Digitalsikkerhetsloven kort fortalt
Status per 19. oktober 2026. Digitalsikkerhetsloven og digitalsikkerhetsforskriften gjelder fra 1. oktober 2025. Loven gjennomfører det første NIS-direktivet, (EU) 2016/1148, i norsk rett gjennom EØS-avtalen; NIS2-direktivet er ikke nevnt i loven. Den stiller grunnleggende krav til digital sikkerhet hos virksomheter med særlig betydning for samfunnet. Nasjonal sikkerhetsmyndighet (NSM) er nasjonalt kontaktpunkt, og tilsynet ligger hos myndighetene departementene utpeker i hver sektor, med NSM som tilsyn der ingen annen er utpekt.
Hvem omfattes?
- Tilbydere av samfunnsviktige tjenester innen energi, transport, helse, vannforsyning, bank, finansmarkedsinfrastruktur og digital infrastruktur, etablert i Norge.
- Tilbydere av digitale tjenester: nettbaserte markedsplasser, nettbaserte søkemotorer og skytjenester med hovedkontor i Norge, eller med representant her (loven § 9 og § 12). Små tilbydere med under 50 ansatte og omsetning eller balanse på høyst 10 millioner euro er unntatt fra forskriftens § 15 og § 17 (forskriften § 2).
- Unntak: loven gjelder ikke for virksomheter som omfattes av lov om tillitstjenester for elektroniske transaksjoner.
Fordi Norge ennå bygger på NIS1, er utvalget smalere enn i EU-land med NIS2. Selger dere til kunder i EU, kan NIS2 likevel treffe dere indirekte, for eksempel gjennom leverandørkrav. Et første svar for EU-landene gir den gratis NIS2-sjekken.
Innmelding til NSM og tilsynsmyndigheten
Tilbydere av samfunnsviktige tjenester skal snarest melde inn til NSM og tilsynsmyndigheten: navn, organisasjonsnummer, kontaktinformasjon, tjenesten og sektoren, andre land tjenesten tilbys i og berørt geografisk område, og senere endringer (forskriften § 5). Loven har ingen egen registreringsfrist med dato. Er dere omfattet og har ikke meldt inn ennå, bør dere gjøre det nå; nye tilbydere melder inn så snart de omfattes.
Varsling av hendelser
Loven krever varsling uten unødig opphold om hendelser som har betydelig virkning på tjenesten (§ 8 og § 11), også der taushetsplikt ellers ville gjelde; fristene over følger av digitalsikkerhetsforskriften § 17 for tilbydere av samfunnsviktige tjenester. Fristene beregner fristkalkulatoren.
Krav til sikkerhet og overtredelsesgebyr
- Risikovurdering og tiltak: risikovurdering av nettverk og informasjonssystemer og hensiktsmessige og forholdsmessige tekniske og organisatoriske sikkerhetstiltak (loven § 7 og § 10).
- Styringssystem for sikkerhet: dokumentert, del av den overordnede virksomhetsstyringen, basert på anerkjente standarder, med definerte roller og ansvar, godkjent av leder og gjennomgått minst årlig (forskriften § 6).
- Overtredelsesgebyr: inntil 25 ganger grunnbeløpet eller 4 prosent av foregående års omsetning, det høyeste av de to, men aldri over 50 millioner kroner (forskriften § 24).
Verktøy og guider
Gratis og på norsk, med kilde og dato.
Er vi omfattet av NIS2 i EU?
Sektor, størrelse inkludert konsern og unntak for virksomheter i EU-land.
Sjekk ›Fristkalkulator
GDPR 72 timer og NIS-fristene 24 timer, 72 timer og 1 måned, med kalendereksport.
Beregn ›Leverandørspørreskjema
Hva kunder med NIS2-krav spør leverandører om, og hvordan dere svarer én gang, grundig.
Les ›ISO 27001 i Dazr
Et styringssystem for informasjonssikkerhet bygget på en anerkjent standard.
Se ›Slik håndterer dere digitalsikkerhetsloven i Dazr
- Styringssystem på en anerkjent standard: ISO 27001-rammeverket som gjentakende kontroller med ansvarlig, bevis og påminnelser, med årlig ledelsesgjennomgang som oppgave.
- Hendelsesregister: nedtelling til 24 timer, 72 timer og 1 måned og 72 timer etter GDPR, med tidsstempel for hvert varsel.
- Lovens krav som egne kontroller: innmelding, varsling og overtredelsesrisiko som kontroller koblet til de samme bevisene.
- Leverandører (Pro): leverandørregister med avtaler, sertifikater og revisjonsdatoer.
- Revisor (Pro): tidsbegrenset lesetilgang og revisjonsspor i én PDF.
- Data i EU: Dazr er et italiensk selskap, appdata og sikkerhetskopier blir i EU (Tyskland), og poster i arbeidsområdet krypteres med AES-256-GCM.
Dazr melder ikke inn og varsler ikke på deres vegne: det går til NSM og tilsynsmyndigheten. Dazr holder data, bevis og tidslinje.
Kilder: lov om digital sikkerhet (digitalsikkerhetsloven), LOV-2023-12-20-108, forskrift om digital sikkerhet (digitalsikkerhetsforskriften), FOR-2025-06-20-1131, ikrafttredelse, res. 20. juni 2025 nr. 1088, Nasjonal sikkerhetsmyndighet (NSM). Sist kontrollert 19. oktober 2026 mot lov- og forskriftsteksten på Lovdata.
Vanlige spørsmål
Er digitalsikkerhetsloven det samme som NIS2?
Nei. Loven gjennomfører det første NIS-direktivet (EU) 2016/1148 gjennom EØS-avtalen. NIS2 er ikke nevnt i loven, så utvalget av virksomheter og kravene er smalere enn i EU-land som har innført NIS2.
Hvem fører tilsyn med oss?
Myndigheten departementet for deres sektor har utpekt. For virksomheter uten egen tilsynsmyndighet er NSM tilsynsmyndighet, og NSM er alltid nasjonalt kontaktpunkt.
Må vi være ISO 27001-sertifisert?
Nei. Forskriften krever et dokumentert styringssystem basert på anerkjente standarder, godkjent av leder og gjennomgått minst årlig. ISO 27001 er en slik standard, men sertifisering er ikke et krav i forskriften.
Varsler Dazr for oss?
Nei. Innmelding og varsler går til NSM og tilsynsmyndigheten. Dazr holder oversikt over fristene, lagrer tidsstempler og bevis og viser hvem som gjorde hva og når.
Hvilken plan trenger vi?
ISO 27001-rammeverket og hendelsesregisteret er med i Free for én bruker og ett rammeverk, uten kort. Pro til 99 € i måneden gir opptil fem brukere og fem rammeverk, erklæring om anvendelighet, policyer, leverandørregister og revisortilgang; prøv gratis i 14 dager.