NIS2-programvare
for etterlevelse og risikostyring

NIS2 er direktiv (EU) 2022/2555 om tiltak for et høyt felles nivå for cybersikkerhet i Unionen. Det forplikter viktige og særlig viktige virksomheter til risikostyringstiltak, til varsling av betydelige sikkerhetshendelser og til registrering, og det ansvarliggjør ledelsen. I Tyskland er direktivet gjennomført ved gjennomføringsloven for NIS2 i BSI-loven (BSIG), som i ny utgave har vært gjeldende siden 6. desember 2025.

NIS2-programvare avbilder pliktene i NIS2 i én datamodell — omfang, aktiva, krav, risikoer, tiltak, sikkerhetshendelser og bevis — og kobler dem sammen. I realiteten er det ISMS-programvare som har med seg kravkatalogen for NIS2: i stedet for å holde regneark konsistente for hånd vedlikeholder du hvert objekt én gang, og rapporter og dashbord genereres fra dataene.

Programvare for gjennomføring av NIS2 erstatter ikke arbeidet, den ordner det: NIS2-kravene foreligger som katalog, og hvert krav vurderes, begrunnes og underbygges med bevis. Risikoer og tiltak er knyttet til aktivaene de gjelder, og frister og ansvarlige er registrert. Slik kan NIS2-etterlevelsen dokumenteres og statusen rapporteres når som helst — uten at noen setter sammen regneark.

Complaica støtter hele NIS2-gjennomføringen: de ti risikostyringstiltakene etter § 30 BSIG, for de berørte virksomhetstypene gjennomføringsforordning (EU) 2024/2690 med art. 1–⁠14 og de 13 temaområdene i vedlegget, føring av sikkerhetshendelser med varslingsfristene etter § 32 BSIG og visningen for ledelsen etter § 38 BSIG. Katalogene vurderes på aktivatreet ditt.

§ 30 BSIG nevner ti områder som tiltakene minst må omfatte: risikoanalyse og sikkerhetsretningslinjer, håndtering av sikkerhetshendelser, opprettholdelse av driften og krisehåndtering, sikkerhet i leverandørkjeden, sikkerhet ved anskaffelse, utvikling og vedlikehold, vurdering av virkningen, opplæring, kryptografi, personellsikkerhet og tilgangskontroll samt flerfaktorautentisering og sikret kommunikasjon. Tiltakene må være egnede, forholdsmessige og effektive, og det skal dokumenteres at de overholdes.

Den utdyper NIS2-direktivet. Art. 1 og 2 fastsetter sammen med vedlegget de tekniske og metodiske kravene til risikostyringstiltakene; art. 3 og 4 bestemmer når en sikkerhetshendelse regnes som betydelig; art. 5 til 14 gjør det samme for enkelte typer virksomheter — fra leverandører av DNS-tjenester via skytjenester og datasentertjenester til tilbydere av tillitstjenester. Forordningen gjelder direkte bare for disse typene virksomheter.

Gjennomføringsforordning (EU) 2024/2690 gjelder direkte bare for de typene virksomheter den selv nevner: leverandører av DNS-tjenester, registerenheter for toppdomener (TLD), leverandører av skytjenester og datasentertjenester, leverandører av innholdsleveringsnettverk (CDN), leverandører av administrerte tjenester og administrerte sikkerhetstjenester (Managed Service Provider, Managed Security Service Provider), tilbydere av nettbaserte markedsplasser, nettbaserte søkemotorer og plattformer for sosiale nettverkstjenester samt tilbydere av tillitstjenester. For alle andre viktige og særlig viktige virksomheter gjelder pliktene i BSIG; for dem kan forordningen tjene som rettesnor, men den er ikke bindende for dem.

Betydelige sikkerhetshendelser skal etter § 32 BSIG varsles til det felles varslingspunktet til BSI og BBK: med et tidlig førstevarsel, et varsel og en sluttrapport, og på anmodning fra BSI i tillegg med mellomrapporter. Complaica fører sikkerhetshendelser med tidsstempler, ansvarlige og frister og registrerer hvert trinn med forfatter og dato. Selve varselet sender du inn til varslingspunktet.

Begge fristene løper fra tidspunktet da virksomheten får kjennskap til en betydelig sikkerhetshendelse. Innen 24 timer skal det tidlige førstevarselet sendes, innen 72 timer varselet, som bekrefter eller oppdaterer de første opplysningene. Senest én måned etter dette varselet følger sluttrapporten; pågår hendelsen fortsatt, kommer en fremdriftsrapport i stedet.

Tjenesteleverandører og leverandører føres som aktiva og kobles til forretningsprosessene og tjenestene som avhenger av dem. For hver leverandør kan krav vurderes, leverandørrisikoer identifiseres og håndteres og bevis lagres. Avhengighetsgraf og avhengighetsmatrise viser hvilken tjeneste som avhenger av hvilken leverandør.

Etter § 38 BSIG må ledelsen gjennomføre risikostyringstiltakene, overvåke gjennomføringen og regelmessig delta i opplæring. Dashbord og rapporter i Complaica er derfor lagt opp for ledelsens perspektiv: oppfyllelsesgraden, de største risikoene og de åpne tiltakene på én side.

Hvert krav får en gjennomføringsstatus. Complaica akkumulerer den nedenfra og opp — fra kravet via temaområdet til organisasjonen — og viser den i dashbord: som totalverdi, per temaområde, per lokasjon og sammenlignet med forrige måned. Oppfyllelsesgraden er en sammenstilling fra Complaica av dine egne vurderinger, ikke et nøkkeltall fastsatt av myndighetene.

Virkeområdet følger av sektor, størrelse og aktivitet. Omfattet er virksomheter i sektorene i vedlegg 1 og 2 til BSIG — for eksempel energi, transport, helse, digital infrastruktur, IKT-tjenester eller industriproduksjon — som regel fra 50 ansatte eller mer enn 10 millioner euro i årsomsetning og årlig balansesum; enkelte virksomheter omfattes uavhengig av størrelse. Om bedriften din er omfattet, vurderer vi gjerne sammen med deg.

NIS2 er lovgivning, ISO 27001 en standard for ISMS-et — innholdsmessig overlapper de to i mange temaer, fra risikostyring til tilgangskontroll. I Complaica vurderes NIS2 og ISO 27001 på samme omfangsmodell og bruker de samme aktivaene, risikoene, tiltakene og bevisene. Det gjelder også for TISAX, BSI IT-Grundschutz, DORA, GDPR og ISO 22301: det som allerede er dokumentert, kan — så langt det passer innholdsmessig — brukes for hvert regelverk det gjelder.

Den dekker en betydelig del av kravene i § 30 BSIG, men erstatter verken registrering eller varslings- og dokumentasjonsplikter. I Complaica bruker begge regelverkene de samme aktivaene, risikoene, tiltakene og bevisene; differansen vises som en liste over åpne krav.

Nei. NIS2 er lovgivning, ikke en sertifiseringsstandard: det finnes verken et NIS2-sertifikat for virksomheter eller et for programvare. Virksomheten må gjennomføre tiltakene og kunne dokumentere det når tilsynsmyndigheten ber om det; om plikten er oppfylt, vurderer den kompetente myndigheten. Complaica holder bevisene for dette klare på objektet de dokumenterer.

Ja. Complaica er tilgjengelig som SaaS og on-premises: SaaS-varianten driftes i Tyskland; on-premises kjører du programvaren for NIS2-etterlevelse i din egen infrastruktur. Lisensen koster det samme i begge tilfeller.

Ja. Complaica importerer og eksporterer data fra og til Excel, via REST API og fra andre ISMS-verktøy; migreringen av dataene dine er gratis og følges opp av våre spesialister. Slik vurderer du verktøyet på ditt eget datasett i stedet for på demodata.

Via REST API aktivaforvaltnings- og CMDB-systemer som i-doit, GLPI, FNT Command og andre, samt Jira, SAP og Microsoft Azure. Applikasjonsdata er tilgjengelige via data marts for eksterne analyse- og rapporteringssystemer, og via MCP kan en KI-assistent kobles til.

For et definert omfang foreligger de første holdbare statusrapportene typisk etter noen få uker — avhengig av eksisterende dokumentasjon og tilgjengelige ressurser. Med forberedt innhold og rådgivning ligger mindre organisasjoner i den nedre enden.