Innledning
Polens gjennomføring av NIS2 har virket siden 3. april 2026. Den bærer en definisjon som beskriver det ethvert driftsmiljø gjør: installasjon, drift og vedlikehold av informasjonssystemer, levert eksternt. Nedenfor står det lovteksten sier, sitert ordrett, med tydelig merking av det den ikke avgjør.
Dette er en polsk lov. Norge har sitt eget regelverk på området, som denne teksten ikke behandler. Les den hvis du betjener kunder i Polen, eller hvis du vil se hvordan en leverandørkjedeplikt ser ut når et direktiv blir en nasjonal lov med tall i.
Kort oppsummert
- Lov av 23. januar 2026, Lovtidend 2026 post 252, kunngjort 2. mars, i kraft siden 3. april 2026 etter artikkel 49.
- Definisjonen av leverandør av forvaltede tjenester dekker støtte og administrasjon “på stedet eller eksternt”.
- Sektoren forvaltning av IKT tjenester står i vedlegg 1, altså blant de vesentlige sektorene.
- Samme sektor lister to ulike virksomhetstyper, og forskjellen avgjør hvilken størrelsesterskel som gjelder.
- For leverandør av forvaltede sikkerhetstjenester starter terskelen ved lite foretak, ikke mellomstort.
- Fristene løper fra vilkårene er oppfylt, ikke fra én kalenderdato, så dette er ingen nedtelling.
- Dette er ikke juridisk rådgivning, men en lesning av lovteksten med grensen for lesningen markert.
Tre datoer i omløp, én som gjelder
Da jeg samlet fristene til denne teksten, fant jeg tre ulike datoer for ikrafttredelse av samme lov. Søkeresultater og bransjeportaler oppga 3. april 2026, det europeiske rettsregisteret oppga også 3. april, og ett sammendrag av en departementsmelding sa 10. april.
Teksten avgjør. Sluttbestemmelsen lyder:
Artikkel 49. Loven trer i kraft en måned etter kunngjøringsdagen.
Kunngjøringen skjedde 2. mars 2026, måneden løper ut 2. april, og loven gjelder dermed fra 3. april 2026. Én linje avgjør det tre versjoner sirkulerte om.
Jeg nevner det fordi hver frist nedenfor regnes fra den datoen. Tar du datoen fra meldingen, forskyves hver av dem med en uke. Det gir dessuten en rask test på enhver annen tekst om denne loven: sjekk om forfatteren oppgir et artikkelnummer eller bare en dato.
Hva loven sier om leverandører
Endringsloven innfører to definisjoner som er verdt å lese ordrett, for forskjellen mellom dem styrer alt videre.
Den første:
leverandør av forvaltede tjenester betyr en fysisk person, juridisk person eller organisatorisk enhet uten rettsevne som leverer tjenester knyttet til installasjon, drift eller vedlikehold av IKT produkter, IKT tjenester, IKT prosesser eller informasjonssystemer, gjennom støtte eller aktiv administrasjon utført hos tjenestemottakeren på stedet eller eksternt
Den andre:
leverandør av forvaltede sikkerhetstjenester betyr (…) en enhet som leverer tjenester som består i å gjennomføre, eller støtte gjennomføringen av, aktiviteter knyttet til risikostyring innen cybersikkerhet, herunder hendelseshåndtering og sikkerhetstesting
Den første definisjonen beskriver drift. Oppdatering av kjerne og utvidelser, sikkerhetskopier, serverkonfigurasjon, utrullinger, beredskap når noe ryker, altså innholdet i en vanlig driftsavtale. Ordet “eksternt” står uttrykkelig i teksten, så argumentet om at man aldri rører kundens fysiske infrastruktur endrer ikke hvordan aktiviteten klassifiseres.
Den andre definisjonen beskriver noe annet: risikostyring, hendelseshåndtering, sikkerhetstesting. Dette selges som en egen kompetanse, ikke som teknisk vedlikehold.
To virksomhetstyper i samme sektor
I vedlegg 1 har sektoren forvaltning av IKT tjenester to rader i kolonnen for virksomhetstype: leverandør av forvaltede tjenester og leverandør av forvaltede sikkerhetstjenester. Det er ingen gjentakelse, men to atskilte kategorier.
Jeg sjekket hvor sektoren står, for det avgjør om det gjelder det vesentlige eller det viktige nivået. Vedlegg 1 begynner på side 87 i Lovtidend utgaven, vedlegg 2 på side 96, og forvaltning av IKT tjenester står på side 94. Den ligger dermed i vedlegg 1, blant de vesentlige sektorene, ved siden av energi, transport og bank.
Å stå i vedlegg 1 betyr ikke i seg selv at man er omfattet, for det avgjøres av størrelse. Det betyr derimot at temaet ikke lar seg avfeie med “ikke vår bransje”.
Størrelsestersklene, ordrett
Loven definerer ikke størrelse selv, men viser til vedlegg I i kommisjonsforordning 651/2014/EU. Der står det:
- Kategorien svært små, små og mellomstore bedrifter (“SMB”) består av foretak som sysselsetter under 250 personer, og som har en årsomsetning som ikke overstiger 50 millioner euro, eller en årlig balansesum som ikke overstiger 43 millioner euro.
- Innenfor SMB kategorien defineres et lite foretak som et foretak som sysselsetter under 50 personer, og hvis årsomsetning eller årlige balansesum ikke overstiger 10 millioner euro.
- Innenfor SMB kategorien defineres et svært lite foretak som et foretak som sysselsetter under 10 personer, og hvis årsomsetning eller årlige balansesum ikke overstiger 2 millioner euro.
To detaljer fra samme vedlegg redder deg fra en forhastet slutning.
Antall ansatte måles i årsverk, ikke i navn på en lønnsliste. Deltid og delårsansatte teller som brøk.
Og artikkel 4 nr. 2 sier at ett enkelt år over terskelen ikke endrer noe:
oppnåelse eller tap av status som mellomstort, lite eller svært lite foretak inntrer bare dersom forholdet gjentar seg i to påfølgende regnskapsperioder
Ett godt år flytter ikke et selskap til en annen kategori. To på rad gjør det.
Hvorfor sikkerhetsterskelen ligger lavere
Her ligger det som er lett å overse ved rask lesning. Artikkel 5 setter ulike terskler for ulike rader i vedlegget.
Hovedregelen for en virksomhet i vedlegg 1: vesentlig virksomhet er den som “overstiger kravene til et mellomstort foretak”. Altså over 250 ansatte eller over de finansielle grensene.
Men punkt 3 i samme ledd lyder annerledes:
leverandør av forvaltede sikkerhetstjenester som minst oppfyller kravene til et lite eller mellomstort foretak (…) eller overstiger dem
For denne ene kategorien flyttet lovgiveren terskelen ned fra mellomstort til lite. Et selskap som ved vanlig drift ville ligge langt utenfor lovens rekkevidde, kan ved nøyaktig samme størrelse havne i kategorien vesentlig virksomhet dersom det det selger faller inn under den andre definisjonen.
Jeg avgjør ikke nøyaktig hvordan uttrykket “minst oppfyller kravene til et lite” skal anvendes på et svært lite foretak, for det er et spørsmål for jurister og ikke for utviklere. Poenget er retningen: terskelen ligger her lavere enn noe annet sted, og dette er derfor det eneste punktet der selskapsstørrelse slutter å være et bekvemt argument.
Er du omfattet, spørsmål i stedet for dom
Jeg skriver verken at du er omfattet eller at du ikke er det, for svaret avhenger av tallene dine og ikke av bransjen. I stedet rekkefølgen på spørsmålene jeg selv ville gått gjennom.
Hva du faktisk selger, ifølge avtalene og ikke nettsiden. En driftsavtale med oppdateringer og sikkerhetskopier er den første definisjonen. En avtale der du forplikter deg til å håndtere sikkerhetshendelser, kjøre tester eller vedlikeholde en risikoanalyse nærmer seg den andre. Du leser forpliktelsene, ikke navnet på pakken.
Hva markedsføringen din lover. Dette er et eget spørsmål fra det forrige, og oftere problemet. En side som lover døgnkontinuerlig respons på hendelser og sikkerhetsovervåking beskriver en annen tjeneste enn driftsavtalen som faktisk ble signert. Det gapet er et problem før noen myndighet i det hele tatt er involvert.
Størrelsen din i årsverk og omsetning, for de to siste avsluttede årene. Ikke inneværende, for det som teller er gjentakelse over to perioder.
Om noen av kundene dine er vesentlig eller viktig virksomhet. Dette avgjør ikke din status, men det avgjør hva kunden kommer til å kreve av deg.
Hva endrer seg når kunden er omfattet
Selv om du ikke er omfattet selv, endrer noe seg i forholdet til en kunde som er det. Blant kravene til styring av informasjonssikkerhet nevner loven:
sikkerhet og kontinuitet i leverandørkjeden for IKT produkter, IKT tjenester og IKT prosesser som tjenesteleveransen avhenger av, med hensyn til forholdet mellom den direkte leverandøren av maskinvare eller programvare og den vesentlige eller viktige virksomheten
Det slår ut helt konkret. En omfattet kunde må kunne vise at den har kontroll på sin IKT leverandørkjede. Går nettbutikken eller portalen på WordPress som noen utenfra administrerer, er denne noen et ledd i kjeden som må beskrives.
Spørsmålet “tar dere sikkerhetskopier” blir til et spørsmål om dokumentert rutine, om gjenopprettingstid bekreftet av en datert test, om hvem som har produksjonstilgang og hva som skjer når den personen slutter. Forskjellen er at en forsikring ikke lenger holder, fordi kunden trenger bevis til sin egen mappe.
Her ligger noe uventet for leverandøren, og heller godt: dette er ingen ny lovpålagt plikt på din side, men et nytt avtalekrav. Det kommer via avtale, og forhandles derfor som ethvert annet vilkår i stedet for å mottas som et pålegg.
Opplysningene dine i et offentlig register
Én detalj overrasker ved første lesning. Søknaden om oppføring i registeret over vesentlige og viktige virksomheter inneholder, blant virksomhetens opplysninger, også:
opplysning om inngåelse av avtale med leverandør av forvaltede sikkerhetstjenester (…) sammen med denne leverandørens opplysninger bestående av leverandørens firmanavn, forretningsadresse, postadresse, telefonnummer og adresse for elektronisk post
Setter en omfattet kunde ut oppgaver på dette området, havner altså leverandørens opplysninger i et register ført av departementet. I tillegg krever artikkel 7c nr. 3 søknad om endring “innen 14 dager fra endringen”, så bytte av leverandør starter en fjortendagersklokke hos kunden.
Praktisk følge for leverandøren: det lønner seg å vite om man står i andres oppføring, for det endrer betydningen av en vanlig oppsigelse. Søknaden inneholder en erklæring avgitt under straffansvar for uriktige opplysninger, så ledelsen i virksomheten har god grunn til å holde dataene oppdatert.
Frister som løper fra hendelser, ikke fra én dato
Fristene i denne loven er ikke én kalenderdato, men klokker som startes av hendelser. Derfor utløper ikke denne teksten på noen bestemt dag.
Seks måneder til å søke om oppføring, regnet fra vilkårene er oppfylt:
Artikkel 7c nr. 1. Vesentlig virksomhet eller viktig virksomhet skal søke om oppføring i registeret innen 6 måneder fra den dagen vilkårene for å anses som vesentlig eller viktig virksomhet er oppfylt.
For virksomheter som allerede oppfylte vilkårene den dagen loven trådte i kraft, faller seks måneder fra 3. april 2026 på begynnelsen av oktober 2026. Et selskap som oppfyller vilkårene neste år, får sine egne seks måneder fra sin egen dato.
Tolv måneder til pliktene for virksomheter som oppfylte vilkårene ved ikrafttredelse (artikkel 33 nr. 1), altså til 3. april 2027.
Tjuefire måneder til første revisjon for vesentlige virksomheter (artikkel 33 nr. 2), altså til 3. april 2028.
Fjorten dager til å oppdatere registeropplysningene etter enhver endring.
Høyrisikoleverandør, en egen mekanisme
Loven inneholder en annen mekanisme, som ofte forveksles med den første, virker annerledes og treffer noen andre.
Statsråden med ansvar for digitalisering kan åpne sak “om å anerkjenne en leverandør av maskinvare eller programvare” som høyrisikoleverandør, for å verne statens sikkerhet eller den offentlige orden. Virkningen følger av artikkel 67c: omfattede virksomheter skal ikke ta i bruk IKT produkter, tjenester og prosesser som vedtaket gjelder, og skal ta ut av bruk allerede innførte “senest innen 7 år” etter at vedtaket er kunngjort i den offentlige kunngjøringstidenden. For teleoperatører er fristen 4 år. Vedtaket er umiddelbart tvangskraftig, og det kan ikke begjæres ny behandling.
To følger for en tjenesteleverandør. Mekanismen retter seg mot maskinvare og programvare, ikke mot driftsleverandører, så et byrå er ikke adressat. Og den kan likevel treffe indirekte og hardt: havner en komponent som løsningen hos en omfattet kunde hviler på i et slikt vedtak, slutter migrering å være et budsjettspørsmål og blir en lovfestet frist.
I praksis betyr det én ting uavhengig av juridisk status: det lønner seg å vite nøyaktig hva som ligger i stakken hos kunder i regulerte sektorer, inkludert hvem som utgir hver utvidelse og hvor driften kommer fra. Den kunnskapen koster en ettermiddag når den skrives ned i ro, og betydelig mer når den må rekonstrueres under press.
Bøter, tall fra teksten
Jeg siterer dem fordi de sirkulerer avrundet, som regel oppover.
For vesentlig virksomhet:
Bøtens størrelse kan ikke overstige 10 000 000 euro (…) eller 2 % av omsetningen oppnådd av den vesentlige virksomheten i regnskapsåret forut for ileggelsen, og det høyeste beløpet får anvendelse. Boten kan likevel ikke være lavere enn 20 000 zloty.
For viktig virksomhet er taket 250 000 euro eller 1,4 prosent av omsetningen, med et gulv på 15 000 zloty.
To merknader endrer bildet. Dette er øvre grenser, ikke satser, og loven knytter boten til overtredelsens alvor. Og bøter får først anvendelse to år etter ikrafttredelse, altså etter 3. april 2028, så perioden nå handler om opprydding og ikke om håndheving.
Hva du bør gjøre dette kvartalet
Arbeid som gir mening uansett hvordan den juridiske vurderingen faller ut, og som koster lite.
Les dine egne avtaler etter verb. Det som teller er hva du forplikter deg til, ikke hva pakken heter. “Vi oppdaterer” og “vi tar sikkerhetskopier” er én ting. “Vi responderer på sikkerhetshendelser”, “vi vedlikeholder en risikoanalyse”, “vi kjører tester” er noe annet. Sier avtalene ett og nettsiden noe annet, er det en ettermiddags arbeid.
Lag en liste over kunder som kan være vesentlig eller viktig virksomhet. Sykehus, høyskoler, kommuner, kommunale selskaper, energi, transport, banker og deres underleverandører. Du trenger ikke avgjøre statusen deres, det holder å vite hvor spørreskjemaet kommer fra.
Forbered det de kommer til å spørre om uansett. Hvem har produksjonstilgang, hvordan trekkes den tilbake, hvor ligger sikkerhetskopiene, når ble de sist gjenopprettet som test og hvor lang tid tok det, hvordan ser eskaleringsveien utenom arbeidstid ut. Fire sider, ikke førti.
Bestem hvem som eier vurderingen. Det er et spørsmål for jurist og eier, ikke for det tekniske teamet. Den tekniske forberedelsen gjør du selv, den juridiske klassifiseringen ikke.
Ett krav til er verdt å kjenne tidlig, for det handler om en vane og ikke om et innkjøp. Loven pålegger omfattede virksomheter å oppbevare sikkerhetsdokumentasjonen for informasjonssystemet “i minst 2 år fra den dagen det tas ut av bruk eller tjenesteleveransen opphører”, og tilintetgjøring bekreftes med en kassasjonsprotokoll med dato, beskrivelse av metoden og opplysninger om den som godkjenner. Det høres ut som papirarbeid og er delvis det, men bærer en konkret følge for leverandører: dokumentasjonen overlever avtalen. Har kunden ingenting å vise til etter at samarbeidet er over, fordi alt lå i leverandørens sakssystem, kommer problemet tilbake, nå uten avtale.
Den praktiske konklusjonen er triviell. Det driften produserer, altså endringslogg, resultater fra gjenopprettingstester og tilgangsliste, bør leve hos kunden og ikke bare i leverandørens verktøy. For leverandøren er det en sikring ved tvist, for kunden er det forutsetningen for å ha egen dokumentasjon.
Hva denne loven ikke endrer
For balansens skyld, for tekster om regulering har en tendens til å blåse opp rekkevidden.
Den endrer ikke reglene om personopplysninger. Personvernforordningen gjelder uavhengig, og det er den, ikke denne loven, som styrer melding om brudd til tilsynsmyndigheten. Dette er to atskilte regimer med atskilte frister, og å blande dem gir unødvendige meldinger.
Den skaper ingen sertifiseringsplikt. Teksten krever ingen ISO norm og intet bestemt sertifikat, den krever at man har og vedlikeholder et styringssystem for informasjonssikkerhet. Et sertifikat kan være et bekvemt bevis, men loven påbyr det ikke.
Den pålegger ikke plikter direkte på en leverandør som ikke selv er vesentlig eller viktig virksomhet. Kravene når leverandøren gjennom avtalen med kunden, og det er en vesentlig forskjell, for avtaler forhandles.
Hva denne teksten ikke avgjør
Sagt rett ut, for en tekst med så mange sitater forveksles lett med en juridisk betenkning, og det er den ikke.
Den avgjør ikke om ditt selskap er omfattet. Det avhenger av avtaleordlyd, størrelse målt i årsverk og eierforbindelser til andre selskaper, som jeg ikke kjenner.
Den avgjør ikke hvordan en myndighet vil trekke grensen mellom den første og den andre definisjonen i blandede tilfeller, der en driftsavtale inneholder et sikkerhetselement. Den grensen vil praksis klarlegge, og praksis finnes ennå ikke, for bøter starter i 2028.
Den avgjør ikke hvordan en leverandør etablert utenfor Polen bør forholde seg til disse bestemmelsene. Det er et jurisdiksjonsspørsmål og hører hjemme hos jurister som arbeider i begge systemer.
Selve lovteksten er offentlig og er på 102 sider i Lovtidend utgaven. Sitatene over er hentet derfra og ikke fra sammendrag, og hvert av dem kan kontrolleres ved å søke etter frasen i filen.
Kilder
- Lov av 23. januar 2026 om endring av loven om nasjonalt cybersikkerhetssystem og enkelte andre lover, Lovtidend 2026 post 252, tekst kunngjort 2. mars 2026
- Rettsakten i databasen ISAP
- Kommisjonsforordning (EU) nr. 651/2014, vedlegg I, SMB definisjonen, artikkel 2, 4 og 5
Sist kontrollert: 10. august 2026. Sitatene er kontrollert mot teksten kunngjort i Lovtidend. Oversettelsene av lovordlyden er mine, og den polske teksten er den bindende. Artikkelen er informasjon og utgjør ikke juridisk rådgivning.
