Du står ikke på lista. Kunden din gjør det.

# Du står ikke på lista. Kunden din gjør det.

Da digitalsikkerhetsloven trådte i kraft 1. oktober 2025, gjorde de fleste norske SMB-er det samme: leste overskriften, lette etter sin egen bransje i lista, fant den ikke, og gikk videre.

Konklusjonen var riktig. Handlingen var feil.

Loven gjelder tilbydere av samfunnsviktige tjenester — energi, transport, helse, vannforsyning, bank, finansmarkedsinfrastruktur og digital infrastruktur — pluss enkelte digitale tjenester som skytjenester, markedsplasser og søkemotorer. Er du et regnskapsbyrå med tolv ansatte, en produsent av spesialkomponenter eller et it-hus i distriktet, er du ikke omfattet.

Men se på paragraf 14.

Der står oppfølgingsplikten: den som er omfattet, skal påse at leverandører og andre som utfører arbeid som kan påvirke sikkerheten, gjør det på en måte som oppfyller kravene. Gjennom avtale eller andre egnede tiltak.

Det er hele mekanismen. Loven pålegger ikke deg noe. Den pålegger kunden din å binde deg.

Slik kommer det til deg

Ikke som et brev fra et tilsyn. Det kommer som et vedlegg til en kontrakt du gjerne vil beholde.

Et spørreskjema om informasjonssikkerhet før fornyelse. En ny klausul om at du skal varsle innen så og så mange timer. Et krav om å dokumentere hvem hos deg som har tilgang til deres data. Et spørsmål om hvem som er sikkerhetsansvarlig hos dere, med navn.

Ingen av dem kommer merket «dette skyldes paragraf 14». De kommer fordi innkjøperen har fått en plikt hen må kunne svare for.

Og tidsrammene er ikke romslige. En omfattet virksomhet skal varsle tilsynsmyndigheten senest 24 timer etter at den ble kjent med en alvorlig hendelse, oppdatere informasjonen innen 72 timer, og levere en hendelsesrapport innen én måned. Sitter årsaken hos en leverandør, må leverandøren ha svart lenge før det.

Tre spørsmål du bør kunne svare på uten å kalle inn til møte

Hvem hos dere kommer til kundens data, og hvordan ser vi det i ettertid? Ikke «vi har tilgangsstyring». Hvem, konkret, og hva logges.

Hva skjer de første 24 timene? Hvem oppdager, hvem varsler kunden, og på hvilken kanal. Har du ikke øvd på det, har du ikke et svar — du har en intensjon.

Hvem er ansvarlig, ved navn? Ikke en avdeling. En person, som finnes på jobb i morgen.

Kan du svare på disse tre skriftlig, klarer du de fleste spørreskjemaene som kommer. Kan du ikke det, blir du liggende i innkjøperens bunke over leverandører som må følges opp ekstra — og den bunken blir kortet ned med jevne mellomrom.

Og NIS2, da?

Her er det verdt å være presis, for mye av det som skrives om dette akkurat nå er upresist.

Loven som gjelder i Norge i dag gjennomfører NIS1. NIS2 — det utvidede direktivet som treffer langt flere virksomheter i EU — er ennå ikke innført i norsk rett. Nasjonal sikkerhetsmyndighet skriver at det kommer «etter hvert», sammen med CER-direktivet. Per september 2026 finnes det ingen dato.

Det betyr ikke at du kan vente. Det betyr det motsatte: kravene kommer til deg gjennom kundene dine før de kommer gjennom loven. Å vente på en dato som ikke finnes, er ikke en strategi.

Én ting til, som overrasker mange: for tilbydere av samfunnsviktige tjenester finnes det ingen størrelsesgrense. Et lite vannverk er omfattet. En bedrift med 200 ansatte i en annen bransje er det ikke. Det er hva virksomheten leverer som avgjør, ikke hvor stor den er.

Det er nyttig å vite når du sitter på den andre siden av bordet og lurer på hvorfor en liten kunde plutselig stiller store krav.

Loven er ikke din. Kravene blir dine likevel.