De fleste virksomheter som omfattes av NIS2 i EU, har allerede patcheprosesser, endepunktverktøy og sikkerhetspolicyer på plass. Gapet handler sjelden om vilje. Det handler om dokumentasjon. NIS2 legger vekt på operativ evne – evnen til å vise at risiko håndteres løpende, ikke bare når revisoren kommer. For dem som drifter endepunktene, er det et betydelig skifte. Patchstatus, sårbarhetseksponering, styring av rettigheter og samsvarsdata er ikke lenger bare interne driftstall. De er dokumentasjonen slike virksomheter må kunne legge fram på forespørsel. Denne veiledningen går gjennom hva NIS2 krever i praksis, hvor de fleste mellomstore virksomheter kommer til kort, hvordan NIS2 står i forhold til GDPR og datasuverenitet, og hvordan du bygger et endepunktmiljø som holder et sikkerhetsnivå i tråd med NIS2 – uten å bygge alt opp på nytt.
Hva NIS2 krever av IT-avdelingen som drifter endepunktene
Network and Information Security Directive 2 setter bindende krav til risikostyring, hendelseshåndtering, sikkerhet i leverandørkjeden og kontinuitet i hele EU. I motsetning til tidligere rammeverk, som la vekt på policydokumentasjon, vektlegger NIS2 operativ kontroll. NSMs grunnprinsipper for IKT-sikkerhet peker i samme retning: Å kartlegge enheter og programvare, ha kontroll på identiteter og tilganger, oppdage og fjerne kjente sårbarheter og forberede virksomheten på å håndtere hendelser er sentrale prinsipper også der. Les vår analyse av hva det nasjonale sikkerhetsarbeidet betyr for CIO-er og IT-avdelinger. For endepunktadministrasjon fordeler de praktiske kravene seg på fem områder.
NIS2-krav
Nødvendig operativ evne
Risikostyring
Kontinuerlig oversikt over endepunktene og overvåking av sårbarheter
Sårbarhetshåndtering
Automatisk oppdagelse, prioritering og sporing av utbedring
Patchehåndtering
Patching av operativsystem og tredjepartsprogrammer med dokumentert utrulling
Tilgangsstyring
Håndheving av minste privilegium og just-in-time-heving av rettigheter
Hendelseshåndtering
Varsler fra endepunktene i sanntid og oversikt over konfigurasjonstilstand
Samsvarsrapportering
Revisjonsklar dokumentasjon som genereres løpende – ikke på forespørsel
1. Kontinuerlig oversikt over endepunktene
Du kan ikke styre risiko du ikke ser. NIS2 forventer at virksomheter har løpende forståelse av eksponeringen sin, ikke at de lager et øyeblikksbilde til en kvartalsvis gjennomgang. Det krever en samlet sanntidsoversikt over enhetsbeholdning, OS-versjoner, programversjoner, konfigurasjonstilstand og sårbarhetseksponering på hvert eneste endepunkt. NSMs grunnprinsipper starter på samme sted: «Kartlegg enheter og programvare». Fragmenterte punktløsninger gir fragmentert oversikt. Når patchdata ligger i ett verktøy, sårbarhetsdata i et annet og enhetsoversikten i et tredje, finnes helhetsbildet bare når noen setter det sammen manuelt. Da har vinduet for å reagere ofte allerede lukket seg.
2. Sårbarhetshåndtering
NIS2 krever at virksomheter i EU identifiserer og håndterer sårbarheter proaktivt. Ifølge ENISA Threat Landscape 2024 står upatchede og kjente sårbarheter for 21,3 % av de første angrepsvektorene i europeiske cyberhendelser – noe som gjør sårbarhetshåndtering til et av tiltakene med størst effekt et endepunktteam kan drive. Effektiv sårbarhetshåndtering etter NIS2 krever kontinuerlig overvåking, risikobasert prioritering, sporing av eksponering i både operativsystem og programmer og dokumenterte tidsfrister for utbedring. Periodiske skanninger er ikke nok. NSM formulerer det samme som et eget prinsipp: «Oppdag og fjern kjente sårbarheter og trusler».
3. Patchehåndtering
Patchehåndtering er en av de tydeligste indikatorene på modenhet innen cybersikkerhet – og et av de første områdene en revisor ser på. Rundt 60 % av databruddene involverer kjente, upatchede sårbarheter snarere enn nye nulldagssårbarheter, og derfor veier patchdokumentasjon så tungt. Etter NIS2 bør virksomheter i EU kunne dokumentere patchnivå for operativsystemet, patching av tredjepartsprogrammer, andel vellykkede utrullinger og tidsfrister for utbedring. For de fleste IT-avdelinger er ikke OS-patching utfordringen. Oppdateringssyklusene for Windows er godt kjent. Gapet er tredjepartsprogrammene. Nettlesere, PDF-lesere, møteverktøy og produktivitetsprogrammer kjører på hvert endepunkt og utgjør like store angrepsflater – men er ofte helt utelatt fra de automatiserte patcheprosessene.
4. Styring av privilegert tilgang
For mange rettigheter er fortsatt en av de vanligste årsakene til sikkerhetshendelser. NIS2 understreker behovet for sterk tilgangsstyring. I endepunktmiljøer betyr det å håndheve prinsippet om minste privilegium, styre heving av rettigheter gjennom policy i stedet for faste administratorrettigheter, og føre logger som dokumenterer hvem som fikk forhøyet tilgang, når og hvor lenge. NSMs grunnprinsipper sier det kort: «Ha kontroll på identiteter og tilganger». Faste lokale administratorrettigheter er en betydelig etterlevelsesrisiko. Just-in-time-heving – der tilgang gis for en bestemt oppgave og trekkes tilbake automatisk – er den operative standarden NIS2 peker mot.
5. Samsvarsrapportering og revisjonsberedskap
Sikkerhetstiltak tilfredsstiller bare NIS2 hvis virksomheten kan bevise at de finnes og fungerer. CIO-en bør kunne svare på følgende uten manuell sammenstilling av data: hvilke enheter som oppfyller kravene, hvilke sårbarheter som fortsatt er uløst, hvor raskt patcher rulles ut, hvilke brukere som har privilegert tilgang, og hva som er endret de siste 90 dagene. Hvis svarene krever eksport fra fire ulike verktøy og sammenstilling i et regneark, blir etterlevelse uholdbart i større skala.
Sjekkliste: NIS2 og endepunktadministrasjon
Bruk sjekklisten til å vurdere hvor godt endepunktadministrasjonen din holder mål mot NIS2. Hvert gap øker både etterlevelsesrisikoen og driftsrisikoen.
- ✓ Komplett og løpende oppdatert oversikt over endepunktene
- ✓ Sanntidsinnsikt i sårbarheter i operativsystem og programmer
- ✓ Automatisk OS-patching med dokumentert andel vellykkede utrullinger
- ✓ Automatisk patching av tredjepartsprogrammer
- ✓ Håndheving av minste privilegium og just-in-time-heving av rettigheter
- ✓ Tilgangslogging og revisjonsspor for rettigheter
- ✓ Samsvarsrapportering som genereres automatisk – ikke settes sammen manuelt
- ✓ Historiske revisjonsdata tilgjengelig uten manuell eksport
- ✓ Prosesser for hendelseshåndtering med integrerte endepunktvarsler
- ✓ Kontinuerlig overvåking av hele enhetsparken
Hvor mellomstore virksomheter kommer til kort
I virksomheter med 250–1 000 endepunkter dukker de samme NIS2-gapene opp igjen og igjen.
Fragmentert oversikt
Flere endepunktverktøy gir inkonsistente data og fragmentert rapportering. Ingen enkelt visning dekker hele enhetsparken. Innsamling av dokumentasjon blir et manuelt prosjekt i stedet for et resultat av driften.
Tredjepartsprogrammer uten styring
OS-oppdateringer kjører etter plan. Tredjepartsprogrammer – nettlesere, PDF-lesere, møteverktøy – står upatchet i uker eller måneder. Den eksponeringen er synlig for revisorer og for angripere.
Manuell samsvarsrapportering
Revisjonsdokumentasjonen avhenger av regneark og manuelle eksporter. Å lage den tar timer eller dager. Resultatet er et øyeblikksbilde, ikke en løpende samsvarshistorikk.
Faste administratorrettigheter
Lokale administratorrettigheter er fortsatt utbredt. Det finnes ingen logger over når hevingen skjedde, hvem som godkjente den eller hvordan tilgangen ble brukt. Målt mot NIS2 er det et dokumentert gap – ikke en akseptabel standard.
Verktøykaos
Sikkerhets- og endepunktteam bruker ofte fem eller flere overlappende verktøy. Hvert av dem gir lisenskostnader, agentbelastning og en ny kilde til fragmenterte data. Målt mot NIS2 er konsolidering ikke bare et effektivitetsspørsmål – det er et spørsmål om oversikt og revisjonsbarhet.
I EU håndheves NIS2 nå
I EU har NIS2 gått fra forberedelse til håndheving. Per mai 2026 har 21 av EUs 27 medlemsland innført direktivet i nasjonal lov, ifølge ECSOs NIS2 Transposition Tracker. Tilsynsmyndighetene i EU-landene er aktive, og bøtene for vesentlige enheter kan komme opp i 10 millioner euro eller 2 % av global årsomsetning, avhengig av hva som er høyest, med uttrykkelig ledelsesansvar. Europakommisjonens forenklingsforslag fra januar 2026 reduserer papirarbeidet for anslagsvis 28 700 virksomheter – men de snevrer ikke inn håndhevingen. Rapporteringsbyrden blir lettere; forpliktelsen blir ikke det.
Slik ser etterlevelsen ut i dag
De fleste virksomheter er ikke i mål. Bare 16 % av virksomhetene som er pålagt å etterleve NIS2, mener selv at de etterlever direktivet fullt ut, ifølge CyberSmarts NIS2-undersøkelse fra april 2026 blant 670 virksomhetsledere i Storbritannia og EU.
GDPR, NIS2 og datasuverenitet: Dette krever hver av dem av endepunktadministrasjonen
GDPR, NIS2 og datasuverenitet stiller tre ulike spørsmål til den samme enhetsparken. GDPR spør om du beskytter personopplysningene som endepunktene og administrasjonsverktøyene behandler. NIS2 spør om du håndterer cybersikkerhetsrisikoen i systemene dine – og om du kan dokumentere det. Datasuverenitet spør hvem som kontrollerer dataene: hvor de ligger, hvem som kan nå dem, og hvilken jurisdiksjon som gjelder. Ingen av de tre peker ut et bestemt verktøy. Alle tre handler om kontroll du kan dokumentere.
| GDPR | NIS2 | Datasuverenitet | |
|---|---|---|---|
| Kjernespørsmål | Beskytter du personopplysningene? | Håndterer du cybersikkerhetsrisikoen, og kan du dokumentere det? | Hvem kontrollerer dataene, og under hvilken lov? |
| Kilde | Forordning (EU) 2016/679, artikkel 32 og kapittel V | Direktiv (EU) 2022/2555, artikkel 21 | Ingen enkeltlov – virksomhetene fastsetter det i anskaffelser, med GDPRs regler for overføring som rettesnor |
| Gjelder for | Alle virksomheter som behandler personopplysninger | Vesentlige og viktige enheter som er omfattet av direktivet i EU | Alle virksomheter som bestemmer hvor endepunktdataene deres kan havne |
| Kontroller på endepunktene | Kryptering, tilgangsstyring, dataminimering, regelmessig testing | Oversikt over IT-eiendeler, sårbarhetshåndtering, patching, tilgangsstyring, MFA, hendelseshåndtering | Hvor dataene driftes, leverandørens tilgang, underdatabehandlere, leverandørens jurisdiksjon |
GDPR: Beskytt personopplysningene endepunktene behandler
Verktøy for endepunktadministrasjon behandler som regel personopplysninger: brukernavn, enhets-ID-er, IP-adresser og registre over installert programvare. Artikkel 32 i GDPR, som gjelder i Norge gjennom EØS-avtalen og personopplysningsloven, krever egnede tekniske og organisatoriske tiltak for å beskytte disse opplysningene, blant annet kryptering, løpende konfidensialitet og integritet og regelmessig testing av selve tiltakene. For dem som drifter endepunktene, betyr det diskkryptering, tilgang etter minste privilegium, patching i tide og logger som viser hvem som endret hva.
NIS2: Håndter cybersikkerhetsrisikoen og dokumenter det
Artikkel 21 i NIS2 lister opp tiltakene virksomheter som er omfattet av direktivet i EU, må gjennomføre, blant annet oversikt over IT-eiendeler, sårbarhetshåndtering, tilgangsstyring, flerfaktorautentisering, kryptografi og hendelseshåndtering. Avsnittene over oversetter disse tiltakene til fem funksjoner for endepunktadministrasjon. Ett punkt skaper ofte forvirring: NIS2 krever ikke at du lagrer data i EU. Direktivet krever at du håndterer risiko – også risiko i leverandørkjeden, og det gjør leverandøren av endepunktadministrasjonen til en del av risikovurderingen din.
Datasuverenitet: Kontroller hvor endepunktdataene havner og hvem som kan nå dem
Datasuverenitet er ikke et eget regelverk. Det beskriver hvem som i praksis kontrollerer dataene dine. GDPR setter reglene for overføring av personopplysninger ut av EU/EØS, og retningslinjene fra Personvernrådet (EDPB) anerkjenner at fjerntilgang fra et tredjeland i seg selv kan regnes som en overføring. Servere som står i EU, avgjør derfor ikke spørsmålet alene. Før du velger en plattform for endepunktadministrasjon, bør du spørre om fire ting: hvor den lagrer endepunktdataene, hvem som har tilgang til dataene og hvorfra, hvilke underdatabehandlere den bruker, og hvilket lands lov leverandøren er underlagt.
Slik passer CapaOne inn
CapaOne-plattformen for endepunktadministrasjon svarer på alle tre fra ett sted. Plattformen er utviklet i Danmark og driftet i EU, uten overføring av endepunktdata til amerikansk jurisdiksjon – en GDPR først-tilnærming som holder kontrollen over endepunktdataene i Europa. Sikkerhetsnivået i tråd med NIS2 kommer fra den daglige driften: Security Monitor, Application Manager og Privilege Manager lager dokumentasjonen på sårbarheter, patching og rettigheter som en revisor ber om. CapaOne kjører som en komplett plattform på egen hånd, så ingenting av dette er avhengig av et annet administrasjonsverktøy. Les hvordan CapaOne tilnærmer seg europeisk datasuverenitet i endepunktadministrasjon for detaljer om drift, åpenhet om underdatabehandlere og databehandleravtalen.
Dekker Microsoft Intune kravene i NIS2?
Microsoft Intune gir et sterkt utgangspunkt for endepunktadministrasjon: enhetsadministrasjon, samsvarspolicyer, konfigurasjonsstyring og programvaredistribusjon. For virksomheter med en Microsoft-forankret plattform er Intune en sentral del av svaret. Likevel peker virksomheter som vurderer sitt nivå mot NIS2, gang på gang på gap som Intune ikke dekker innebygd:
-
Patching av tredjepartsprogrammer – Intune håndterer Microsoft-programmer og enkelte Win32-apper, men automatiserer ikke pakking og utrulling av den bredere porteføljen av tredjepartsprogramvare
-
Innsikt i sårbarheter – Intune gir samsvarsdata for enhetene, men ikke kontinuerlig overvåking av eksponering på tvers av OS-versjoner, patchnivå for programmer og hvor oppdaterte driverne er, i én visning
-
Driverhåndtering og OS-utrulling – bare metal-klargjøring og automatisert driverorkestrering krever funksjoner utenfor det Intune dekker innebygd
-
Just-in-time-heving av rettigheter – Intune håndhever ikke innebygd minste privilegium gjennom kontrollerte arbeidsflyter for heving med revisjonsspor
CapaOne-plattformen for endepunktadministrasjon dekker disse gapene som en komplett plattform – laget for å fungere med Microsoft Intune, eller helt uten. Les hvordan CapaOne fungerer sammen med Microsoft Intune.
Slik møter CapaOne NIS2-kravene til endepunktadministrasjon
CapaOne-plattformen for endepunktadministrasjon samler de fem sentrale kapabilitetsområdene i NIS2 i ett skybasert system – og erstatter punktløsningene som fragmenterer dokumentasjonen og bremser responsen på sårbarheter.
Security Monitor
Kontinuerlig innsikt i sårbarheter og konfigurasjon i hele enhetsparken. OS-versjoner, patchnivå for programmer, hvor oppdaterte driverne er, og konfigurasjonstilstand i én visning – ikke satt sammen manuelt fra flere verktøy.
Application Manager
Automatisk oppdagelse, pakking og utrulling av oppdateringer for tredjepartsprogrammer uten manuell ompakking. Patchdekning for hele programporteføljen. Dokumentasjonen genereres som et biprodukt av utrullingen. Hos NIRAS – et dansk ingeniørselskap med mer enn 3 000 enheter fordelt på 60+ lokasjoner over hele verden – erstattet automatisert patching med CapaOne en ressurskrevende manuell prosess og ga transparent sårbarhetsscoring for hele enhetsparken.
Provision Manager
Skybasert OS-utrulling og automatisert driverorkestrering i én arbeidsflyt. Ingen lokal infrastruktur. Ingen manuelt vedlikehold av OS-images. Riktige drivere for hver maskinvaremodell legges inn automatisk.
Privilege Manager
Policybasert just-in-time-heving som fjerner faste administratorrettigheter uten å skape friksjon for sluttbrukerne. Full dokumentasjon av hvem som fikk hevede rettigheter, når og til hvilket formål – revisjonsklart som standard. Hos Lattec – en IT-avdeling på én person som administrerer 60 endepunkter – sjekker og håndterer CapaOne oppdateringer automatisk to ganger daglig, noe som gir administratoren full kontroll og sterkere sikkerhet uten manuelle grep. CapaOne er utviklet i Danmark og driftet i EU, uten overføring av endepunktdata til amerikansk jurisdiksjon.
NIS2-etterlevelse handler om drift, ikke teori
NIS2 krever ikke at virksomheter kjøper bestemte produkter. Direktivet krever evnen til å vise kontroll – løpende, ikke på forespørsel. For dem som drifter endepunktene, betyr det å lukke gapet mellom verktøyene som er på plass i dag, og dokumentasjonen de faktisk kan levere. Patchdata i ett system, sårbarhetsdata i et annet og tilgangslogger i et tredje er ikke et etterlevelsesnivå. Det er en etterlevelsesrisiko. Virksomhetene som står sterkest med tanke på NIS2, er ikke de med de største sikkerhetsbudsjettene. Det er de som kan svare på revisorens spørsmål på minutter i stedet for dager – fordi endepunktplattformen genererer dokumentasjonen som et biprodukt av den daglige driften. Book en demo av CapaOne-plattformen for endepunktadministrasjon og se hvordan virksomheten din kan lukke gapene i endepunktadministrasjonen, målt mot NIS2 – med IT-avdelingen du allerede har.
