter kan inkludere standard NIS2-klausuler fra starten av.

Hva bør du sjekke som en organisasjon i omfanget?

Loven har gjeldt siden 15. august 2026 uten en generell overgangsperiode. Disse kontrollene dekker forpliktelsene en veileder vil se på først.

• Fastslå med RDI-egenvurderingen om du er en essensiell eller viktig enhet, inkluder konsernselskaper og registrer begrunnelsen.
• Registrer deg hos NCSC og hold registreringen oppdatert.
• Få ledelsen til å formelt godkjenne risikovurderingen og tiltakene, og registrer denne beslutningen.
• Planlegg opplæring for ledelsen og grunnleggende opplæring i cyberhygiene for ansatte.
• Navngi personen som avgjør om en hendelse er betydelig, og som rapporterer innen 24 timer, 72 timer og én måned.
• Tilpass NIS2-prosedyren til 72-timers varsling av datainnbrudd til den nederlandske datatilsynet i henhold til GDPR.

Hva bør du sjekke som leverandør?

Kunder som er omfattet av avtalen overfører sin aktsomhetsplikt til deg gjennom kontrakter. Sjekk hva du blir bedt om å signere før du samtykker.

• Sjekk om din egen organisasjon er dekket av loven, for eksempel som en leverandør av digitale tjenester eller IT-tjenester.
• Sjekk at fristen for hendelsesvarsling du blir bedt om å godta er oppnåelig, gitt kundens egen 24-timersfrist.
• Bli enige om omfanget og kostnaden for kundens revisjons- og informasjonsrettigheter.
• Sjekk ansvars- og oppsigelsesklausulene som er knyttet til sikkerhetskravene.
• Sjekk hvilke forpliktelser du må overføre til dine egne underleverandører.

Hva kan vi gjøre for deg med NIS2 og cybersikkerhetsloven?

Vårt IT-advokatteam bistår organisasjoner med omfang og deres leverandører, fra omfangsvurdering til tilsyn.

• Vi fastslår om organisasjonen din er en essensiell eller viktig enhet, inkludert i konsernstrukturer.
• Vi utarbeider styrevedtaket, sikkerhetspolicyene og prosedyren for hendelser og rapportering.
• Vi utarbeider og gjennomgår NIS2-klausuler i leverandør- og kundekontrakter.
• Vi gir råd til styremedlemmer om deres ansvar og ansvar i henhold til nederlandsk selskapsrett.
• Vi bistår under en etterforskning utført av RDI eller din sektorleder og utarbeider en innsigelse (bezwaar) mot et botsvedtak.

Sammendrag

• Cybersikkerhetsloven, den nederlandske implementeringen av NIS2, har gjeldt siden 15. august 2026 for mer enn 8,000 organisasjoner i atten sektorer.
• Organisasjonen din er vanligvis dekket hvis den har minst 50 ansatte, eller omsetning og balansesum begge over €10 millioner. Noen leverandører er dekket uavhengig av størrelse.
• Kjerneforpliktelsene er aktsomhetsplikt, rapportering av betydelige hendelser (24 timer, 72 timer, én måned) og registrering hos NCSC.
• Ledelsesorganet godkjenner og fører tilsyn med tiltakene, følger opplæring og kan holdes ansvarlig; sikkerhet i forsyningskjeden skjer i stor grad gjennom kontrakter.
• Bøter kan nå 10 millioner euro eller 2 % av den globale omsetningen for essensielle enheter, og 7 millioner euro eller 1.4 % for viktige enheter.

Ofte stilte spørsmål