Digitalsikkerhetsloven: hvem den gjelder for

Loven heter lov om digital sikkerhet, forkortet digitalsikkerhetsloven, og har nummer LOV-2023-12-20-108. Den ble sanksjonert 20. desember 2023, men trådte først i kraft 1. oktober 2025, ved ikrafttredelsesvedtak 20. juni 2025 nr. 1088.

Forskrift om digital sikkerhet, digitalsikkerhetsforskriften, har nummer FOR-2025-06-20-1131 og trådte i kraft samme dag som loven. Forskriften er hjemlet i lovens paragrafer 2, 3, 6, 9, 13 og 18.

Loven gjennomfører direktiv (EU) 2016/1148, altså NIS1, gjennom EØS-avtalen vedlegg XI. Den samme sammenhengen framgår av Prop. 109 LS (2022-2023), som ba Stortinget samtykke til EØS-komiteens beslutninger nr. 21/2023 og 22/2023 om innlemmelse av nettopp det direktivet.

Loven har to grupper. Den ene er tilbydere av samfunnsviktige tjenester innenfor energi, transport, helse, vannforsyning, bank, finansmarkedsinfrastruktur og digital infrastruktur. Den andre er tilbydere av digitale tjenester, som nettbaserte markedsplasser, søkemotorer og skytjenester.

Regjeringen omtaler forskriftens inndeling som 28 kategorier av tilbydere av samfunnsviktige tjenester. Det er forskriftens kapittel 1 som avgjør hvem som faller innenfor, og som også gjør unntak for små tilbydere av digitale tjenester.

Det betyr at spørsmålet om dere er omfattet ikke kan besvares ut fra bransjenavn alene. Det må leses mot kategoriene i forskriften, og mot terskelverdiene der.

En ting som ofte forveksles: å levere til en virksomhet som er omfattet, er ikke det samme som selv å være omfattet. Men kunden deres kan videreføre krav til dere gjennom avtale, og det er en kontraktsforpliktelse, ikke en lovplikt.

Forskriftens kapittel 2 stiller kravene til tilbydere av samfunnsviktige tjenester. Det handler om styringssystem for informasjonssikkerhet, om risikovurderinger, og om organisatoriske, teknologiske, fysiske og personellmessige sikringstiltak.

Kapittel 3 gjelder tilbydere av digitale tjenester og bygger på EU-regelverket for den gruppen. Kapittel 4 er fellesbestemmelsene, og det er der varslingspliktene ligger.

Varsling skal skje senest innen 24 timer etter at tilbyderen ble klar over hendelsen, med oppdatert informasjon innen 72 timer. Det er en kort frist, og den er den delen av regelverket som oftest krever at noe er avklart på forhånd: hvem varsler, til hvem, og hvem bestemmer at terskelen er nådd.

Forskriften navngir ikke tilsynsmyndighetene enkeltvis. Den bygger på at ansvarlig departement utpeker tilsynsmyndighet innenfor sin egen sektor, og at NSM er tilsynsmyndighet der ingen annen er utpekt.

Det gjør at svaret på hvem som fører tilsyn med akkurat dere avhenger av sektoren deres, og av hva departementet har bestemt. Vi har ikke funnet en samlet, offisiell oversikt over alle utpekte tilsynsmyndigheter.

Vi har heller ikke kunnet lese NSM sine egne sider om dette. nsm.no svarte HTTP 403 på forespørslene våre. Det er en begrensning i denne gjennomgangen, og den bør dere kjenne til når dere leser resten.

Vi har lest lovens formål og virkeområde og forskriftens kapittelstruktur, og har ikke funnet et krav om penetrasjonstest. Kravet er at dere har et styringssystem, at dere vurderer risiko, og at dere iverksetter tiltak som står i forhold til den risikoen.

Det er den samme logikken som i personopplysningsloven, som gjennomfører GDPR. Artikkel 32 nr. 1 bokstav d krever en prosess for regelmessig testing, analysering og vurdering av hvor effektive behandlingens tekniske og organisatoriske sikkerhetstiltak er. Den sier ingenting om hvordan eller hvor ofte.

En sikkerhetstest er én måte å dokumentere at tiltakene virker. Den er ikke den eneste, og den er ikke pålagt. Den som selger dere en test med henvisning til at digitalsikkerhetsloven krever det, bør kunne peke på paragrafen.

Loven er ny nok til at flere av de praktiske spørsmålene rundt den ennå ikke har et offentlig, etterprøvbart svar. Disse er de vi støtte på.

Den eksterne sjekken leser det som er synlig utenfra og gir dere funnene med en gang, uten innlogging og uten e-postadresse.