Det finnes ingen enkelt NIS2-frist. Det er samsvarsproblemet.

Det finnes ikke lenger én frist for samsvar med NIS2. Fristen for gjennomføring gikk ut i oktober 2024, og hvis organisasjonen din venter på én dato å jobbe mot, avhenger datoen som nå gjelder av hvor du opererer.

Medlemslandene hadde frist til 17. oktober 2024 på seg til å implementere NIS2 i nasjonal lovgivning. De fleste gjorde det ikke. I juli 2026 anla EU-kommisjonen Irland, Spania, Frankrike og Nederland til EU-domstolen for manglende melding om sine implementeringstiltak – to år etter fristen.

Resultatet er et samsvarslandskap uten en felles klokke. Tysklands BSIG trådte i kraft i desember 2025 uten overgangsperiode, og BSI-registreringsportalen åpnet 6. januar 2026. Andre medlemsland har sine egne tidsplaner for registrering, revisjon og rapportering i 2026 og 2027. En organisasjon som opererer i fem EU-markeder har ikke én NIS2-frist. Den har fem, og de er ikke samkjørte.

Hva varierer, og hva som ikke

Hva varierer fra medlemsland til medlemsland

Tidsplanen og de administrative detaljene: når registreringen åpner og stenger, hvilken nasjonal myndighet som fører tilsyn, hvordan revisjonskadensen ser ut og hvor raskt straffer blir håndhevbare.

Hva som er fastsatt av direktivet

Innholdet varierer ikke, fordi det kommer fra direktivet snarere enn den implementerende loven. Artikkel 21 krever tiltak for risikostyring innen cybersikkerhet. Artikkel 23 setter rapporteringsklokken: en tidlig varsling innen 24 timer etter at man blir oppmerksom på en betydelig hendelse, en mer fullstendig varsling innen 72 timer og en endelig rapport innen én måned. Artikkel 20 gjør ledelsesorganene ansvarlige for å godkjenne og føre tilsyn med disse tiltakene, og krever at de gjennomfører opplæring. Artikkel 34 setter et tak i administrative bøter på 10 millioner euro eller to prosent av den totale globale årlige omsetningen for viktige enheter, og 7 millioner euro eller 1,4 prosent for viktige enheter.

En organisasjon som bygger i henhold til direktivet er klar for den nasjonale fristen som kommer først. En organisasjon som bygger i henhold til ett lands sjekkliste er klar for ett land.

Forpliktelsen som er vanskeligst å ettermontere

Registrering er administrativ. Dokumentasjon er et prosjekt med en forfallsdato. Rapporteringsklokken i henhold til artikkel 23 er ingen av delene, fordi det er den eneste forpliktelsen som må til for å jobbe under press, på dagen, med den som tilfeldigvis er tilgjengelig.

Tjuefire timer høres generøst ut, helt til de første timene av en hendelse går med til å fastslå hva som faktisk skjer. Den tidlige varslingen må forsvinne mens bildet fortsatt er i ferd med å danne seg. Den mer fullstendige varslingen etter 72 timer må være i samsvar med den. Begge må holde stand etterpå, foran en tilsynsmyndighet som vil spørre hvordan hver konklusjon ble nådd. Det er en evne, ikke et dokument – ​​og det er den delen organisasjoner oftest oppdager at de ikke har i det øyeblikket de trenger den.

Hva dette betyr i praksis

RAYVN tetter dette gapet ved å gjøre posten til et biprodukt av responsen snarere enn en oppgave etter den. Når mobilisering, eskalering og hver beslutning loggføres etter hvert som de skjer, hentes varselet fra en live, tidsstemplet post i stedet for å rekonstrueres fra minnet mot en løpende klokke – og den samme posten svarer på de påfølgende tilsynsspørsmålene.

Denne artikkelen oppsummerer NIS2 for generell informasjon og gjenspeiler vår tolkning av direktivet og de nasjonale lovene som implementerer det slik de er nå. Dette er ikke juridisk rådgivning og bør ikke brukes som sådan. For en endelig oppfatning av hvordan disse reglene gjelder for din organisasjon, bør du kontakte en kvalifisert juridisk rådgiver.