NIS2 er tilskipun Evrópusambandsins nr. 2022/2555 um ráðstafanir til að tryggja hátt sameiginlegt netöryggisstig innan sambandsins. Tilskipunin tekur við af eldri NIS-tilskipuninni frá 2016 og felur í sér víðtækari gildissvið, skýrari kröfur og öflugri eftirlits- og framfylgdarheimildir.

Tilskipunin á ensku: Directive (EU) 2022/2555 – NIS2

Tilskipunin er hluti af breiðari vinnu Evrópusambandsins við að styrkja stafrænt sjálfstæði, áfallaþol og trausta stafræna þjónustu. NIS2 var samþykkt samhliða tilskipun (ESB) 2022/2557 um viðnámsþol mikilvægra aðila (Critical Entities Resilience Directive, CER. NIS2 tengist jafnframt reglugerð (ESB) 2022/2554 um stafrænan rekstrarlegan viðnámsþrótt fjármálageirans (Digital Operational Resilience Act, DORA), sem setur sértækar kröfur um upplýsinga- og fjarskiptatækniáhættu innan fjármálageirans.

NIS2 byggir á þeirri sýn að stafræn framþróun geti ekki náð fótfestu nema notendur, fyrirtæki og stjórnvöld geti treyst því að mikilvæg stafræn þjónusta sé örugg, tiltæk og rekstrarhæf þegar á reynir. Netöryggi er því ekki aðeins tæknilegt úrlausnarefni heldur forsenda fyrir rekstraröryggi, almannahagsmunum og þjóðaröryggi.

Þrjár megináherslur NIS2

NIS2 snýst ekki eingöngu um skyldur fyrirtækja og stofnana. Tilskipunin byggir á þremur megináherslum: að styrkja getu aðildarríkja, setja skýrari kröfur á aðila sem veita mikilvæga þjónustu og efla samstarf ríkja og netöryggissveita á Evrópuvísu.

Geta aðildarríkja: Ríki þurfa að byggja upp stjórnsýslu, eftirlit, CSIRT-getu, netöryggisstefnur og ramma fyrir hættustjórnun.

Skyldur á aðila: Nauðsynlegir og þýðingarmiklir aðilar þurfa að stýra áhættu, tilkynna alvarleg atvik og tryggja rekstrarsamfellu.

Samstarf ríkja: Tilskipunin leggur áherslu á upplýsingamiðlun og samhæfingu milli aðildarríkja, meðal annars í gegnum NIS-samstarfshópinn, CSIRT-netið og CyCLONe.

MYND - hvað felst í NIS-2

Þetta skiptir máli vegna þess að alvarleg netatvik geta haft áhrif langt út fyrir þann aðila sem verður fyrir atvikinu. Truflun í einni mikilvægri þjónustu getur haft keðjuverkandi áhrif á aðra þjónustu, almannavarnir, rekstrarsamfellu og traust almennings á stafrænu samfélagi.

Cybersecurity Act (CSA) er reglugerð Evrópusambandsins nr. 2019/881 um ENISA og evrópskt netöryggisvottunarkerfi fyrir upplýsinga- og fjarskiptatækni. Hún styrkir hlutverk ENISA og setur ramma utan um samræmd evrópsk vottunarkerfi fyrir vörur, þjónustur og ferla.

Reglugerðin á ensku: Regulation (EU) 2019/881 – Cybersecurity Act

Tilgangur vottunarkerfisins
Markmið evrópska netöryggisvottunarkerfisins er að auka traust á stafrænum vörum og þjónustu á innri markaði Evrópu. Með sameiginlegum vottunarkerfum eiga fyrirtæki, stjórnvöld og notendur að geta áttað sig betur á því hvaða öryggiskröfur vara, þjónusta eða ferli uppfylla.
Vottun felur í sér formlegt mat óháðs og faggilts aðila á því hvort vara, þjónusta eða ferli uppfylli skilgreindar kröfur og staðla. Slík vottun getur auðveldað fyrirtækjum að sýna fram á ákveðið öryggisstig og dregið úr sundurleitni milli aðildarríkja.
Ein vottun – viðurkennd á evrópskum markaði
Hugmyndin er að vottun sem gefin er út samkvæmt evrópsku vottunarkerfi gildi og sé viðurkennd þvert á aðildarríki Evrópusambandsins.
Fyrirtæki sem starfa á evrópskum markaði geta þannig stuðst við sameiginleg viðmið í stað þess að þurfa að mæta ólíkum vottunarkröfum í hverju ríki fyrir sig.
Vottunarkerfin geta meðal annars fjallað um grundvallarreglur, tæknilegar kröfur, gæðastig, matsaðferðir og verkferla sem gilda eiga um tilteknar vörur, þjónustur eða ferla. Þau eiga þannig að verða sameiginlegt tungumál um netöryggi á evrópskum markaði.

Fullvissustig og samræmismat
Samkvæmt CSA geta upplýsinga- og fjarskiptatæknivörur, þjónustur og ferlar fengið vottun með mismunandi fullvissustigi. Fullvissustigið endurspeglar hversu ítarlegt mat hefur farið fram og hvaða áhættu eða notkun vottunin á að taka mið af.

 Lágt fullvissustig: Hentar þegar áhætta er takmörkuð og matið byggir á einfaldari kröfum.
 Verulegt fullvissustig: Hentar þegar þörf er á ítarlegra mati vegna aukinnar áhættu eða mikilvægari notkunar.
 Hátt fullvissustig: Hentar þegar varan, þjónustan eða ferlið er sérstaklega mikilvægt og gera þarf strangari kröfur til mats og staðfestingar.

Er vottun skylda?
Í grunninn byggir CSA á sjálfviljugri netöryggisvottun. Reglugerðin setur því almennt ekki sjálfstæða skyldu á fyrirtæki til að afla vottunar fyrir allar vörur, þjónustur eða ferla. Hún skapar hins vegar ramma sem hægt er að vísa til í öðru regluverki, opinberum innkaupum, samningum eða markaðskröfum.
Evrópska regluverkið þróast þó í þá átt að vottun geti orðið mikilvægari í framkvæmd. Í tilteknum tilvikum getur verið heimilt að gera kröfu um vottun eða að vottun verði notuð til að sýna fram á að vara, þjónusta eða ferli uppfylli tilteknar öryggiskröfur.
Hlutverk aðildarríkja og landsbundinna vottunaryfirvalda
CSA gerir ráð fyrir að aðildarríki komi upp umgjörð fyrir framkvæmd og eftirlit með netöryggisvottunum. Í því felst meðal annars að tilnefna landsbundið netöryggisvottunaryfirvald sem fer með tiltekið eftirlitshlutverk samkvæmt reglugerðinni.
Slíkt yfirvald getur meðal annars komið að útgáfu vottana á hæsta fullvissustigi, haft eftirlit með samræmismatsstofum og beitt úrræðum ef vottun er ekki í samræmi við kröfur. Í íslensku samhengi hefur ráðherra fengið heimild til innleiðingar CSA í lögum um Fjarskiptastofu nr. 75/2021.

Tenging við NIS2 og öryggisþjónustur
CSA tengist einnig NIS2 og öðrum nýrri netöryggisgerðum ESB. NIS2 leggur aukna áherslu á öryggi aðfangakeðju, stjórnun netöryggisáhættu og gæði þjónustu sem styður við varnir, greiningu, viðbrögð og endurheimt eftir netatvik. Vottun getur því orðið mikilvægt tæki til að auka traust á slíkri þjónustu.
Árið 2025 var samþykkt breyting á CSA til að gera kleift að setja evrópsk vottunarkerfi fyrir öryggisþjónustur, svo sem viðbrögð við atvikum, innbrotsprófanir, öryggisúttektir og ráðgjöf. Slíkar þjónustur gegna lykilhlutverki við að koma í veg fyrir, greina, bregðast við og ná sér eftir netöryggisatvik
Hvað þýðir CSA fyrir fyrirtæki og stofnanir?
Fyrirtæki og stofnanir þurfa ekki endilega að byrja á því að sækja um vottun. Mikilvægara er að átta sig á því hvar vottun getur haft þýðingu fyrir starfsemina, t.d. vegna innkaupa, samninga, samkeppnisstöðu, trausts viðskiptavina eða krafna sem kunna að koma fram í öðru regluverki.
CSA má því líta á sem mikilvægan grunn í evrópsku netöryggisumhverfi. Reglugerðin setur ekki aðeins ramma um vottun heldur styður einnig við það markmið að auka traust, draga úr sundurleitni á markaði og gera netöryggi sýnilegra í kaupum og notkun á stafrænni tækni.
CSA styður þannig við traust og samræmd viðmið innan markaðarins. Cyber Solidarity Act tekur næsta skref í heildarmyndinni og horfir sérstaklega til þess hvernig ríki og stofnanir geta greint ógnir fyrr, brugðist hraðar við og nýtt sameiginleg úrræði þegar alvarleg netatvik verða.

Tilskipunin hefur verið tekin upp í EES-samninginn en ekki verið innleidd í íslenskan rétt. Frumvarp til innleiðingar á gerðinn var lagt fram á Alþingi í mars 2026 en náði ekki afgreiðslu.

Cyber Solidarity Act er reglugerð Evrópusambandsins nr. 2025/38 um ráðstafanir til að styrkja samstöðu og getu innan sambandsins til að greina, undirbúa sig fyrir og bregðast við netógnum og netöryggisatvikum. Reglugerðin var samþykkt í desember 2024 og tók gildi innan ESB 4. febrúar 2025.

Reglugerðin á ensku: Regulation (EU) 2025/38 – Cyber Solidarity Act

Reglugerðin er ólík mörgum öðrum netöryggisgerðum ESB. Hún setur ekki aðeins kröfur á tiltekna aðila heldur byggir upp sameiginleg úrræði til að efla viðbúnað, greiningu, viðbrögð og endurreisn þegar alvarleg netatvik eiga sér stað.
CSoA endurspeglar breytt ógnarlandslag í Evrópu, þar sem netárásir geta haft áhrif yfir landamæri og áhættur stigmagnast hratt. Markmiðið er að styrkja sameiginlega getu ríkja og stofnana til að sjá ógnir fyrr, bregðast hraðar við og læra af alvarlegum atvikum.

Þátttaka ríkja og hvatar til samstarfs
Þátttaka aðildarríkja í tilteknum úrræðum reglugerðarinnar er valkvæð. Þrátt fyrir það felur reglugerðin í sér sterka hvata til þátttöku, meðal annars með aðgangi að fjármögnun, tæknilegum úrræðum, sameiginlegri greiningargetu og neyðaraðstoð þegar ríki eða stofnanir standa frammi fyrir alvarlegum netöryggisatvikum.
Í því felst ákveðin stefnubreyting: netöryggi er ekki aðeins byggt upp innan hvers ríkis fyrir sig, heldur einnig með sameiginlegum evrópskum viðbúnaði, upplýsingamiðlun og stuðningi þegar stór atvik hafa áhrif á fleiri en einn aðila eða fleiri en eitt ríki.

Þrjár meginleiðir reglugerðarinnar
Reglugerðin byggir einkum á þremur stoðum: evrópsku netöryggisviðvörunarkerfi, evrópsku neyðarúrræði á sviði netöryggis og evrópsku úrræði fyrir greiningu og endurskoðun netöryggisatvika.

Evrópskt netöryggisviðvörunarkerfi
Evrópska netöryggisviðvörunarkerfið á að bæta greiningu, úrvinnslu og miðlun upplýsinga um netógnir innan Evrópu. Kerfið byggir á landsbundnum og þverlandamæra netöryggismiðjum sem eiga að vinna saman að því að greina ógnir, miðla viðvörunum og bæta sameiginlega stöðumat Evrópu.
Hlutverk landsbundinna netöryggismiðja er meðal annars að safna saman, greina og miðla upplýsingum um netógnir og atvik á landsvísu. Þær eiga að vera tengiliður milli opinberra aðila, einkaaðila og evrópsks samstarfs, þannig að viðvaranir og upplýsingar berist hraðar og með samræmdari hætti.

Evrópskt neyðarúrræði á sviði netöryggis
Evrópska neyðarúrræðið á sviði netöryggis á að styðja við viðbúnað og viðbrögð við verulegum eða umfangsmiklum netöryggisatvikum. Það felur meðal annars í sér samræmdar viðbúnaðarprófanir, aðgang að evrópskum netöryggisvarasjóði og stuðning við gagnkvæma aðstoð milli ríkja.
Viðbúnaðarprófanir geta beinst að aðilum í sérstaklega mikilvægum geirum til að greina veikleika áður en þeir raungerast. Evrópski netöryggisvarasjóðurinn á síðan að veita aðgang að traustum öryggisþjónustuveitendum þegar þörf er á sérhæfðri aðstoð.

Greining og endurskoðun netöryggisatvika
Cyber Solidarity Act setur einnig á fót evrópskt úrræði fyrir greiningu og endurskoðun netöryggisatvika, þar sem ENISA getur unnið rýni á tilteknum alvarlegum eða umfangsmiklum atvikum. Slík rýni á að draga fram lærdóm, veikleika í viðbúnaði og mögulegar tillögur að úrbótum á evrópskum viðbrögðum.
Tilgangurinn er ekki aðeins að bregðast við einstökum atvikum, heldur að nýta reynsluna til að draga úr líkum á sambærilegum atvikum síðar og styrkja sameiginlega getu Evrópu til að takast á við síbreytilegt ógnarumhverfi.

Hvað þýðir CSoA fyrir Ísland?
Fyrir Ísland getur Cyber Solidarity Act haft þýðingu sem hluti af stærra evrópsku samstarfi um netöryggi, viðbúnað og viðbrögð við alvarlegum netatvikum.
Þótt þátttaka í tilteknum úrræðum reglugerðarinnar sé valkvæð getur hún veitt aðgang að sameiginlegri greiningargetu, sérhæfðri aðstoð og evrópsku samstarfi þegar ógnir eða atvik hafa áhrif yfir landamæri.
Reglugerðin undirstrikar jafnframt að netöryggi mikilvægra innviða er ekki einangrað landsbundið verkefni. Alvarleg netatvik geta haft áhrif á þjónustu, rekstrarsamfellu, almannavarnir og traust almennings. Því skiptir máli að Ísland fylgist með þróuninni, meti mögulega þátttöku í evrópskum úrræðum og tengi slíka vinnu við innleiðingu annarra netöryggisgerða, þar á meðal NIS2, CSA og CRA.

Nánari upplýsingar
Fjarskiptastofa mun fylgjast með þróun Cyber Solidarity Act og tengdum evrópskum úrræðum. Reglugerðin er hluti af þeirri þróun að efla sameiginlega greiningar-, viðbragðs- og endurreisnargetu Evrópu gagnvart alvarlegum netógnum.
Tilskipunin hefur hvorki verið tekin upp í EES-samninginn né verið innleidd í íslenskan rétt.

Cyber Resilience Act (CRA) er reglugerð Evrópusambandsins nr. 2024/2847 um netöryggi vara með stafræna eiginleika. Hún setur sameiginlegar kröfur um að stafrænar vörur séu hannaðar, þróaðar og viðhaldið með netöryggi að leiðarljósi áður en þær eru settar á markað í Evrópu.

Reglugerðin á ensku: Regulation (EU) 2024/2847 – Cyber Resilience Act

Markmiðið er að draga úr veikleikum í hugbúnaði og vélbúnaði, auka ábyrgð framleiðenda og tryggja að öryggi sé hluti af vörunni allan líftímann. CRA snýst því bæði um að byggja vörur öruggar frá upphafi og að geta sýnt fram á öryggi þeirra eftir að þær eru komnar á markað.

Hvaða vörur falla undir reglugerðina?
Reglugerðin nær til vara með stafræna eiginleika. Það getur verið hugbúnaður, vélbúnaður, hugbúnaðar- eða vélbúnaðaríhlutir og í ákveðnum tilvikum fjartengd gagnavinnsla sem varan þarf á að halda til að geta sinnt hlutverki sínu.
Gildissvið CRA er víðtækt. Reglugerðin getur meðal annars tekið til almenns hugbúnaðar, nettengdra tækja, netbúnaðar, stýrikerfa, öryggislausna, iðnstýringarkerfa og íhluta sem eru seldir eða gerðir aðgengilegir sérstaklega.

Kröfur um öryggi yfir allan líftíma vörunnar
Með CRA verður netöryggi hluti af grunnkröfum til vöru. Framleiðendur þurfa að huga að öryggi frá upphafi, viðhalda því eftir að varan er komin á markað og hafa ferla til að bregðast við veikleikum og alvarlegum netöryggisatvikum.

 Öruggt frá hönnun og sjálfgefið: Öryggi þarf að vera innbyggt í vöruna frá upphafi.
 Öruggt yfir tíma: Framleiðendur þurfa að greina, meta og lagfæra veikleika, meðal annars með öryggisuppfærslum.
 Vernd gagna og kerfa: Vörur þurfa að styðja við trúnað, réttleika, aðgengi og seiglu.

Mismunandi kröfur eftir áhættu
Reglugerðin byggir á áhættumiðaðri nálgun. Allar vörur sem falla undir CRA þurfa að uppfylla grunnkröfur, en meiri kröfur geta gilt um vörur sem teljast mikilvægar eða mjög mikilvægar vegna eðlis þeirra, notkunar eða mögulegra áhrifa veikleika.
Slík áhættumiðuð flokkun hefur áhrif á hversu ítarlegt samræmismat þarf að fara fram og hvort óháður þriðji aðili þurfi að koma að mati á vörunni. Í stuttu máli má segja að því mikilvægari sem varan er, því meiri kröfur eru gerðar til staðfestingar á öryggi hennar.

Ábyrgð aðila á markaði
Framleiðendur bera meginábyrgð á því að vörur uppfylli kröfur CRA. Þeir þurfa meðal annars að framkvæma áhættumat, byggja öryggi inn í hönnun og þróun, halda utan um veikleika, tryggja öryggisuppfærslur, útbúa tæknigögn og sjá til þess að viðeigandi samræmismat fari fram.
Innflytjendur og dreifingaraðilar hafa einnig skyldur. Þeir þurfa að ganga úr skugga um að vörur sem þeir flytja inn eða gera aðgengilegar á markaði uppfylli viðeigandi kröfur, séu rétt merktar og að nauðsynleg skjöl liggi fyrir.
CE-merking er yfirlýsing framleiðanda um að varan uppfylli kröfur sem gilda um hana, þar á meðal kröfur CRA þegar þær eiga við.

Tilkynningar um veikleika og atvik
CRA gerir ráð fyrir tilkynningarskyldu vegna virkt hagnýttra veikleika og alvarlegra netöryggisatvika sem hafa áhrif á öryggi vara. Tilgangurinn er að tryggja að upplýsingar berist hratt til réttra aðila svo hægt sé að meta áhættu, samræma viðbrögð og draga úr áhrifum veikleika eða atvika.

Hvað þýðir þetta fyrir fyrirtæki?
Fyrirtæki sem þróa, framleiða, flytja inn eða dreifa stafrænum vörum ættu að kanna hvort vörur þeirra falli undir CRA. Ef svo er getur þurft að yfirfara ferla fyrir vöruþróun, öryggishönnun, veikleikameðhöndlun, uppfærslur, skjölun, samræmismat og markaðssetningu.
Á meðan CRA leggur áherslu á að stafrænar vörur séu öruggar frá hönnun og yfir líftíma þeirra, beinist NIS2 að þeim aðilum sem reka eða veita mikilvæga þjónustu. Þar færist áherslan frá vörunni sjálfri yfir á rekstur, stjórnun, áhættustýringu og viðbragðsgetu þeirra sem samfélagið reiðir sig á.

MYND af vöruflokkum

Hvenær taka kröfurnar gildi?

 2024: CRA var samþykkt sem reglugerð Evrópusambandsins nr. 2024/2847.
 11. september 2026: Fyrstu skyldur reglugerðarinnar taka gildi innan ESB.
 11. desember 2027: Meginákvæði reglugerðarinnar koma til framkvæmda.

Tilskipunin hefur hvorki verið tekin upp í EES-samninginn né verið innleidd í íslenskan rétt.

Það breytir þó ekki að þeir sem ætla að setja vöru sína á markað á Evrópska efnahagssvæðinu þurfa að uppfylla kröfur hennar eftir 11. desember 2027.

Nánari upplýsingar
Fjarskiptastofa mun fylgjast með þróun og framkvæmd CRA og miðla frekari upplýsingum eftir því sem við á. Fyrirtæki sem telja að reglugerðin geti átt við um vörur þeirra eru hvött til að hefja undirbúning tímanlega.