NIS2 for vann og avløp, med enkle ord.
Hvem det gjelder, de ti tiltakene, klokka på 24 og 72 timer, bøtene, hvor Norge står, og hvor det å kjenne sitt eget anlegg kommer inn.
NIS2 er EUs lov om digital sikkerhet i viktige tjenester, direktiv (EU) 2022/2555. Det erstattet det første NIS-direktivet og utvidet det kraftig. Drikkevann og avløp står begge på listen over sektorer med høy kritikalitet (vedlegg I), ved siden av energi, transport og helse. Driver du et vann- eller avløpsselskap av middels størrelse eller større i EU, gjelder det sannsynligvis deg.
Hvem det gjelder
Leverandører og distributører av drikkevann, og virksomheter som samler inn, fjerner eller renser avløpsvann. Direktivet gjelder i hovedsak mellomstore og store virksomheter, og medlemslandene kan ta med mindre som er viktige. Store virksomheter i vedlegg I er som regel vesentlige, mellomstore viktige: begge har plikter, og de vesentlige følges tettere opp.
Hva det krever
Artikkel 21 lister tiltakene. Med enkle ord:
- en policy for risikoanalyse og sikring av informasjonssystemer
- en måte å håndtere hendelser på
- kontinuitet: sikkerhetskopier, gjenoppretting, krisehåndtering
- sikkerhet i leverandørkjeden: risikoen som følger med hver leverandør og tjenesteyter
- sikkerhet når systemer kjøpes, bygges og vedlikeholdes, også håndtering av sårbarheter
- en måte å sjekke at alt dette faktisk virker
- grunnleggende digital hygiene og opplæring
- kryptografi og kryptering der det passer
- sikkerhet rundt personell, tilgangsstyring og oversikt over eiendeler: å vite hva du har
- flerfaktorautentisering og sikker kommunikasjon der det passer
Klokka når noe skjer
Artikkel 23 setter fristene ved en vesentlig hendelse: et tidlig varsel innen 24 timer, en hendelsesmelding innen 72 timer og en sluttrapport innen én måned etter meldingen. Artikkel 34 setter bøtene: for vesentlige virksomheter et øvre tak på minst 10 millioner euro eller 2 % av global årsomsetning, det som er høyest, og for viktige virksomheter minst 7 millioner euro eller 1,4 %. Ledelsen kan holdes personlig ansvarlig.
Og i Norge?
Norge er ikke med i EU, men følger etter gjennom EØS-avtalen, og det tar lengre tid. Digitalsikkerhetsloven trådte i kraft 1. oktober 2025 og gjennomfører det første NIS-direktivet; NIS2 er ennå ikke gjennomført i norsk rett (Schjødt, 2025). Vannverk som forbereder seg på NIS2 nå, blir ikke tatt på senga når det kommer.
Der det å kjenne sitt eget anlegg kommer inn
To av tiltakene er i det stille de vanskeligste. Oversikt over eiendeler betyr å vite hva hvert instrument og hver måling i anlegget er, og de fleste vannverk har den kunnskapen i hodene til folk og i tegninger som er utdaterte. Sikkerhet i leverandørkjeden betyr at hvert nytt verktøy, KI også, er en ny risiko å vurdere: hvor sender det data, og kan det endre noe?
Derfor bygger vi som vi gjør: en modell av anlegget laget fra dets egne eksporter, holdt innenfor gjerdet, som bare kan lese, og som sier hva den ikke vet. Den gjør ikke et vannverk lovlydig alene. Ingenting gjør det. Men den gjør «hva har vi egentlig?» fra et spørsmål til en fil.
Dette er en enkel oppsummering, ikke juridisk rådgivning. Direktivteksten er det som gjelder.