WordPress i Norge etter NIS2 - hva byrået må levere i 2026
Norske regulerte kunder ringer i 2026 med samme spørsmål: kan dere levere det compliance-folka våre etterspør. De vil ikke ha en juridisk vurdering. De vil ha en mappe med dokumenter som kan legges på revisorens bord uten omskriving.
Dette er hva mappen skal inneholde og hva mange norske WordPress-byråer fortsatt mangler.
NIS2 i norsk kontekst
Norge er ikke EU-medlem, men EØS-tilpasningen og sektorspesifikke krav (finansforetaksloven, ekomloven, sikkerhetsloven, energiloven) bringer NIS2-baserte forpliktelser i praksis inn i Norge. Banker, kraftselskaper, teleoperatører, sykehus og en voksende krets av “vesentlige enheter” må vise leverandørenes risikohåndtering.
For et WordPress-byrå som leverer til disse kundene er det enkelt: enten leverer du dokumentasjonen, eller så blir du erstattet av et byrå som gjør det. Det er ikke dramatisk, det er bare hvordan innkjøp fungerer i 2026.
Hva mappen må inneholde
Sju leveranser et norsk WordPress-byrå må kunne vise frem i 2026:
- ICT-tredjeparts-erklæring: hva byrået er ansvarlig for, hva kunden er ansvarlig for, hvor data ligger, hvilken jurisdiksjon som gjelder, og hvilke underleverandører som brukes (Cloudflare, Sentry, deploymentsleverandør, supportverktøy).
- Hendelsesrapporteringsrutine: tidsstemplet rapport ved sikkerhetshendelse - deteksjon, innesperring, root-cause, mitigation, kommunikasjon. Format som passer kundens revisor, ikke en uformell e-post.
- Backuptest-logg: bevis på at restore er testet, ikke bare at backup er tatt. De fleste byråer dokumenterer det første og glemmer det andre.
- Tilgangsstyringsoversikt: hvem på teamet har produksjonsadgang, når den ble gitt, når den utløp, og 2FA-status.
- Endringslogg: hver produksjonsendring tidsstemplet og knyttet til en arbeidsoppgave. Ingen “vi fikset noe i fjor” når revisor spør.
- Sikkerhetsbaseline: hvilke kontroller er på plass (WAF, hardening, plugin-policy, oppdateringsfrekvens), hvilke er ikke. Ærlig snarere enn marketing.
- Avtaleklausuler: SLA, exit-plan, audit-rett, sub-processor-liste. Standardavtalen fra 2018 dekker det ikke.
Mappen er ikke valgfri i 2026 for byråer som vil bli på leverandørlisten hos norske banker, energi- og telekomselskaper.
Hva norske WordPress-byråer ofte mangler
Etter samtaler med flere innkjøpere og revisorer i 2025-2026 ser vi gjentatte luker:
Backuptest-loggen finnes ikke. Backup-rutinen finnes, men ingen har faktisk testet en restore på lang tid. Når kunden spør, er svaret “vi gjør det ved behov”, som ikke holder for en revisor.
Hendelsesrapporten er en e-post-tråd. Det fungerer for et lite byrå med uformelle rutiner, men ikke for en kunde som må kunne vise tidslinje og root-cause til myndigheter innen timer eller dager.
Sub-processor-listen er ufullstendig. Cloudflare er listet, men ikke det interne supportverktøyet, ikke deploymentsleverandøren, ikke analyseverktøyet. Innkjøperen oppdager det først når en hendelse hos en av disse rammer kunden.
Sikkerhetsbaseline er marketing snarere enn sjekkliste. “Vi har topp sikkerhet” er ikke et evidens-svar. Det må være en konkret liste over hva som er på plass og hvilke kontrollerer som er valgt bort, med begrunnelse.
Praktisk utgangspunkt
For et byrå som ikke har dette på plass, er det ikke en stor sak å starte. To uker dedikert tid gir et fungerende første utkast:
- Skriv ned dagens infrastruktur ærlig (sub-processors, jurisdiksjoner, sikkerhetskontroller, backupfrekvens).
- Test en restore på en sandbox. Loggfør tidsstempel og resultat.
- Skriv en hendelsesrapporteringsmal med tidslinje, root-cause og kommunikasjons-felt. Tre A4-sider er nok.
- Lag en endringslogg-disiplin: hver deploy får en linje med dato, beskrivelse, ansvarlig.
- Sett opp et tilgangsstyringsdokument: hvem har hva, 2FA-status, tilbaketrekking-rutine.
Etter to uker har du første versjon. Etter tre måneder med tilfeldig disiplin er det leverbart til en revisor.
Hva kunden vinner ved å velge dette byrået
Compliance-fokus er ikke en kostnad for kunden. Det er en risikoreduksjon kunden kan vise til styre, regulator og forsikringsselskap. Og det er noe konkurrenten din ikke har, så det er en pricing power for byrået.
WPPoland leverer dette i Norge for kunder fra finans, telekom og energi. Ikke fordi vi liker compliance-papirarbeid, men fordi det er den eneste måten å sikre at WordPress fortsetter å være en ærlig løsning for regulerte sektorer i 2026.
