NIS2 i oktober 2026: status for gjennomføringen

Publisert 19. oktober 2026 · Av Dazr

To år etter fristen står fire medlemsstater for EU-domstolen, mens Tyskland, Nederland og Østerrike nå anvender NIS2-lover.

EU-landene hadde frist til 17. oktober 2024 med å gjennomføre NIS2-direktivet i nasjonal rett. To år senere har de fleste gjort det, noen arbeider fortsatt med det, og Europakommisjonen har brakt fire av dem inn for domstolen.

Fire land for EU-domstolen

Den 8. juli 2026 brakte Kommisjonen Irland, Spania, Frankrike og Nederland inn for EU-domstolen fordi de ikke hadde meldt fullstendig gjennomføring av NIS2. Kommisjonen ber om økonomiske sanksjoner: et engangsbeløp og daglige tvangsmulkter til gjennomføringen er fullført. Saken begynte med åpningsbrev 28. november 2024, fulgt av grunngitte uttalelser 7. mai 2025.

Lover som gjelder nå

Tyskland: loven som gjennomfører NIS2, ble kunngjort i Bundesgesetzblatt 5. desember 2025 (BGBl. 2025 I Nr. 301) og har gjeldt siden 6. desember 2025. Virksomhetene hadde tre måneder på seg til å registrere seg hos BSI. Ifølge BSI har fristen gått ut, og den som ennå ikke er registrert, skal gjøre det straks.
Nederland: Cyberbeveiligingswet (Cbw) trådte i kraft 15. august 2026, etter at saken var brakt inn, sammen med loven om kritiske enheters motstandsdyktighet (Wwke). Den erstatter Wbni, og virksomhetene må registrere seg hos NCSC.
Østerrike: NISG 2026 (BGBl. I Nr. 94/2025) har gjeldt siden 1. oktober 2026 og erstatter NISG 2018.
Italia: lovdekret 138/2024 har gjeldt siden 16. oktober 2024.

Fortsatt underveis

Frankrike: lovforslaget om kritisk infrastrukturs motstandsdyktighet og styrket cybersikkerhet, som gjennomfører NIS2 sammen med CER-direktivet og DORA-direktivet, ble vedtatt av Senatet ved første behandling 12. mars 2025. Nasjonalforsamlingens komité vedtok sin tekst 10. september 2025, og behandlingen er ennå ikke avsluttet.
Spania: ministerrådet godkjente 14. januar 2025 utkastet til lov om koordinering og styring av cybersikkerhet. Inntil en ny lov er kunngjort i BOE, gjelder Real Decreto-ley 12/2018, som gjennomførte det første NIS-direktivet.
Irland: General Scheme for National Cyber Security Bill ble publisert i august 2024. Loven er ennå ikke vedtatt.

Foreslåtte endringer

Den 20. januar 2026 foreslo Kommisjonen i en cybersikkerhetspakke målrettede endringer i NIS2: enklere regler om hvilket land som har myndighet, mer effektiv innsamling av data om løsepengevirusangrep og en ny kategori små midcap-selskaper. Ifølge Kommisjonen vil endringene gjøre etterlevelsen enklere for 28 700 selskaper. Det er forslag: inntil de vedtas, gjelder dagens direktiv og de nasjonale lovene.

Hva det betyr i praksis

Sjekk hvert land dere er aktive i. Registreringsplikt, myndigheter, frister og bøter fastsettes nasjonalt og er forskjellige.
Registrer først. Der en lov gjelder, er registreringen hos den nasjonale myndigheten som regel den første og ofte korte fristen.
Ikke vent på en forsinket lov. Pliktene følger av nasjonal rett og begynner når loven gjelder. Kunder og offentlige innkjøpere spør allerede etter tiltakene i artikkel 21 og etter sikkerhet i leverandørkjeden, og gjennomføringsforordning (EU) 2024/2690 beskriver disse tiltakene i detalj for tilbydere av digitale tjenester.

Kilder

Kun til informasjon, ikke juridisk rådgivning. Sist oppdatert 19. oktober 2026.

Emner: NIS2, EU, Gjennomføring

Finnes også på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska