En nettbutikk fungerer i dag sjelden som et frittstående system. I bakgrunnen er lagerstyring, fakturering, nettbetaling, koblinger til transportører, ERP-system, eksterne API-er og ulike brukerrettigheter knyttet til den. Det som for kunden ser ut som en enkel nettbutikk, er i realiteten en del av et langt mer sammensatt IT-miljø.
Etter hvert som en e-handelsvirksomhet vokser, blir det stadig vanskeligere å skille skarpt mellom nettbutikken og infrastrukturen bak den. Derfor viser et sikkerhetsproblem seg ikke nødvendigvis gjennom selve nettbutikken: det kan starte i en kompromittert brukerkonto, feilaktig rettighetshåndtering eller en sårbar ekstern integrasjon. Cybersikkerhetsreguleringen ser derfor på virksomhetens drift i et langt bredere perspektiv.
Når det gjelder NIS2, er derfor ikke det beste første spørsmålet «oppfyller nettbutikken min NIS2-kravene?». Først må det avklares om virksomheten som driver nettbutikken, i det hele tatt faller inn under reguleringen. Hvis ja, må du også undersøke hvilke forpliktelser som gjelder for den, og om obligatorisk cybersikkerhetsaudit er blant dem. Å falle inn under NIS2 og å være audit-pliktig er nemlig ikke det samme.
Ikke alle nettbutikker er NIS2-pliktige
NIS2 har utvidet EUs cybersikkerhetsregulering betydelig. Reguleringen definerer kretsen av berørte ut fra sektorer og organisasjonstyper. Vedlegg 2 og 3 til loven nevner blant annet virksomheter innen energi, transport, helse, digital infrastruktur, post, næringsmiddelindustri og kjemisk industri samt visse produksjonsbedrifter, og blant de digitale tjenesteleverandørene dukker også nettbaserte markedsplasser opp. Dette betyr imidlertid ikke at enhver virksomhet som selger på internett, automatisk er NIS2-pliktig. En forhandler som selger sine egne produkter i sin egen nettbutikk, regnes ikke i seg selv som en nettbasert markedsplass.
En nettbasert markedsplass er en flate som gjør det mulig også for andre næringsdrivende eller brukere å inngå fjernsalgsavtaler gjennom den. Typisk vises altså tilbudet fra flere selgere på samme plattform, noe som skiller seg vesentlig fra driften av én enkelt forhandlers egen nettbutikk. Dette er en av de viktigste forskjellene en nettbutikkeier må se klart.
Når er en nettbutikk berørt?
Det du først og fremst må undersøke, er ikke om siden har handlekurv og nettbetaling, men hvilken økonomisk aktivitet virksomheten bak nettbutikken driver.
Det kan for eksempel hende at et selskap selger egenproduserte varer på nett, mens selve produksjonsaktiviteten hører til en av de berørte sektorene i den ungarske cybersikkerhetsloven. En annen virksomhet driver en nettbasert markedsplass eller leverer en digital tjeneste som lovverket nevner spesielt.
I vedlegg 3 til loven finnes flere områder som også er relevante for e-handelen. Hit kan visse næringsmiddelvirksomheter, produsenter og distributører av kjemiske stoffer, produsenter av medisinsk utstyr, enkelte industriprodusenter, postleverandører og nettbaserte markedsplasser høre. Om man er berørt, må imidlertid alltid vurderes ut fra virksomhetens faktiske aktivitet.
En nettbutikk som selger tekniske artikler, blir altså ikke automatisk berørt bare fordi den selger produkter hvis produksjon er nevnt i loven. Handels- og produksjonsaktivitet er ikke det samme i denne sammenhengen.
Størrelsen teller også
Sektorklassifiseringen alene avgjør ikke forpliktelsen i alle tilfeller. Den gjeldende ungarske reguleringen omfatter som hovedregel organisasjonene i vedlegg 2 og 3 som når bedriftsstørrelsen eller andre størrelseskriterier fastsatt i loven.
Lovverket regner blant annet med en bemanning på minst 50 ansatte, og i enkelte tilfeller med en omsetnings- og balansegrense tilsvarende 10 millioner euro. Dette kan allerede være en relevant størrelsesorden for mange e-handelsvirksomheter med større omsetning.
Klassifiseringen kan imidlertid ikke alltid avgjøres bare ved å sjekke antall ansatte og årsomsetningen i det aktuelle selskapet. I konserner og hos tilknyttede virksomheter og partnervirksomheter kan SMB-klassifiseringen kreve en egen vurdering. For en nettbutikk som opererer i flere land, har egen produksjon eller drives gjennom flere juridiske enheter, bør du derfor aldri ta utgangspunkt utelukkende i nettbutikkens egen omsetning.
Noen kategorier er også uavhengige av størrelse
For visse organisasjoner tar reguleringen ikke utgangspunkt i klassisk bedriftsstørrelse. Det kan for eksempel gjelde tilbydere av elektronisk kommunikasjon, tillits- eller DNS-tjenesteleverandører, registerenheter for toppnivådomener og leverandører som utfører domeneregistrering – for disse kan det gjelde særregler.
Derfor er den ofte omtalte «NIS2-grensen på 50 ansatte» lett misvisende. Forenklingen om at det under femti ansatte garantert ikke er noe å gjøre, og over femti garantert er det, stemmer ikke. Sektoren, virksomhetens størrelse, den faktiske aktiviteten og en eventuell særskilt rettslig status må vurderes samlet.
Og hvem er selve auditen obligatorisk for?
Dette er nok et viktig skille. Etter den ungarske cybersikkerhetsloven må audit-pliktige organisasjoner regelmessig, med en uavhengig revisor involvert, dokumentere at de oppfyller de foreskrevne cybersikkerhetskravene.
Hovedregelen foreskriver cybersikkerhetsaudit annethvert år. Nyregistrerte organisasjoner må innen 120 dager inngå avtale med en revisor oppført i det aktuelle registeret, og den første auditen må som hovedregel gjennomføres innen to år fra registreringen.
Ifølge informasjonen fra SZTFH av 10. juli 2026 hadde 2132 av de 2520 registrerte audit-pliktige organisasjonene oppfylt denne forpliktelsen innen fristen.
Auditen er ikke en enkel sikkerhetssjekk av nettstedet
I en nettbutikkontekst er det lett å forestille seg cybersikkerhetsauditen slik: en ekspert gjennomgår nettbutikken, kjører noen sårbarhetsskanninger og utsteder en attest. Virkeligheten er langt mer sammensatt.
NIS2 konsentrerer seg ikke om beskyttelsen av ett enkelt nettsted, men vurderer risikoene i hele settet av nettverks- og informasjonssystemer som brukes i organisasjonens drift. Hit hører blant annet risikoanalyse, hendelseshåndtering, forretningskontinuitet, sikkerhetskopiering og gjenoppretting, forsyningskjedesikkerhet, tilgangsstyring, kryptografi, opplæring av medarbeiderne og, der det er begrunnet, flerfaktorautentisering.
I en nettbutikk kan derfor ikke bare selve nettbutikken havne i det undersøkte omfanget, men også ERP-et, lager- og administrasjonssystemet, bedriftens e-post, medarbeidernes enheter, administratortilgangene, API-ene og integrasjonene mot eksterne tjenester. Det er langt mer enn å sjekke om siden har SSL-sertifikat.
En leid nettbutikk «løfter» heller ikke NIS2 av forhandlerens skuldre
Her er det viktig å skille mellom ansvaret til nettbutikkplattformen og virksomheten som bruker den. Et moderne SaaS-system overtar mange tekniske oppgaver fra forhandleren: du trenger ikke drifte egen webserver, installere sikkerhetsoppdateringer eller overvåke hele applikasjonskoden. Det er en stor fordel, men det betyr ikke at en virksomhet som faller inn under NIS2, automatisk oppfyller kravene bare fordi den bruker et sikkert leid nettbutikksystem. Etterlevelsen gjelder nemlig organisasjonen som helhet.
NIS2 vier risikoene fra forsyningskjeden og eksterne tjenesteleverandører særskilt oppmerksomhet. En audit-pliktig e-handelsvirksomhet må derfor også vite hvilke eksterne systemer den støtter seg på, hvilke data de har tilgang til, og hvor kritiske de er for driften.
Hva betyr dette hvis du bruker en Sellvio-nettbutikk?
Sellvio tilbyr flere tekniske muligheter som passer godt inn i en bevisst cybersikkerhetspraksis. I administrasjonsgrensesnittet kan du for eksempel aktivere tofaktorautentisering, slik at det i tillegg til passordet også kan kreves en engangskode for å logge inn. Dette er spesielt viktig der det er tilgang til bestillinger, kundedata, priser og innstillinger som påvirker nettbutikkens drift.
Systemet tilbyr også detaljert rettighetsstyring. Nye brukere får ikke automatisk full tilgang, og administratoren kan på bruker- og gruppenivå styre hvem som kan se, redigere eller slette hva. En innholdsredaktør trenger dermed for eksempel ikke tilgang til brukeradministrasjonen eller andre moduler vedkommende ikke har bruk for.
Dette følger godt prinsippet om at hver bruker bare skal ha tilgang til systemene og dataene vedkommende faktisk trenger for å gjøre jobben sin.
Ved API-er er rettighetene spesielt viktige
En større nettbutikk fungerer sjelden isolert. Dataene beveger seg kontinuerlig mellom nettbutikken, ERP-et, lagersystemet, faktureringssystemet, logistikksystemet og andre eksterne applikasjoner. Jo flere slike koblinger som bygges opp, desto viktigere er det å regulere nøyaktig hvilke data hver enkelt integrasjon får tilgang til.
Sellvios REST API bruker OAuth 2.0-basert autentisering, og tilgangene kan styres med egne rettighetsområder, såkalte scopes. Dermed trenger ikke en integrasjon automatisk å få tilgang til hele nettbutikkens datasett, men bare til dataene den faktisk trenger. Fra et cybersikkerhetsperspektiv er dette en vesentlig forskjell. Jo smalere og mer presist definert tilgangen til et eksternt system er, desto mindre er risikoen ved en feilkonfigurasjon eller en kompromittert integrasjon.
Fire spørsmål enhver større nettbutikk bør stille seg
Er virksomhetens faktiske aktivitet blant de berørte sektorene i cybersikkerhetsloven? Det er ikke selve eksistensen av nettbutikken som teller, men aktiviteten til organisasjonen bak den.
Når virksomheten den relevante størrelsesterskelen, eller tilhører den en spesiell kategori der andre regler gjelder?
Hvilke elektroniske informasjonssystemer avhenger driften av? I tillegg til nettbutikken kan det omfatte ERP, CRM, lagerstyring, fakturering, e-post og API-integrasjoner.
Kan det dokumenteres at sikkerhetstiltakene ikke bare finnes på papiret, men faktisk fungerer? Under en audit er dette et grunnleggende spørsmål.
Hvis du ikke engang kan gi et entydig svar på de to første punktene, bør virksomhetens NIS2-klassifisering avklares med hjelp fra en ekspert.
Juridisk merknad: Artikkelen er generell faglig informasjon og utgjør ingen juridisk eller forvaltningsmessig uttalelse. Virkeområdet til NIS2 og den ungarske cybersikkerhetsloven må alltid vurderes ut fra den enkelte virksomhetens aktivitet, størrelse, posisjon i konsernet og øvrige juridiske forhold.