Hopp til innhold
Lov
Justis- og beredskapsdepartementet

Lov om digital sikkerhet

Digitalsikkerhetsloven

lov/2023-12-20-108·20 paragrafer·Utforsk grafen
I kraft 2025-10-01Kunngjort 2023-12-20
EU/EØS-rett > InformasjonssamfunnetHMS og beredskaps- og sikkerhetsrett > SamfunnssikkerhetIKT- og medierett

Formål

Loven skal bidra til å sikre grunnleggende krav til digital sikkerhet i virksomheter med særlig betydning for samfunnet ved å forebygge, avdekke og motvirke uønskede hendelser i nettverks- og informasjonssystemer som brukes for å levere samfunnsviktige tjenester og digitale tjenester. Loven skal også legge til rette for sikkerhet i IKT-produkter, IKT-tjenester og IKT-prosesser.

Innhold20 paragrafer

Kapittel 1. Innledende bestemmelser

§ 1

Formål

Loven skal bidra til å sikre grunnleggende krav til digital sikkerhet i virksomheter med særlig betydning for samfunnet ved å forebygge, avdekke og motvirke uønskede hendelser i nettverks- og informasjonssystemer som brukes for å levere samfunnsviktige tjenester og digitale tjenester. Loven skal også legge til rette for sikkerhet i IKT-produkter, IKT-tjenester og IKT-prosesser.

Loven skal sikre digital sikkerhet i virksomheter som er viktige for samfunnet. Målet er å hindre, finne og stoppe uønskede hendelser i systemer som leverer samfunnsviktige og digitale tjenester. Den skal også bidra til sikkerhet i IKT-produkter, tjenester og prosesser.AI

§ 2

Saklig virkeområde

Loven gjelder for a) tilbydere av samfunnsviktige tjenester etter § 6 i sektorene energi, transport, helse, vannforsyning, bank, finansmarkedsinfrastruktur og digital infrastruktur b) tilbydere av digitale tjenester etter § 9. Loven gjelder ikke for virksomheter som er omfattet av lov om elektroniske tillitstjenester. Kongen kan gi forskrift med nærmere bestemmelser om og unntak fra lovens virkeområde.

Loven gjelder for tilbydere av digitale tjenester og samfunnsviktige tjenester innen sektorer som energi, transport, helse, vann, bank, finansmarkedsinfrastruktur og digital infrastruktur. Virksomheter som følger lov om elektroniske tillitstjenester er unntatt.AI

Se ogsåDigitalsikkerhetsloven § 6Digitalsikkerhetsloven § 9referert av 3 →1 forskrift →

§ 3

Geografisk virkeområde

Loven gjelder for a) tilbydere av samfunnsviktige tjenester som er etablert i Norge b) tilbydere av digitale tjenester som har sitt hovedkontor i Norge, eller som har eller skal ha en representant i Norge etter § 12. Kongen kan gi forskrift om lovens anvendelse for Svalbard, Jan Mayen og bilandene og fastsette særlige regler som er nødvendige av hensyn til de stedlige forholdene.

Loven gjelder for tilbydere av samfunnsviktige tjenester i Norge, samt tilbydere av digitale tjenester med hovedkontor eller representant i Norge. Det kan gis egne regler for Svalbard, Jan Mayen og bilandene.AI

Se ogsåDigitalsikkerhetsloven § 121 forskrift →

§ 4

Definisjoner

I denne loven menes med 1) nettverks- og informasjonssystemer: a) elektronisk kommunikasjonsnett som nevnt i ekomloven § 1-5 nr. 2 b) en enhet eller en gruppe av sammenkoblede eller beslektede enheter som behandler digitale data automatisk ved hjelp av et program c) digitale data som lagres, behandles, innhentes eller overføres ved hjelp av elementer som nevnt i bokstav a eller b for at dataene skal kunne driftes, vernes, beskyttes eller vedlikeholdes. 2) sikkerheten i nettverks- og informasjonssystemer: evnen nettverk eller informasjonssystemer har til å tåle, på et gitt tillitsnivå, enhver handling som går ut over tilgjengeligheten, autentisiteten, integriteten eller tilliten til lagrede, overførte eller behandlede data eller tilknyttede tjenester som tilbys eller er tilgjengelige via slike nettverks- og informasjonssystemer 3) hendelse: enhver hendelse med negativ virkning på sikkerheten i nettverks- og informasjonssystemer.

Bestemmelsen forklarer hva som menes med nettverks- og informasjonssystemer, sikkerhet i disse systemene og hva som regnes som en hendelse i lovens forstand.AI

Se ogsåEkomloven § 1-5 første ledd

Kapittel 2. Krav til tilbydere av samfunnsviktige tjenester

§ 6

Tilbydere av samfunnsviktige tjenester

Som tilbyder av en samfunnsviktig tjeneste regnes virksomheter som a) leverer en tjeneste som er viktig for å opprettholde kritiske samfunnsmessige eller økonomiske aktiviteter b) er avhengig av nettverks- og informasjonssystemer for å levere tjenesten, og c) kan få tjenesteleveransen betydelig forstyrret av en hendelse. Ved vurderingen av om en hendelse kan betydelig forstyrre en tjenesteleveranse, skal det særlig legges vekt på a) antallet brukere som er avhengig av tjenesten b) i hvilken grad andre samfunnssektorer som er nevnt i § 2, er avhengig av tjenesten c) hvilken virkning en hendelse kan ha i form av omfang og varighet for økonomiske og samfunnsmessige aktiviteter eller samfunnssikkerheten d) virksomhetens markedsandel e) størrelsen på det geografiske området som kan bli påvirket av en hendelse f) den berørte virksomhetens betydning for at det er tilstrekkelig tilgang på tjenesten, tatt i betraktning hvilke alternativer som finnes g) særlige sektorspesifikke forhold. Kongen kan gi forskrift om hvilke virksomheter som skal regnes som tilbydere av samfunnsviktige tjenester.

Bestemmelsen forklarer hvem som regnes som tilbydere av samfunnsviktige tjenester. Dette gjelder virksomheter som leverer kritiske tjenester avhengig av digitale systemer, og hvor hendelser kan føre til betydelige forstyrrelser.AI

Se ogsåDigitalsikkerhetsloven § 2referert av 2 →1 forskrift →

§ 7

Krav om sikkerhet for tilbydere av samfunnsviktige tjenester

En tilbyder av en samfunnsviktig tjeneste skal gjennomføre en risikovurdering av nettverks- og informasjonssystemer som benyttes for å levere tjenesten. Tilbyderen skal iverksette hensiktsmessige og proporsjonale tekniske og organisatoriske sikkerhetstiltak som samlet skal sørge for et sikkerhetsnivå som er tilpasset risikoen. Ved vurderingen av hva som er et forsvarlig sikkerhetsnivå, skal det blant annet ses hen til den teknologiske utviklingen. Tilbyderen skal iverksette proporsjonale tiltak for å forebygge, avdekke og redusere konsekvensene av hendelser, slik at tjenesteleveransen kan opprettholdes.

Tilbydere av samfunnsviktige tjenester må vurdere risikoen for sine digitale systemer. De skal innføre passende sikkerhetstiltak for å hindre og håndtere hendelser slik at tjenestene fortsetter å fungere.AI

referert av 3 →

§ 8

Krav om varsling for tilbydere av samfunnsviktige tjenester

En tilbyder av en samfunnsviktig tjeneste skal uten unødig opphold og uten hinder av taushetsplikt varsle det organet Kongen utpeker, om hendelser som virker betydelig inn på tjenesteleveransen. Ved vurderingen av om innvirkningen er betydelig, skal det blant annet legges vekt på antallet brukere som påvirkes, hendelsens varighet og størrelsen på det geografiske området som berøres.

Virksomheter som leverer samfunnsviktige tjenester må varsle utpeket organ om hendelser som påvirker tjenesten betydelig. Varslingen skal skje raskt og uavhengig av taushetsplikt.AI

referert av 4 →

Kapittel 3. Krav til tilbydere av digitale tjenester

§ 9

Tilbydere av digitale tjenester

Som tilbyder av en digital tjeneste regnes virksomheter som tilbyr tjenester som definert i ehandelsloven § 1 andre ledd bokstav a og b i form av nettbaserte markedsplasser, nettbaserte søkemotorer eller skytjenester. Med nettbasert markedsplass menes en tjeneste som gjør det mulig for forbrukere og næringsdrivende å inngå nettbaserte salgs- eller tjenesteavtaler med næringsdrivende, enten på nettstedet til den nettbaserte markedsplassen eller på nettstedet til en næringsdrivende som bruker datatjenester som leveres av den nettbaserte markedsplassen. Med nettbasert søkemotor menes en tjeneste som gjør det mulig for brukere å foreta søk på i prinsippet alle nettsteder eller nettsteder på et bestemt språk, på grunnlag av et nøkkelord, en setning eller andre inndata, og som viser lenker hvor det er mulig å finne informasjon om det forespurte innholdet. Med skytjeneste menes en tjeneste som gir tilgang til en skalerbar og fleksibel samling av delbare databehandlingsressurser. Kongen kan gi forskrift om hvilke virksomheter som skal regnes som tilbydere av digitale tjenester.

Bestemmelsen forklarer hvem som regnes som tilbydere av digitale tjenester. Dette gjelder virksomheter som driver nettbaserte markedsplasser, søkemotorer eller skytjenester.AI

Se ogsåEhandelsloven § 1referert av 1 →1 forskrift →

§ 10

Krav om sikkerhet for tilbydere av digitale tjenester

En tilbyder av en digital tjeneste skal gjennomføre en risikovurdering av nettverks- og informasjonssystemer som benyttes for å levere tjenesten. Tilbyderen skal iverksette hensiktsmessige og proporsjonale tekniske og organisatoriske sikkerhetstiltak som samlet skal sørge for et sikkerhetsnivå som er tilpasset risikoen. Ved vurderingen av hva som er et forsvarlig sikkerhetsnivå, skal det blant annet ses hen til den teknologiske utviklingen og tas hensyn til a) sikkerheten i systemer, utstyr og anlegg b) hendelseshåndtering c) styring av opprettholdelse av tjenesteleveransen d) overvåking, revisjon og testing e) anerkjente internasjonale standarder. Tilbyderen skal iverksette proporsjonale tiltak for å forebygge, avdekke og redusere konsekvensene av hendelser, slik at tjenesteleveransen kan opprettholdes.

Tilbydere av digitale tjenester må vurdere risikoen for systemene sine og innføre passende sikkerhetstiltak. Tiltakene skal være tilpasset risikoen og bidra til at tjenesten kan leveres stabilt selv ved hendelser.AI

referert av 3 →

§ 11

Krav om varsling for tilbydere av digitale tjenester

En tilbyder av en digital tjeneste skal uten unødig opphold og uten hinder av taushetsplikt varsle det organ Kongen utpeker, om hendelser som virker betydelig inn på tjenesteleveransen. Ved vurderingen av om innvirkningen er betydelig, skal det legges vekt på antall brukere som påvirkes, hendelsens varighet, størrelsen på det geografiske området som berøres, omfanget av funksjonalitetssvikten i tjenesten og omfanget av innvirkningen på økonomisk og samfunnsmessig aktivitet.

Tilbydere av digitale tjenester må varsle utpekte myndigheter om hendelser som påvirker tjenesten betydelig. Det skal skje uten unødig opphold, selv om det foreligger taushetsplikt.AI

referert av 4 →

§ 12

Plikt til å utpeke en representant i Norge

En tilbyder av digitale tjenester som ikke har sitt hovedkontor i Norge eller en annen EØS-stat, og som tilbyr digitale tjenester i Norge, skal utpeke en representant i Norge, med mindre tilbyderen har utpekt en representant i en annen EØS-stat hvor tjenestene tilbys.

Selskaper som tilbyr digitale tjenester i Norge, men som ikke har hovedkontor i Norge eller EØS, må utpeke en representant i Norge. Dette gjelder ikke hvis selskapet allerede har utpekt en representant i et annet EØS-land hvor tjenestene tilbys.AI

referert av 1 →

Kapittel 4. Tilsyn og administrative reaksjoner

§ 13

Tilsyn

Kongen utpeker én eller flere tilsynsmyndigheter som skal føre tilsyn med tilbydere som omfattes av loven.

Kongen bestemmer hvem som skal være tilsynsmyndigheter. Disse skal kontrollere at tilbydere som er omfattet av loven følger reglene.AI

1 forskrift →

§ 14

Opplysningsplikt og tilgang til lokaler og utstyr

Tilbydere og de som handler på vegne av en tilbyder, har plikt til å gi de opplysningene som tilsynsmyndigheten krever for å utføre sine oppgaver, og gi tilsynsmyndigheten tilgang til virksomhetens lokaler og utstyr og yte nødvendig bistand ved tilsynsmyndighetens undersøkelser. Første ledd gjelder uten hinder av lovbestemt taushetsplikt.

Tilbydere må gi tilsynsmyndigheten opplysningene de ber om og gi dem tilgang til lokaler og utstyr. De skal også hjelpe til ved undersøkelser. Dette gjelder selv om det finnes lovbestemt taushetsplikt.AI

referert av 3 →

§ 15

Pålegg om retting

Ved overtredelse av bestemmelser gitt i eller i medhold av denne loven kan tilsynsmyndigheten gi tilbydere pålegg om at forholdet skal bringes i orden. Når det gis pålegg, skal det settes en frist for oppfyllelse.

Tilsynsmyndigheten kan pålegge tilbydere å rette opp feil dersom loven er brutt. Et slikt pålegg skal inneholde en frist for når forholdet må være i orden.AI

referert av 1 →

§ 16

Tvangsmulkt

Tilsynsmyndigheten kan treffe vedtak om tvangsmulkt for å sikre at pålegg etter § 15 blir oppfylt. Tvangsmulkten kan fastsettes som en løpende mulkt eller som et engangsbeløp. Tilsynsmyndigheten kan i særlige tilfeller frafalle påløpt tvangsmulkt.

Tilsynsmyndigheten kan bruke tvangsmulkt for å sikre at pålegg blir fulgt. Dette kan være et engangsbeløp eller en løpende sum. I spesielle tilfeller kan myndigheten velge å ikke kreve inn mulkten.AI

Se ogsåDigitalsikkerhetsloven § 15

§ 17

Overtredelsesgebyr

Tilsynsmyndigheten kan ilegge overtredelsesgebyr dersom en tilbyder eller noen som handler på dennes vegne, forsettlig eller uaktsomt overtrer §§ 7, 8, 10, 11 eller 14. Dersom den ansvarlige for overtredelsesgebyret er et foretak som inngår i et konsern, hefter foretakets morselskap og morselskapet i det konsern selskapet er en del av, subsidiært for beløpet. Adgangen til å ilegge overtredelsesgebyr foreldes fem år etter at overtredelsen er opphørt. Fristen avbrytes ved at myndigheten gir forhåndsvarsel om eller fatter vedtak om overtredelsesgebyr.

Tilsynsmyndigheten kan gi overtredelsesgebyr hvis en tilbyder eller deres representanter bryter bestemte regler med vilje eller ved uaktsomhet. Morselskaper i et konsern kan også bli holdt ansvarlige for gebyret. Muligheten til å gi gebyr foreldes etter fem år.AI

Se ogsåDigitalsikkerhetsloven § 7Digitalsikkerhetsloven § 8Digitalsikkerhetsloven § 10Digitalsikkerhetsloven § 11referert av 1 →

Kapittel 5. Utfyllende regler mv.

§ 18

Forskrifter

Kongen kan gi forskrift om a) krav til sikkerhet og varsling i samsvar med §§ 7, 8, 10 og 11, herunder hva som regnes som tilsvarende krav etter § 5 b) gjennomføring av tilsyn med tilbydere underlagt loven c) opplysningsplikt og tilgang til lokaler og utstyr etter § 14 d) ileggelse og utmåling av tvangsmulkt og overtredelsesgebyr e) at den som forsettlig eller uaktsomt overtrer forskrift gitt i medhold av bokstav a, kan ilegges overtredelsesgebyr f) gjennomføring av forpliktelser som følger av EØS-avtalen og andre internasjonale avtaler, og som understøtter lovens regler eller formål g) behandling av personopplysninger, blant annet om formålet med behandlingen, behandlingsansvar, hvilke personopplysninger som kan behandles, viderebehandling, utlevering og sletting h) nasjonalt kontaktpunkt for sikkerhet i nettverks- og informasjonssystemer.

Kongen har myndighet til å lage utfyllende regler (forskrifter) for loven. Dette gjelder blant annet krav til sikkerhet, tilsyn, gebyrer og behandling av personopplysninger.AI

Se ogsåDigitalsikkerhetsloven § 7Digitalsikkerhetsloven § 8Digitalsikkerhetsloven § 10Digitalsikkerhetsloven § 112 forskrifter →

Kapittel 6. Sikkerhetssertifisering

§ 19

Sikkerhetssertifisering av informasjons- og kommunikasjonsteknologi

Kongen kan gi forskrift om sikkerhetssertifisering av IKT-produkter, IKT-tjenester og IKT-prosesser for å gjennomføre forpliktelser etter EØS-avtalen. Dette omfatter også a) utpeking av sertifiseringsmyndighet b) tilsyn med sertifiseringsorganer som tilbyr sikkerhetssertifisering av IKT-produkter, IKT-tjenester og IKT-prosesser c) pålegg om retting, tvangsmulkt og overtredelsesgebyr ved overtredelse av krav til sikkerhetssertifisering.

Kongen kan lage regler for sikkerhetssertifisering av IKT-produkter, tjenester og prosesser for å følge EØS-avtalen. Dette inkluderer hvem som skal sertifisere, tilsyn med disse organene og sanksjoner ved brudd på kravene.AI

1 forskrift →

Kapittel 7. Sluttbestemmelser

§ 20

Ikrafttredelse

Loven trer i kraft fra den tiden Kongen bestemmer. De enkelte bestemmelsene kan settes i kraft til ulik tid.

Loven begynner å gjelde fra det tidspunktet Kongen bestemmer. Enkelte deler av loven kan tre i kraft på ulike tidspunkter.AI

Noter (1)
  • Note 1Fra 1 okt 2025 iflg. res. 20 juni 2025 nr. 1088 .

Vanlige spørsmål

✨ AI-generert

Forenklede forklaringer laget med AI og kontrollert automatisk — les alltid selve lovteksten.

Hva er formålet med digitalsikkerhetsloven?

Loven skal sikre digital sikkerhet i virksomheter som er viktige for samfunnet. Målet er å hindre, finne og stoppe uønskede hendelser i systemer som leverer samfunnsviktige og digitale tjenester. Den skal også bidra til sikkerhet i IKT-produkter, tjenester og prosesser.

Åpne § 1
Hvilke sektorer regnes som samfunnsviktige tjenester i denne loven?

Loven gjelder for tilbydere av digitale tjenester og samfunnsviktige tjenester innen sektorer som energi, transport, helse, vann, bank, finansmarkedsinfrastruktur og digital infrastruktur. Virksomheter som følger lov om elektroniske tillitstjenester er unntatt.

Åpne § 2
Hvem gjelder loven for når det kommer til samfunnsviktige tjenester?

Loven gjelder for tilbydere av samfunnsviktige tjenester i Norge, samt tilbydere av digitale tjenester med hovedkontor eller representant i Norge. Det kan gis egne regler for Svalbard, Jan Mayen og bilandene.

Åpne § 3
Hva regnes som nettverks- og informasjonssystemer?

Bestemmelsen forklarer hva som menes med nettverks- og informasjonssystemer, sikkerhet i disse systemene og hva som regnes som en hendelse i lovens forstand.

Åpne § 4
Hva skjer hvis en annen lov har strengere krav til sikkerhet?

Reglene om sikkerhet og varsling i denne loven gjelder med mindre andre lover har tilsvarende eller strengere krav.

Åpne § 5
Hva skal til for at en virksomhet regnes som en tilbyder av samfunnsviktige tjenester?

Bestemmelsen forklarer hvem som regnes som tilbydere av samfunnsviktige tjenester. Dette gjelder virksomheter som leverer kritiske tjenester avhengig av digitale systemer, og hvor hendelser kan føre til betydelige forstyrrelser.

Åpne § 6
Må leverandører av samfunnsviktige tjenester vurdere risikoen ved systemene sine?

Tilbydere av samfunnsviktige tjenester må vurdere risikoen for sine digitale systemer. De skal innføre passende sikkerhetstiltak for å hindre og håndtere hendelser slik at tjenestene fortsetter å fungere.

Åpne § 7
Må tilbydere av samfunnsviktige tjenester varsle om hendelser som påvirker tjenesteleveransen betydelig?

Virksomheter som leverer samfunnsviktige tjenester må varsle utpeket organ om hendelser som påvirker tjenesten betydelig. Varslingen skal skje raskt og uavhengig av taushetsplikt.

Åpne § 8

Forskrifter med hjemmel i denne loven

2 forskrifter er fastsatt med hjemmel i Digitalsikkerhetsloven.

EØS-grunnlag

EU-rettsakter denne loven gjennomfører eller viser til.

Beslektede lover og forskrifter

Samme rettsområde — mest siterte først.