Forskrift

Justis- og beredskapsdepartementet

Forskrift om digital sikkerhet

Q: Gjelder digitalsikkerhetsloven på Svalbard?

Reglene i digitalsikkerhetsloven gjelder også på Svalbard. (Se § 3.)

Digitalsikkerhetsforskriften

forskrift/2025-06-20-1131·25 paragrafer·Utforsk grafen

I kraft 2025-10-01Kunngjort 2025-06-23

Hjemmel§ 13Digitalsikkerhetsloven § 18Digitalsikkerhetsloven § 2Digitalsikkerhetsloven § 3Digitalsikkerhetsloven § 6Digitalsikkerhetsloven § 9Digitalsikkerhetsloven

Innhold25 paragrafer

Utforsk grafen →

Forskrifter, forarbeider og endringer — koblet sammen.

Kapittel 1. Innledende bestemmelser

§ 1

Tilbydere av samfunnsviktige tjenester

Tilbydere av samfunnsviktige tjenester etter digitalsikkerhetsloven § 2 første ledd bokstav a og § 6 er 1) KBO-enheter, jf. kraftberedskapsforskriften § 2-1 andre ledd 2) virksomheter som ved enkeltvedtak helt eller delvis er underlagt kraftberedskapsforskriften § 1-3 andre ledd 3) hovedtankanlegg for petroleumsbasert drivstoff 4) flysikringstjenesten 5) kommersielle lufthavner og tjenesteleverandører innenfor sikkerhetsbegrenset område på en kommersiell lufthavn 6) flyselskaper som driver kommersiell transport med AOC i Norge 7) infrastrukturforvaltning og trafikkstyring av det nasjonale jernbanenettet 8) persontransport som overstiger 375 000 togkilometer per år, inkludert grenseoverskridende transport 9) godstransport som overstiger 500 000 togkilometer per år, inkludert grenseoverskridende transport 10) infrastrukturforvaltning, trafikkstyring og togfremføring av tunnelbane og trikk som overstiger 12,5 millioner årlige passasjerreiser 11) trafikkstyring og -overvåking av TEN-T-vegnettet 12) det viktigste vegnettet i områder med årsdøgntrafikk over 20 000 13) alarmsentraler for eCall 14) nasjonale databanker som inneholder veg- eller trafikkinformasjon 15) trafikkstyring og -overvåking av kysttrafikken 16) havner eller havneanlegg som har et godsomlag på mer enn 100 000 tonn per år over en femårsperiode 17) havner eller havneanlegg som håndterer mer enn 100 000 passasjer per år over en femårsperiode 18) rederier som har skip med fast anløp eller som transporterer minst fem prosent av passasjerantallet eller godsomslaget i en havn som nevnt i nr. 16 og 17 19) Helse- og omsorgsdepartementet med underliggende etater, foretak og andre offentlig eide virksomheter, som utgjør den nasjonale helseberedskapen 20) tjenester som tilbys av de regionale helseforetakene 21) sentrale systemer for rekvirering og utlevering av legemidler og andre medisinske produkter 22) helse- og omsorgstjenester som tilbys av en kommune med flere enn 50 000 innbyggere eller flere enn 20 000 brukere som er avhengige av tjenesten, og tjenesten ikke kan overføres eller avlastes av andre tjenester 23) vannforsyningssystem etter drikkevannsforskriften § 3 bokstav k, som behandler minst 2000 m3 per døgn 24) sentralt register over norske toppnivådomener (.no) 25) rekursiv navnetjeneste som i gjennomsnitt per 30 dager besvarer flere enn 15 000 domenenavnsystemforespørsler per sekund 26) samtrafikkpunkter for internett 27) banker som Finansdepartementet har truffet beslutning om at skal anses som systemviktige i Norge, jf. CRR/CRD forskriften § 30 28) foretak som Finanstilsynet vurderer at har vesentlig betydning for det norske kapitalmarkedet.

Se ogsåDigitalsikkerhetsloven § 2 Digitalsikkerhetsloven § 6 Kraftberedskapsforskriften § 2-1 Kraftberedskapsforskriften § 1-3referert av 1 →

§ 2

Unntak for små virksomheter

Krav til digital sikkerhet for tilbydere av digitale tjenester etter § 15 og varslingsplikten etter § 17 gjelder ikke for tilbydere av digitale tjenester som har færre enn 50 ansatte og som har en årlig omsetning eller årlig samlet balanse som ikke overstiger 10 millioner euro.

Små virksomheter slipper visse krav til digital sikkerhet og varslingsplikt. Dette gjelder dersom virksomheten har færre enn 50 ansatte og en årlig omsetning eller balanse under 10 millioner euro.AI

Se ogsåDigitalsikkerhetsforskriften § 15 Digitalsikkerhetsforskriften § 17

§ 3

Anvendelse for Svalbard

Digitalsikkerhetsloven gjelder også for Svalbard.

Reglene i digitalsikkerhetsloven gjelder også på Svalbard.AI

§ 4

Vedtak om at digitalsikkerhetsloven også skal gjelde for andre tilbydere av samfunnsviktige tjenester

Ansvarlig departement kan i særlige tilfeller fatte vedtak om at loven helt eller delvis også skal gjelde for andre tilbydere av samfunnsviktige tjenester enn de som er nevnt i § 1. Nasjonal sikkerhetsmyndighet kan fatte vedtak etter første punktum overfor virksomheter som ikke omfattes av noe departements ansvarsområde.

Ansvarlig departement kan bestemme at digitalsikkerhetsloven også skal gjelde for andre tilbydere av samfunnsviktige tjenester. Nasjonal sikkerhetsmyndighet kan ta slike beslutninger for virksomheter som ikke faller under et departements ansvarsområde.AI

Se ogsåDigitalsikkerhetsforskriften § 1 første ledd

§ 5

Innmelding av tilbydere av samfunnsviktig tjeneste

Tilbydere av en samfunnsviktig tjeneste skal snarest melde inn til Nasjonal sikkerhetsmyndighet og tilsynsmyndigheten opplysninger om a) virksomhetens navn, organisasjonsnummer og kontaktinformasjon b) tjenesten c) samfunnssektor d) i hvilke andre land tjenesten tilbys e) berørt geografisk område f) endringer i opplysninger nevnt i bokstavene a til e.

Virksomheter som tilbyr samfunnsviktige tjenester, må melde fra til Nasjonal sikkerhetsmyndighet og tilsynsmyndigheten. De skal oppgi informasjon om seg selv, tjenesten, sektoren og hvor tjenesten leveres. Endringer i denne informasjonen må også meldes inn.AI

Kapittel 2. Krav til digital sikkerhet for tilbydere av samfunnsviktige tjenester

§ 6

Styringssystem for sikkerhet

En tilbyder av en samfunnsviktig tjeneste skal etablere og vedlikeholde et styringssystem for sikkerhet som omfatter digital sikkerhet. Styringssystemet skal dokumenteres og inngå som del av den overordnede virksomhetsstyringen. Roller og ansvar for digital sikkerhet skal defineres, utpekes og dokumenteres. Sikkerhetsstyringssystemet skal baseres på anerkjente standarder og bidra til å a) forebygge hendelser b) avdekke hendelser c) håndtere hendelser d) korrigere og gjenopprette sikkerheten i nettverk og informasjonssystemer ved hendelser e) kontinuerlig styre og følge opp at formålene i bokstavene a til d oppnås. Alle aktiviteter som er nødvendige for å etablere og opprettholde et forsvarlig sikkerhetsnivå skal inngå i sikkerhetsstyringssystemet. Aktivitetene skal dokumenteres og gjøres kjent for personell med tjenstlig behov. Virksomhetens leder har ansvaret for at virksomheten har et forsvarlig sikkerhetsnivå innenfor virkeområdet til digitalsikkerhetsloven. Sikkerhetsstyringssystemet skal godkjennes av virksomhetens leder og gjennomgås minst årlig med sikte på å forbedre virksomhetens sikkerhetsarbeid.

Tilbydere av samfunnsviktige tjenester må ha et dokumentert system for digital sikkerhet. Systemet skal forebygge, oppdage og håndtere sikkerhetshendelser. Virksomhetens leder har ansvaret for at sikkerhetsnivået er forsvarlig.AI

§ 7

Risikovurdering

En tilbyder av en samfunnsviktig tjeneste skal utarbeide, vedlikeholde og dokumentere risikovurderinger. Risikovurderingene skal være av et slikt omfang at tilbyderen kan identifisere organisatoriske, teknologiske, fysiske og personellmessige sikkerhetstiltak som ivaretar formålene i § 8 andre ledd. Ved endringer i virksomheten som kan påvirke sikkerheten, skal tilbyderen vurdere hvilken risiko endringene medfører. Risikovurderingene skal minst beskrive a) virksomhetens nettverk og informasjonssystemer og hvilken betydning disse har for leveransen av den samfunnsviktige tjenesten b) hvilke hendelser virksomhetens nettverk og informasjonssystemer kan bli utsatt for c) hvilke sårbarheter som er knyttet til virksomhetens nettverk og informasjonssystemer d) konsekvensen av hendelser e) i hvilken grad virksomheten er avhengig av andre virksomheter for å fungere som den skal.

Tilbydere av samfunnsviktige tjenester må lage og oppdatere dokumenterte risikovurderinger. Disse skal brukes til å finne nødvendige sikkerhetstiltak og vurdering av risiko ved endringer i virksomheten.AI

Se ogsåDigitalsikkerhetsforskriften § 8referert av 2 →

§ 8

Risikohåndtering

Basert på risikovurderingene i § 7 skal en tilbyder av en samfunnsviktig tjeneste ha en plan for å håndtere risiko. Som en del av risikohåndteringen skal tilbyderen iverksette organisatoriske, teknologiske, fysiske og personellmessige sikkerhetstiltak for å redusere risiko og opprettholde et forsvarlig sikkerhetsnivå. Sikkerhetstiltakene skal som et minimum ha som formål å bidra til sikker plattform, sikker drift og vedlikehold, samt sikker hendelseshåndtering og gjenoppretting.

Tilbydere av samfunnsviktige tjenester må ha en plan for å håndtere risiko. De skal bruke organisatoriske, teknologiske, fysiske og personellmessige tiltak for å sikre drift, plattform og gjenoppretting.AI

Se ogsåDigitalsikkerhetsforskriften § 7referert av 1 →

§ 9

Organisatoriske sikkerhetstiltak

En tilbyder av en samfunnsviktig tjeneste skal utarbeide skriftlige instrukser, rutiner og prosedyrer for digital sikkerhet. Styringsdokumentene skal tilpasses virksomhetens størrelse, kompleksitet og risikobilde. En tilbyder av en samfunnsviktig tjeneste skal ha oppdaterte tiltaksplaner som kan iverksettes dersom risikoen endrer seg eller det oppstår en hendelse, jf. § 13. Styringsdokumentene og tiltaksplanene etter første og andre ledd skal gjøres kjent for personell som utfører oppgaver for eller på vegne av virksomheten og som kan få tilgang til virksomhetens nettverk og informasjonssystemer.

Tilbydere av samfunnsviktige tjenester må ha skriftlige regler og rutiner for digital sikkerhet. De skal også ha oppdaterte planer for hva som skal gjøres ved hendelser eller endret risiko. Disse dokumentene skal være kjent for ansatte med tilgang til systemene.AI

Se ogsåDigitalsikkerhetsforskriften § 13

§ 10

Teknologiske sikkerhetstiltak

Basert på risikovurderingen etter § 7 skal en tilbyder av en samfunnsviktig tjeneste iverksette teknologiske sikkerhetstiltak som er tilpasset omfang, kompleksitet, driftsmiljø, brukermiljø, funksjon og risiko ved virksomhetens nettverk og informasjonssystemer. Teknologiske sikkerhetstiltak skal minst omfatte a) sterk autentisering for adgang til nettverk og informasjonssystemer b) styring av og kontroll med tilganger til virksomhetens nettverk og informasjonssystemer c) tiltak for segmentering av nettverk og tjenester basert på minste privilegiums prinsipp d) tiltak som skal sikre at nettverk og informasjonssystemer kan håndtere forskjellige typer avbrudd og gjenopprettes innen rimelig tid uten vesentlig reduksjon av tjenestens kvalitet e) tiltak som skal sikre at nettverk og informasjonssystemer har tilstrekkelig kapasitet til å tåle overbelastning og utstyrssvikt f) tiltak som skal sikre at nettverk og informasjonssystemer videreutvikles kontinuerlig, herunder at oppdateringer kvalitetssikres, installeres og testes fortløpende g) sikkerhetsovervåkning av nettverk og informasjonssystemer for å avdekke hendelser. Dersom et eller flere av tiltakene i andre ledd ikke kan gjennomføres, skal dette godkjennes av virksomhetens leder. Begrunnelsen for unntaket skal dokumenteres i styringssystemet for sikkerhet. Tilsynsmyndigheten skal orienteres om unntaket.

Tilbydere av samfunnsviktige tjenester må ha tekniske sikkerhetstiltak som er tilpasset virksomhetens risiko og systemer. Dette inkluderer krav til blant annet tilgangsstyring, driftssikkerhet, overvåking og kontinuerlig oppdatering. Eventuelle unntak må godkjennes av leder, dokumenteres og meldes til tilsynsmyndigheten.AI

Se ogsåDigitalsikkerhetsforskriften § 7

§ 11

Fysiske sikkerhetstiltak

En tilbyder av en samfunnsviktig tjeneste skal iverksette tiltak for fysisk sikkerhet for å opprettholde forsvarlig sikkerhet i nettverk og informasjonssystemer. Fysiske sikkerhetstiltak skal minst omfatte a) tiltak for å forhindre at uvedkommende får tilgang til lokasjoner og fysisk og teknisk infrastruktur som nettverk og informasjonssystemer benytter eller er avhengig av b) tiltak for å identifisere og beskytte bygninger, rom og tilstøtende områder som har betydning for sikkerhetsnivået til nettverk og informasjonssystemer som understøtter den samfunnsviktige tjenesten c) tiltak for å ivareta eksterne avhengigheter, herunder datakommunikasjon og strømtilførsel d) tiltak for å avdekke hendelser med negativ virkning på sikkerheten i nettverk og informasjonssystemer.

Tilbydere av samfunnsviktige tjenester må ha fysiske sikkerhetstiltak for å beskytte nettverk og informasjonssystemer. Dette innebærer blant annet å hindre uvedkommende tilgang, beskytte lokaler og sikre strøm og kommunikasjon.AI

§ 12

Sikkerhetstiltak for personell

En tilbyder av en samfunnsviktig tjeneste skal iverksette nødvendige sikkerhetstiltak for ansatte, leverandører og oppdragstakere som kan få tilgang til virksomhetens nettverk og informasjonssystemer gjennom å sørge for a) at adgang til lokaler og tilganger til nettverk og informasjonssystemer tildeles basert på roller, oppgaver, ansvar og tjenstlig behov, samt følge opp at personell ikke har flere tilganger enn nødvendig b) at personell nevnt i leddet her er gjort kjent med relevante sikkerhetstiltak, at de har tilstrekkelig kompetanse innenfor sikkerhet og gis nødvendig opplæring ved behov. Når et arbeidsforhold eller en tjeneste avsluttes, skal en tilbyder av en samfunnsviktig tjeneste sikre at den som slutter ikke lenger har tilgang til virksomhetens nettverk og informasjonssystemer.

Tilbydere av samfunnsviktige tjenester må ha sikkerhetstiltak for personell med tilgang til nettverk og systemer. Tilganger skal baseres på behov og rolle, og personell skal ha nødvendig opplæring. Tilganger skal fjernes når arbeidsforholdet eller tjenesten avsluttes.AI

§ 13

Hendelseshåndtering og beredskap

En tilbyder av en samfunnsviktig tjeneste skal ha en beredskapsplan for håndtering av hendelser og varsling etter § 17. Tilbyderen skal vurdere relevante beredskapstiltak og skjerping i eksisterende sikkerhetstiltak som raskt kan iverksettes ved behov. Når tilbyderens nettverk eller informasjonssystem er utsatt for en hendelse, skal hendelsens karakter og omfang identifiseres. Tilbyderen skal iverksette nødvendige mottiltak og tiltak for å gjenopprette den sikre tilstanden i nettverk og informasjonssystemet. En tilbyder av en samfunnsviktig tjeneste skal utarbeide, vedlikeholde og dokumentere beredskapsplaner og gjennomføre øvelser for å teste planverket og utvikle virksomhetens kompetanse til å håndtere hendelser.

Tilbydere av samfunnsviktige tjenester skal ha plan og rutiner for å håndtere digitale hendelser og varsling. De må kunne identifisere hendelser, iverksette mottiltak og gjenopprette sikkerheten. Beredskapsplanene skal vedlikeholdes og testes gjennom øvelser.AI

Se ogsåDigitalsikkerhetsforskriften § 17referert av 1 →

§ 14

Oppfølgingsplikt

En tilbyder av en samfunnsviktig tjeneste skal påse at leverandører og andre som utfører arbeid som kan påvirke sikkerheten i nettverk og informasjonssystemer og som utfører arbeid for eller på vegne av virksomheten, utfører arbeidet på en måte som gjør at kravene til forsvarlig sikkerhet overholdes. En tilbyder av en samfunnsviktig tjeneste skal, gjennom avtale eller på annen egnet måte, gjøre sikkerhetstiltakene gjeldende overfor leverandører som nevnt i første ledd, i den grad det er nødvendig for å opprettholde et forsvarlig sikkerhetsnivå.

Virksomheter som leverer samfunnsviktige tjenester må sørge for at eksterne leverandører jobber på en måte som sikrer nettverk og informasjonssystemer. Sikkerhetskravene skal gjøres gjeldende gjennom avtaler eller andre egnede metoder.AI

Kapittel 3. Krav til digital sikkerhet for tilbydere av digitale tjenester

§ 15

Tiltak for sikkerhetsstyring for tilbydere av digitale tjenester og kriterier for å avgjøre om en hendelse skal anses for å ha betydelig innvirkning

EØS-avtalen vedlegg XI nr. 5cpaa (forordning (EU) 2018/151) gjelder som forskrift med de tilpasninger som følger av vedlegg XI, protokoll 1 til avtalen og avtalen for øvrig.

Reglene for sikkerhetsstyring og vurdering av digitale hendelser for tilbydere av digitale tjenester følger EØS-avtalens vedlegg XI nr. 5cpaa. Dette gjelder med visse tilpasninger fra avtalen og protokoll 1.AI

referert av 1 →

Kapittel 4. Fellesbestemmelser

§ 16

Responsmiljøer

Nasjonal sikkerhetsmyndighet er nasjonalt responsmiljø for håndtering av hendelser etter digitalsikkerhetsloven. Ansvarlig departement kan utpeke responsmiljøer som kan bistå en tilbyder av en samfunnsviktig tjeneste med å håndtere hendelser innenfor sektorene nevnt i digitalsikkerhetsloven § 2 første ledd bokstav a. Nasjonal sikkerhetsmyndighet skal orienteres om utpekingen. Enhver som utfører eller har utført arbeid eller oppdrag for et responsmiljø, plikter å hindre at uvedkommende får adgang eller kjennskap til det vedkommende i forbindelse med arbeidet eller oppdraget får vite om noens personlige forhold eller drifts- og forretningshemmeligheter. Taushetsplikt vedkommende er pålagt ved lov eller på annen måte, er ikke til hinder for at responsmiljøene gjensidig kan utveksle informasjon i den utstrekning det er nødvendig for å utføre pålagte oppgaver i eller i medhold av digitalsikkerhetsloven. Et responsmiljø skal overholde relevante krav som følger av eller i medhold av digitalsikkerhetsloven og i tillegg sørge for a) redundante og sikre kommunikasjonsløsninger, med klart definerte og tydelig formidlede kommunikasjonskanaler til medlemmer og samarbeidspartnere b) sikre lokasjoner for arbeidssteder, infrastruktur og systemer c) beredskaps- og kontinuitetsløsninger som sikrer at varsling og hendelseshåndtering kan utføres og overleveres mellom flere, med tilstrekkelige ressurser for kontinuerlig tilgjengelighet og tilgang til redundante systemer og lokasjoner. Videre skal responsmiljøene bidra til det nasjonale responsmiljøet sin oppdragsløsning og som minimum a) bidra til helhetlig cyberrisikobilde, gjennom å til enhver tid ha oversikt over og rapportere om hendelser, sårbarheter og trusler innen eget ansvarsområde b) formidle varsler om cyberrisikoer og hendelser til relevante mottakere c) respondere på hendelser innen eget ansvarsområde d) bidra til offentlig-privat samarbeid, gjennom blant annet å fremme bruk av standarder for hendelseshåndtering, risikohåndtering, taksonomi. Det nasjonale responsmiljøet skal i tillegg som et minimum a) koordinere og gi råd om nasjonal innsats for tilsiktede alvorlige cyberhendelser b) ivareta et rettidig og nasjonalt cyberrisikobilde c) bidra til helhetlig situasjonsforståelse i cyberhendelser d) delta i CSIRT Network, samt kunne delta, der hensiktsmessig, i andre internasjonale samarbeidsnettverk.

Se ogsåDigitalsikkerhetsloven § 2

§ 17

Varslingsplikt

Et varsel etter digitalsikkerhetsloven §§ 8 og 11 skal sendes til tilsynsmyndigheten med kopi til Nasjonalt kontaktpunkt. Varselet skal sendes senest innen 24 timer etter at en tilbyder av en samfunnsviktig tjeneste fikk kjennskap til hendelsen. Varselet skal inneholde informasjon om a) tilbyderens navn og kontaktinformasjon b) berørt tjeneste c) hendelsen, herunder mulige årsaker og konsekvenser d) antall berørte brukere e) hendelsens virkninger i andre land. Informasjonen i varselet skal oppdateres innen 72 timer. Innen en måned fra varsel som nevnt i første ledd er sendt, skal tilbyderen gi tilsynsmyndigheten en hendelsesrapport. Hendelsesrapporten skal inneholde oppdatert informasjon om forhold som nevnt i første ledd og hvilke avhjelpende tiltak som er iverksatt. Tilsynsmyndigheten kan kreve statusoppdateringer og de opplysningene som er nødvendige for å utføre pålagte oppgaver.

Tilbydere av samfunnsviktige tjenester må varsle tilsynsmyndigheten og Nasjonalt kontaktpunkt om hendelser. Varselet skal inneholde spesifikk informasjon om hendelsen og berørte brukere. Etterpå skal det sendes en utfyllende hendelsesrapport.AI

Se ogsåDigitalsikkerhetsloven § 8 Digitalsikkerhetsloven § 11referert av 3 →

§ 18

Deling av taushetsbelagt informasjon

Tilsynsmyndigheten kan dele taushetsbelagt informasjon mottatt ved varsling etter § 17 med nasjonale og internasjonale aktører når det er nødvendig for å oppnå digitalsikkerhetslovens formål. Mottakeren skal informeres dersom den delte informasjonen er underlagt taushetsplikt. Ved fare for alvorlige hendelser skal Nasjonal sikkerhetsmyndighet informere relevante nasjonale og internasjonale aktører om risiko og mulige tiltak.

Tilsynsmyndigheten kan dele taushetsbelagt informasjon med andre aktører hvis det er nødvendig for lovens formål. Mottakeren skal få vite om informasjonen er taushetsbelagt. Nasjonal sikkerhetsmyndighet skal varsle om risiko og tiltak ved fare for alvorlige hendelser.AI

Se ogsåDigitalsikkerhetsforskriften § 17

§ 19

Behandling av personopplysninger

Virksomheter og myndigheter som er omfattet av digitalsikkerhetsloven kan behandle personopplysninger, herunder personopplysninger som nevnt i personvernforordningen artiklene 9 og 10, når det er nødvendig for å utføre oppgaver i eller i medhold av digitalsikkerhetsloven. Personopplysninger skal behandles for spesifikke, uttrykkelig angitte og berettigede formål, herunder for å a) iverksette sikkerhetstiltak b) håndtere hendelser, herunder bistand c) utøve varslingsplikt d) motta varsler e) utøve oppgaver som responsmiljø f) utøve oppgaver som nasjonalt kontaktpunkt g) føre tilsyn. Behandlingen av personopplysninger og inngrepet i personvernet skal ikke være mer omfattende enn det som er nødvendig for å oppnå formålet.

Virksomheter og myndigheter kan behandle personopplysninger når det er nødvendig for å utføre oppgaver etter digitalsikkerhetsloven. Behandlingen skal ha et spesifikt formål og ikke være mer omfattende enn nødvendig.AI

§ 20

Nasjonalt kontaktpunkt for sikkerhet i nettverk og informasjonssystemer

Nasjonal sikkerhetsmyndighet er nasjonalt felles kontaktpunkt for sikkerhet i nettverk og informasjonssystemer i henhold til direktiv (EU) 2016/1148 artikkel 8 nr. 3. Det nasjonale kontaktpunktet skal sikre samarbeid mellom norske myndigheter og relevante myndigheter i andre EU/EØS-land og delta i samarbeidsgruppen og CSIRT-nettverket etablert etter direktivet artikkel 11 og 9. Nasjonalt kontaktpunkt bør videreformidle meldinger om hendelser til nasjonale kontaktpunkter i andre berørte medlemsstater. Nasjonalt kontaktpunkt skal rutinemessig sende en kvartalsvis sammenfattende rapport til samarbeidsgruppen, over antall mottatte meldinger og arten av de meldte hendelsene, herunder type sikkerhetsbrudd, alvorlighetsgrad eller varighet. Når det er hensiktsmessig bør nasjonalt kontaktpunkt rådføre seg med myndigheten etter personopplysningsloven.

Nasjonal sikkerhetsmyndighet er det nasjonale kontaktpunktet for sikkerhet i nettverk og informasjonssystemer. Punktet skal sikre samarbeid med andre EU/EØS-land og rapportere om sikkerhetshendelser.AI

§ 21

Tilsyn med tilbydere som omfattes av digitalsikkerhetsloven

Ansvarlig departement utpeker myndigheter som skal føre tilsyn med virksomheter innenfor egen sektor. For virksomheter uten tilsynsmyndighet er Nasjonal sikkerhetsmyndighet tilsynsmyndighet. Tilsynsmyndigheten kan benytte bistand fra andre i forbindelse med tilsynet.

Hvert departement bestemmer hvem som skal føre tilsyn med virksomheter i sin sektor. Hvis ingen annen myndighet er utpekt, er det Nasjonal sikkerhetsmyndighet som har ansvaret. Tilsynsmyndigheten kan få hjelp fra andre når de fører tilsyn.AI

§ 22

Begrensning i adgangen til å føre tilsyn med tilbydere av digitale tjenester

Tilsyn med tilbydere av digitale tjenester kan kun gjennomføres dersom tilsynsmyndigheten mottar opplysninger om overtredelser av bestemmelser gitt i eller i medhold av digitalsikkerhetsloven og tilsynsmyndigheten finner det nødvendig.

Tilsynsmyndigheten kan bare føre tilsyn med tilbydere av digitale tjenester hvis de får informasjon om lovbrudd og vurderer det som nødvendig.AI

§ 23

Opplysningsplikt og tilgang til lokaler

Tilsynsmyndigheten kan fastsette frister og i hvilken form opplysningene etter digitalsikkerhetsloven § 14 skal gis. Nødvendig dokumentasjon og informasjon skal gjøres tilgjengelig for tilsynsmyndigheten. Den det føres tilsyn med eller dennes representant kan pålegges å være tilstede under tilsynet.

Tilsynsmyndigheten kan bestemme hvordan og når opplysninger skal leveres. Nødvendig dokumentasjon og informasjon skal være tilgjengelig, og den som blir kontrollert kan pålegges å være til stede.AI

Se ogsåDigitalsikkerhetsloven § 14

§ 24

Overtredelsesgebyr

Tilsynsmyndigheten kan ilegge overtredelsesgebyr etter digitalsikkerhetsloven § 17. Overtredelsesgebyret tilfaller statskassen og kan utgjøre opptil 25 ganger grunnbeløpet i folketrygden eller fire prosent av virksomhetens årsomsetningen forutgående regnskapsår dersom det dreier seg om foretak. Det høyeste beløpet utgjør den øvre rammen. Overtredelsesgebyret kan uansett ikke overstige 50 millioner kroner. Ved vurderingen av om overtredelsesgebyr skal ilegges, og ved utmålingen, skal det særlig legges vekt på a) overtredelsens art, herunder varighet b) hvor alvorlig overtredelsen er c) utvist skyld d) tilbyderens gevinst og omsetning e) overtredelsens faktiske innvirkning på markedet f) størrelsen på det berørte markedet g) om overtrederen har hatt en ledende eller passiv rolle i overtredelsen. Andre momenter som kan være relevante ved ileggelsen og utmålingen av overtredelsesgebyr er blant annet a) om tiltak er gjennomført b) om tilbyderen ved retningslinjer, instruksjon, opplæring, kontroll eller andre tiltak kunne ha forebygget overtredelsen c) om tilbyderen har bistått myndigheten i forbindelse med utredning av overtredelsen. Vedtak om overtredelsesgebyr er tvangsgrunnlag for utlegg. Dersom det anlegges sak mot staten for å prøve vedtaket, suspenderes tvangskraften.

Tilsynsmyndigheten kan gi overtredelsesgebyr som går til statskassen. Summen bestemmes ut fra hvor alvorlig bruddet er, virksomhetens omsetning og andre relevante forhold. Gebyret kan være grunnlag for utlegg, med mindre saken bringes inn for retten.AI

Se ogsåDigitalsikkerhetsloven § 17

Kapittel 5. Avsluttende bestemmelser

§ 25

Ikrafttredelse

Forskriften trer i kraft 1. oktober 2025.

Denne forskriften begynner å gjelde fra 1. oktober 2025.AI

Vanlige spørsmål

✨ AI-generert

Forenklede forklaringer laget med AI og kontrollert automatisk — les alltid selve lovteksten.

Gjelder kravene til digital sikkerhet for alle virksomheter?

Små virksomheter slipper visse krav til digital sikkerhet og varslingsplikt. Dette gjelder dersom virksomheten har færre enn 50 ansatte og en årlig omsetning eller balanse under 10 millioner euro.

Åpne § 2

Gjelder digitalsikkerhetsloven på Svalbard?

Reglene i digitalsikkerhetsloven gjelder også på Svalbard.

Åpne § 3

Kan andre tilbydere av samfunnsviktige tjenester bli omfattet av loven?

Åpne § 4

Hvem skal tilbydere av samfunnsviktige tjenester melde inn opplysninger til?

Åpne § 5

Hva skal et styringssystem for sikkerhet bidra til?

Åpne § 6

Hva skal en risikovurdering for samfunnsviktige tjenester inneholde?

Åpne § 7