Cybersikkerhet

Bulls team for cybersikkerhet bistår virksomheter med å navigere et stadig strengere regulatorisk landskap for digital sikkerhet. Vi dekker hele spekteret, fra forebygging og etterlevelse til akutt krisehåndtering ved hendelser.

Juridisk ekspertise innen cybersikkerhet

Bull er ledende innen juridisk bistand knyttet til digitalsikkerhetsloven, NIS2, DORA, CRA og CER. Vi bistår virksomheter i alle faser; fra gap-analyser, regelverkskartlegging og etablering av styringssystemer, til akutt bistand ved cyberangrep og håndtering av tilsynssaker overfor NSM, Nkom, Finanstilsynet og Datatilsynet. Vi har inngående kjennskap til styrets og ledelsens personlige ansvar for virksomhetens digitale sikkerhet, og bistår på tvers av bransjer – herunder finansforetak, teleoperatører, datasentre og produsenter av digitale produkter.

Vi gir proaktiv rådgivning ved å være i forkant av den regulatoriske og teknologiske utviklingen, og bistår med alt fra kontrakter og leverandørstyring til sikkerhetsrelatert due diligence ved virksomhetsoverdragelser. Vi brenner for å gjøre regelverket håndterbart i det daglige, og holder jevnlige kurs og workshops for ledergrupper, sikkerhetsansvarlige og ansatte om plikter, ansvar og praktisk etterlevelse.

Våre tjenester

Systematisk kartlegging av avvik mellom virksomhetens nåværende sikkerhetsnivå og kravene i digitalsikkerhetsloven, NIS2, DORA, CRA, CER og andre relevante regelverk.
Vurdering av hvilke sikkerhetsregelverk som gjelder for virksomheten, direkte eller gjennom kontrakt med kunder.
Etablering av risikovurderinger og styringssystemer for nett- og informasjonssikkerhet, herunder tilpasning til ISO 27001.
Utarbeidelse av rutiner, maler og beredskapsplaner for å oppdage, klassifisere og varsle sikkerhetshendelser til rette myndighet (NSM, Nkom, Finanstilsynet, Datatilsynet, ENISA/CSIRT) innen fristene i det enkelte regelverk.
Umiddelbar juridisk bistand ved hendelser, i samarbeid med tekniske responsteam, for å begrense skade, oppfylle varslingsplikter og håndtere kontakt med myndigheter og berørte parter.
Utarbeidelse og gjennomgang av avtaler som ivaretar sikkerhetskrav i hele leverandørkjeden, herunder underleverandøravtaler og kundekontrakter.
Rådgivning om styrets og ledelsens plikter og personlige ansvar under NIS2, digitalsikkerhetsloven og DORA, samt opplæring og forankring på ledernivå.
Bistand til produsenter, importører og distributører med å oppfylle sikkerhetskrav til produkter med digitale elementer under Cyber Resilience Act, herunder sertifisering og rapportering av sårbarheter.
Bistand med IKT-risikorammeverk, hendelsesklassifisering, testing av digital motstandsdyktighet og krav til IKT-leverandøravtaler for banker, forsikringsselskaper og andre finansforetak.
Rådgivning til virksomheter som underlegges CER, direkte eller gjennom avtale.
Bistand til tilbydere av elektronisk kommunikasjon og datasentre ifht. krav til forsvarlig sikkerhet og beredskap.
Bistand ved tilsyn og håndtering av saker om overtredelsesgebyr, pålegg og andre sanksjoner fra NSM, Nkom, Finanstilsynet og Datatilsynet.
Sikkerhetsrelatert due diligence og risikovurdering som del av transaksjonsprosesser, herunder vurdering av target-selskapers etterlevelse av sikkerhetsregelverk.
Kurs og workshops for ledergrupper, sikkerhetsansvarlige og ansatte om plikter, ansvar og praktisk etterlevelse av sikkerhetsregelverket.

Oversikt over sikkerhetsregulering

Digitalsikkerhetsloven (NIS1)
Norsk lov som stiller krav til sikkerhet i nett og informasjonssystemer. Gjennomfører EUs første NIS-direktiv (Network and Information Systems).
Digitalsikkerhetsloven gjelder tilbydere av samfunnsviktige tjenester og visse digitale tjenestetilbydere.
Tilbydere av samfunnsviktige tjenester er virksomheter i sektorer som
- energi
- transport
- helse
- drikkevann
- finans
- digital infrastruktur som oppfyller terskelkrav fastsatt i forskrift
Digitalsikkerhetsforskriften lister opp en detaljert beskrivelse i 28 punkter.
Ansvarlig departement og Nasjonal sikkerhetsmyndighet (NSM) kan utpeke ytterligere tilbydere av samfunnsviktige tjenester.
Digitale tjenestetilbydere omfatter nettbaserte markedsplasser, nettbaserte søkemotorer og skytjenester. Visse unntak gjelder for små virksomheter med under 50 ansatte og med årlig omsetning eller balanse på under 10 millioner euro.
Pliktene inkluderer å melde inn tjenesten, risikovurdere, implementere egnede og forholdsmessige sikkerhetstiltak for nett- og informasjonssystemer (styringssystem), opplæring, samt å melde alvorlige sikkerhetshendelser til NSM innen 24 timer.
Sanksjoner: Virksomheter kan pålegges å rette manglende etterlevelse. Det kan også ilegges overtredelsesgebyr (bot) på det høyeste beløpet av opp til 4% av virksomhetens årlige omsetning eller 25 G. Manglende rapportering av sikkerhetshendelser kan medføre overtredelsesgebyr.
Avtaler med underleverandører og kunder blir et sentralt verktøy for etterlevelse, sammen med robuste interne skriftlige rutiner.
Status i EU: NIS1-direktivet ble vedtatt i 2016. Erstattet av NIS2 i 2022. Nesten alle EU-land har implementert lovverket.
Status i Norge: Digitalsikkerhetsloven med forskrift vedtatt i 2023, begge trådte i kraft 1. oktober 2025. Vil bli erstattet av ny lov som gjennomfører NIS2 og CER-direktivet.
Artikler om Digitalsikkerhetsloven:
Norsk lov om digital sikkerhet henger langt etter EU – men snart er tiden inne.
Digitalsikkerhetsloven og forskriften trer i kraft – hva betyr dette for norske virksomheter?
Styrets ansvar for cybersikkerhet strammes til
Ta kontakt med oss dersom du ønsker hjelp til de neste stegene.
NIS2: Direktivet om sikkerhet i nettverks- og informasjonssystemer
EU-regler om sikkerhet i nettverk og informasjonssystemer for virksomheter i kritiske sektorer.
NIS2 er EUs reviderte regelverk for cybersikkerhet (datasikkerhet). Direktivet gjelder virksomheter i 18 utpekte sektorer, delt inn i «kritiske» og «viktige» virksomheter.
Kritiske sektorer inkluderer:
- energi
- transport
- bank
- helse
- drikkevann
- digital infrastruktur
- IKT-forvaltningstjenester (‘managed service/security providers’)
- offentlig forvaltning
- romfart
Viktige sektorer inkluderer:
- post
- avfallshåndtering
- matproduksjon
- tilvirkning/utstyrsproduksjon (viser til detaljerte lister)
- markedsplasser, søkemotorer og sosiale medier
- produksjonsindustri og offentlig forvaltning
Direktivet gjelder som hovedregel virksomheter med mer enn 50 ansatte eller over 10 millioner euro i omsetning, men visse virksomheter er underlagt regelverket uavhengig av størrelse.
Pliktene inkluderer å gjennomføre risikovurderinger, implementere tekniske og organisatoriske sikkerhetstiltak, etablere planer for hendelseshåndtering og rapportere alvorlige sikkerhetshendelser til myndighetene innen 24 timer. Ledelsen i virksomheten har et personlig erstatningsansvar for etterlevelse.
Avtaler med underleverandører og kunder blir et sentralt verktøy for etterlevelse, sammen med robuste interne skriftlige rutiner.
Sanksjoner: Ganske unik ved at ledelsen kan holdes personlig ansvarlig for manglende etterlevelse. For kritiske virksomheter kan tillatelsen til å drive inndras og ledelsen kan bli fjernet midlertidig. Kritiske virksomheter kan videre ilegges overtredelsesgebyr (bøter) på inntil 10 millioner euro eller 2% av global årsomsetning. Viktige virksomheter kan ilegges bøter på inntil 7 millioner euro eller 1,4% av global årsomsetning.
Status i EU: Vedtatt desember 2022. I kraft januar 2023. Frist for nasjonal gjennomføring i EU: oktober 2024.
Status i Norge: Gjennomføring pågår. Forslag til ny digitalsikkerhetslov som også vil omfatte CER-direktivet (fysisk sikkerhet) er under arbeid, men ikke vedtatt per juli 2026.
Artikler om NIS2:
Styrets ansvar for cybersikkerhet strammes til
En ny æra av cybersikkerhet i Europa
NIS2-direktivet: Hvilke virksomheter omfattes?
NIS2: Personlig ansvar for ledelsen og ansatte
Hvilke konkrete sikkerhetstiltak krever NIS2 at virksomheter gjennomfører?
Ta kontakt dersom du har noen spørsmål om NIS2.
DORA-forordningen har blitt norsk lov gjennom DORA-loven (DORA). DORA gjelder et bredt spekter av finansforetak, inkludert banker, forsikringsselskaper, verdipapirforetak, betalingstjenesteytere, forvaltere av alternative investeringsfond og kryptoaktiva-tjenestetilbydere. DORA gjelder også kritiske IKT-underleverandører (for eksempel skyleverandører) som betjener finanssektoren. DORA erstatter IKT-forskriften vi hadde i mange år.
Pliktene inkluderer å etablere et rammeverk for IKT-risikostyring, klassifisere og rapportere alvorlige IKT-hendelser til tilsynsmyndighetene, gjennomføre jevnlige tester av digital motstandsdyktighet (herunder penetrasjonstesting for de største aktørene), og stille krav til IKT-sikkerhet i kontrakter med leverandører. Sikkerhet i leverandørkjeden er sentralt.
Avtaler med underleverandører og kunder blir et hovedverktøy for etterlevelse og er omfattet av kravene i DORA. Det samme gjelder robuste interne rutiner.
Sanksjoner: Finanstilsynet kan ilegge overtredelsesgebyr på opptil 50 millioner kroner.
Status i EU: Vedtatt i 2025.
Status i Norge: I kraft 1. juli 2025. Lov og forskrift er kortfattede, med henvisning til forordningen.
Les også flere artikler vi har skrevet om temaet:
Styrets ansvar for cybersikkerhet strammes til
Fra IKT-forskrift til DORA-lov: Finanssektoren med underleverandør strammes ytterligere opp
Ta kontakt med oss dersom du lurer på noe.
Cyber Resilience Act (CRA) eller Cyberrobusthetsforordningen på norsk gjelder produsenter, importører og distributører av produkter med digitale elementer som omsettes i EU/EØS. Dette inkluderer alt fra dørklokker, babymonitorer, smarthjemassistenter, leker til helseovervåkingsutstyr, wifi-rutere, brannmurer og skyløsninger koblet til slike produkter. CRA omfatter også programvare. Unntak gjøres for spesialregulerte områder, som bil, fly og medisinsk utstyr. Forordningen deler produkter inn i standardkategorier og høyrisikokategorier med strengere krav.
Produktsikkerheten skal tilpasses risikoen. Produsenter, importører og distributører (leverandører) som setter sitt eget navn på produktene skal etterleve essensielle krav - altså grunnleggende krav til sikkerhet. Hovedprinsippet er at sikkerheten skal tilpasses risikonivået.
Sertifisering. Sertifiseringskrav styres av hvor kritiske produktene er. I visse tilfeller kreves tredjepartssertifisering.
Design. Pliktene inkluderer å bygge sikkerhet inn i produktet fra designstadiet («security by design»), gjennomføre sårbarhetsvurderinger og sørge for sikkerhetsoppdateringer i hele produktets levetid (minst 10 år).
Nye rapporteringskrav. For å muliggjøre samordnet respons og oversikt, må produsenten rapportere sårbarheter og alvorlige hendelser til sikkerhetsorganene ENISA og CSIRT innen 24 timer. Rapporteringskravene gjelder fra 11. september 2026.
Produktene skal CE-merkes. CRA er mer eller mindre en ren produktsikkerhetslov.
Risikovurdering skal gjennomføres. Jo mer kritisk produktet er, jo strengere krav til vurderingen.
Avtaler med underleverandører og kunder blir et sentralt verktøy for etterlevelse, sammen med robuste interne rutiner.
Sanksjoner: Overtredelsesgebyr (bøter) på inntil 15 millioner euro eller 2,5% av global årsomsetning ved alvorlige brudd. Lavere bøter for øvrige brudd. Produkter som ikke etterlever kravene, kan måtte trekkes fra markedet.
Status i EU: Vedtatt oktober 2024. Kravene fases inn frem mot 2027, med siste frist 11. desember 2027. Rapporteringskrav gjelder fra 11. september 2026.
Status i Norge: EØS-relevant. Under vurdering i spesialutvalget for indre marked, men ikke vedtatt i norsk rett per april 2026.
Artikler:
Nye krav til dingser: Disse 6 punktene bør du vite om Cyber Resilience Act.
Styrets ansvar for cybersikkerhet strammes til.
Cyber Resilience Avt: Nye sikkerhetskrav i endelig versjon av forordningen.
Har du spørsmål eller ønsker bistand rundt CRA? Ta kontakt med oss.
CER: Direktivet om kritiske enheters motstandsdyktighet
CER-direktivet gjelder virksomheter som myndighetene utpeker som «kritiske enheter» i sektorer som:
- energi
- transport
- bank/finans
- helse
- drikke- og avløpsvann
- digital infrastruktur
- offentlig forvaltning
- romvirksomhet
- mat (produksjon, fordeling og distribusjon)
Virksomhetene identifiseres av nasjonale myndigheter basert på risikovurderinger.
CER-direktivet kan kalles broren til NIS2-direkivet og direktivene skal samordnes. Der NIS2 fokuserer på cybertrusler, tar CER-direktivet for seg fysiske og operasjonelle risikoer som naturkatastrofer, sabotasje, terrorangrep og systemsvikt. Sammen utgjør disse direktivene EUs helhetlige tilnærming til beskyttelse av kritisk infrastruktur. I Norge vil implementeringen trolig skje gjennom en felles lov for begge.
Pliktene inkluderer å gjennomføre egne risikovurderinger, utarbeide planer for å øke motstandsdyktigheten mot fysiske hendelser som terrorangrep, naturkatastrofer og sabotasje, implementere tiltak for å forhindre, beskytte mot, respondere på og komme seg etter slike hendelser, og rapportere alvorlige hendelser til myndighetene. Avtaler med underleverandører og kunder blir et sentralt verktøy for etterlevelse, sammen med robuste interne rutiner.
Sanksjoner: Fastsettes av hvert enkelt EU-land. Direktivet krever at nasjonale sanksjoner er effektive, forholdsmessige og avskrekkende.
Status i EU: Vedtatt desember 2022. I kraft januar 2023. Frist for nasjonal gjennomføring i EU: oktober 2024.
Status i Norge: EØS-relevant. Norsk gjennomføring under utredning, ikke vedtatt per august 2026.
Artikler om CER-direktivet:
CER-direktivet: Nye fysiske sikkerhetskrav for kritiske virksomheter.
Ta kontakt med vår faggruppe for cybersikkerhet dersom du har spørsmål.
Personvernforordningen (GDPR)
GDPR gjelder alle virksomheter som behandler personopplysninger om personer i EU/EØS, uavhengig av virksomhetens størrelse eller etableringssted.
Sikkerhetsplikten består i å sørge for et «sikkerhetsnivå som er egnet med hensyn til risikoen». Den risikobaserte tilnærmingen skal ta hensyn til teknisk utvikling, kostnader, omfang, formål og øvrig risiko. En rekke tiltak listes opp, inkludert
- pseudonymisering og kryptering,
- evne til å sikre konfidensialitet, integritet, tilgjengelighet og robusthet,
- evne til å gjenopprette tilgjengeligheten og tilgangen i rett tid ved en hendelse,
- testing, analysering og vurdering av sikkerhetstiltakenes effektivitet.
Datatilsynet skal varsles om personvernbrudd av noe betydning innen 72 timer.
Avtaler med underleverandører og kunder er et sentralt verktøy for etterlevelse, sammen med robuste interne rutiner.
Sanksjoner: Overtredelsesgebyr på inntil 20 millioner euro eller 4 prosent av global årsomsetning (høyeste). I Norge kan Datatilsynet ilegge overtredelsesgebyr. Virksomheter kan også bli erstatningsansvarlige overfor berørte personer.
Status i EU: Vedtatt 2016. I kraft mai 2018.
Status i Norge: Gjennomført gjennom personopplysningsloven, i kraft juli 2018.
Artikler om GDPR:
Inteligo-dommen, og forholdet mellom GDPR og markedsføringsloven i “eksisterende kundeforhold”.
EU-kommisjonen foreslår GDPR-forenkling for små og mellomstore bedrifter og selskaper.
AI-verktøy og overføring av data til USA; hva krever GDPR av din virksomhet?
Få med deg personvernkonferanse i Sveits arrangert av Bull og MLL Legal våren 2027.
Norsk lov om elektronisk kommunikasjon. Stiller krav til sikkerhet og beredskap i telenett, teletjenester og datasentre.
Ekomloven gjelder tilbydere av elektroniske kommunikasjonsnett og -tjenester og datasentre i Norge. Dette inkluderer mobiloperatører, internettleverandører, tilbydere av fastnett og trådløst nett og andre aktører som driver eller tilbyr kommunikasjonsinfrastruktur. Loven gjelder også nummeruavhengige tjenester som WhatsApp, Signal og Messenger.
Delen av loven som gjelder sikkerhet krever «forsvarlig sikkerhet» i fred, krise og krig. Det betyr krav om tiltak for å beskytte nett og tjenester mot uautorisert tilgang og forstyrrelser, robusthet og stabilitet i tjenestene, beredskap og rapportering av alvorlige sikkerhetshendelser til Nasjonal kommunikasjonsmyndighet (Nkom).
Sanksjoner: Nkom kan ilegge tvangsmulkt og overtredelsesgebyr. Ved grove brudd kan tillatelser inndras.
Status i EU: Bygger på EUs ekomdirektiv (2018/1972), vedtatt 2018.
Status i Norge: Ny ekomlov i kraft 1. januar 2025.
Ta kontakt med oss dersom du har noen spørsmål.