72-timersklokke for avviksmelding etter GDPR, med hjelp til å vurdere om bruddet skal meldes

Oppgi når institusjonen fikk kjennskap til et brudd på personopplysningssikkerheten, og få fristen etter GDPR artikkel 33 med nedtelling, NIS2-fristene hvis de gjelder, og leverandørens varslingsfrist fra databehandleravtalen. Gå deretter gjennom en kort vurdering basert på Personvernrådets retningslinjer, åpne meldesiden til tilsynsmyndigheten og kopier en oppføring til avviksloggen etter artikkel 33 nr. 5. Alt kjører i nettleseren din.

Publisert 9. oktober 2026 · Kilder kontrollert 9. oktober 2026

Finnes også på: English · Svenska · Nederlands · Suomi · Dansk · Français · Español · Português

Hvordan beregnes 72-timersfristen?

De 72 timene i GDPR artikkel 33 nr. 1 løper fra tidspunktet institusjonen fikk kjennskap til bruddet, og de er kalendertimer: netter, helger og helligdager regnes med. Personvernrådets retningslinjer om melding av brudd viser til forordning 1182/71 om frister, som tar med lørdager, søndager og helligdager i alle frister med mindre fristen er angitt i virkedager.

Artikkel 33 nr. 1 krever at bruddet meldes «uten ugrunnet opphold og når det er mulig, senest 72 timer etter å ha fått kjennskap til det». De 72 timene er en ytre grense, ikke et mål. En melding som kommer senere, skal begrunne forsinkelsen, og mangler dere opplysninger, kan dere melde trinnvis (art. 33 nr. 4).

Klokken starter ved kjennskap, ikke ved selve hendelsen. Personvernrådet regner den behandlingsansvarlige som kjent med bruddet når den har «a reasonable degree of certainty» (rimelig grad av sikkerhet) for at en sikkerhetshendelse har kompromittert personopplysninger (Guidelines 9/2022, avsnitt 31). En kort undersøkelse er tillatt før dette tidspunktet, men den bør starte så snart som mulig (avsnitt 34).

Hva forordning 1182/71 tilfører

I avsnitt 40 i retningslinjene 9/2022 har Personvernrådet en fotnote til de 72 timene som viser til forordning (EØF, Euratom) nr. 1182/71, EUs generelle regler om frister, datoer og tidsfrister. Tre av reglene er relevante her:

• Frister «shall include public holidays, Sundays and Saturdays» (skal omfatte helligdager, søndager og lørdager) med mindre disse uttrykkelig er unntatt eller fristen er angitt i virkedager (art. 3 nr. 3).
• Forlengelsen til neste virkedag når en frist utløper på en helg eller helligdag, gjelder bare frister «expressed otherwise than in hours» (som er angitt på annen måte enn i timer) (art. 3 nr. 4). Den forlenger ikke de 72 timene.
• For en frist i timer regnes ikke timen da hendelsen inntreffer (art. 3 nr. 1). Leser man dette strengt, starter fristen kl. 11.00 når man fikk kjennskap kl. 10.20, og den utløper da kl. 11.00 tre dager senere.

Validemics analyse Verktøyet viser rene 72 timer fra minuttet da dere fikk kjennskap, som fristen, og den strenge lesningen etter artikkel 3 nr. 1 som en merknad. Planlegg etter det tidligste tidspunktet. De ekstra minuttene er ikke verdt en diskusjon med tilsynsmyndigheten, og plikten er uansett å melde «uten ugrunnet opphold».

Tidssoner og overgang til sommer- eller vintertid

Verktøyet gjør tidspunktet dere oppgir om til et eksakt øyeblikk, så fristen blir riktig i alle tidssoner. Stilles klokken om i løpet av de 72 timene, regner verktøyet 72 faktiske timer, noe som betyr at fristen blir én time tidligere eller senere på klokken enn tidspunktet for kjennskap. Verktøyet sier fra når dette skjer, og hvilket tidspunkt som er tidligst.

Når starter klokken hvis bruddet skjer hos en leverandør?

I utgangspunktet når leverandøren varsler dere. En databehandler skal varsle den behandlingsansvarlige «uten ugrunnet opphold» etter å ha fått kjennskap til et brudd (art. 33 nr. 2), og Personvernrådet sier at den behandlingsansvarlige i utgangspunktet bør anses å ha fått kjennskap når databehandleren har informert den (Guidelines 9/2022, avsnitt 44). GDPR angir ikke et antall timer for leverandøren.

Personvernrådet anbefaler derfor at databehandlere varsler raskt og legger til opplysninger trinnvis, og at avtalen angir hvordan artikkel 33 nr. 2 skal oppfylles, noe som «can include requirements for early notification» (kan omfatte krav om tidlig varsling) (avsnitt 45 og 46). Databehandleren trenger ikke å vurdere risikoen før den varsler dere: det er institusjonens oppgave (avsnitt 44). Avtalen skal også pålegge databehandleren å bistå institusjonen med artikkel 32 til 36 (art. 28 nr. 3 bokstav f).

Validemics analyse Gir databehandleravtalen leverandøren 72 timer eller mer, kan leverandøren bruke hele perioden før institusjonen får vite noe. Deres egen klokke starter senere, men tilsynsmyndigheten vil likevel spørre hvorfor meldingen tok så lang tid. Legg inn avtalens varslingsfrist i steg 1 for å se om leverandøren overholdt den, og dokumenter svaret. Vår guide til håndtering av brudd (på engelsk) viser hva en klausul om brudd i en databehandleravtale bør inneholde, og sjekkeren for databehandleravtaler sammenholder en avtale med artikkel 28 nr. 3. Se også vår norske mal for databehandleravtale.

Vurderer du en leverandør akkurat nå? Validemic går gjennom leverandørens dokumenter opp mot GDPR og KI-forordningen og oppgir kilde for hver vurdering. Prøv demomiljøet

Må vi melde bruddet?

Det finnes tre mulige utfall. Er det lite sannsynlig at bruddet medfører en risiko for personer, dokumenterer dere det, men melder det ikke. Medfører det sannsynligvis en risiko, melder dere fra til tilsynsmyndigheten. Medfører det sannsynligvis en høy risiko, varsler dere i tillegg de berørte (art. 34), med mindre et vilkår i artikkel 34 nr. 3 gjelder. Alle brudd dokumenteres etter artikkel 33 nr. 5.

Vurderingshjelpen i steg 2 følger faktorene Personvernrådet lister opp i del IV av retningslinjene 9/2022: type brudd; opplysningenes art, sensitivitet og omfang; hvor lett personene kan identifiseres; hvor alvorlige og langvarige konsekvensene kan bli; særlige kjennetegn ved personene, som at de er barn; og antallet berørte. Flere punkter fra retningslinjene styrer resultatet:

• Der særlige kategorier eller opplysninger om lovovertredelser er involvert, «should be considered likely to occur» (bør skade anses som sannsynlig) (avsnitt 102).
• Korrekt krypterte opplysninger med en nøkkel som ikke er kompromittert, er i utgangspunktet uleselige, så et brudd på konfidensialiteten trenger kanskje ikke meldes, forutsatt at det finnes en sikkerhetskopi. Uten tilstrekkelige sikkerhetskopier kan det likevel kreves at de registrerte varsles (avsnitt 76 til 79).
• En pålitelig mottaker, som en annen avdeling eller en kjent leverandør som leverer tilbake eller sletter opplysningene, kan fjerne sannsynligheten for risiko (avsnitt 114).
• Når dere ikke vet om opplysninger er kopiert, vurder «the worse scenario» (det verste scenarioet) (Guidelines 01/2021, avsnitt 30).
• «If in doubt, the controller should err on the side of caution and notify» (er den behandlingsansvarlige i tvil, bør den heller være forsiktig og melde) (Guidelines 9/2022, avsnitt 119).

Personvernrådets eksempler i retningslinjene 01/2021 viser hvordan faktorene virker sammen:

Artikkel 34 nr. 3 fjerner plikten til å varsle de registrerte hvis opplysningene var uleselige (for eksempel kryptert), hvis senere tiltak gjør at den høye risikoen sannsynligvis ikke lenger vil oppstå, eller hvis det vil kreve uforholdsmessig stor innsats å kontakte hver enkelt. I det siste tilfellet kreves i stedet en offentlig kunngjøring. Vår guide til håndtering av brudd bruker disse faktorene på fire scenarioer fra universiteter.

Hva er fristene på 24 timer, 72 timer og én måned etter NIS2?

Er institusjonen en vesentlig eller viktig enhet etter nasjonal NIS2-lovgivning, krever en vesentlig hendelse et tidlig varsel innen 24 timer etter at dere fikk kjennskap til den, en hendelsesmelding innen 72 timer og en sluttrapport senest én måned etter hendelsesmeldingen (direktiv (EU) 2022/2555 art. 23 nr. 4). Disse sendes til CSIRT eller kompetent myndighet, ikke til personvernmyndigheten. I Norge er NIS2 ennå ikke tatt inn i EØS-avtalen, så norske institusjoner har ingen NIS2-plikter ennå.

En hendelse er vesentlig hvis den har ført til eller kan føre til alvorlige driftsforstyrrelser eller økonomisk tap, eller betydelig skade for andre (art. 23 nr. 3). Pågår hendelsen fortsatt når sluttrapporten skal leveres, skal det da sendes en fremdriftsrapport og sluttrapporten innen én måned etter at hendelsen er håndtert (art. 23 nr. 4 bokstav e). Ett løsepengevirusangrep kan utløse begge regelverkene, og de to klokkene kan starte på ulike tidspunkter: NIS2-klokken når dere vet om en vesentlig hendelse, GDPR-klokken når dere vet at personopplysninger er berørt.

Nasjonale lover gir flere detaljer. Det svenske Nationellt cybersäkerhetscenter, som tar imot rapporter etter cybersikkerhetsloven gjennom sin Cyberportal, regner de 24 timene fra virksomheten identifiserte hendelsen som rapporteringspliktig. Tyske BSI forklarer kjennskap som tidspunktet da en ansatt får vite om hendelsen «(innerhalb der Arbeitszeit)», det vil si innenfor arbeidstiden. Om en institusjon i det hele tatt er omfattet, varierer fra land til land; se NIS2 and universities: are you in scope? (på engelsk) og vår side om NIS2-direktivet.

Hvordan organiserer universiteter avviksmelding?

Universiteter som klarer 72 timer pålitelig, gjør det første steget enkelt: én adresse eller ett skjema, meldt straks, uten å vente på alle fakta. Fire eksempler:

• Universitetet i Oslo ber alle som behandler personopplysninger på universitetets vegne, om straks å si fra til nærmeste leder, som deretter melder til UiO-CERT via et skjema; ikke alle fakta trenger å være kjent først.
• Trinity College Dublin ber ansatte melde alle brudd eller mistenkte hendelser til personvernkontoret «without delay for assessment» (uten opphold for vurdering), og skriver at «a data protection breach is not a disciplinary issue» (et brudd på personvernet er ikke en disiplinærsak).
• University of Edinburgh ber ansatte melde en hendelse «immediately» (straks) på e-post til personvernombudet, og fylle ut del A av skjemaet for vurdering av bruddet innen 24 timer etter at det ble oppdaget.
• Universiteit Utrecht ber ansatte og studenter melde mistenkte brudd til IKT-brukerstøtten så snart som mulig, via en egen e-postadresse eller per telefon i hastesaker.

Validemics analyse Fellesnevneren er at det koster lite for den som oppdager noe, å melde fra, og at vurderingen skjer sentralt. En meldevei som er åpen utenom kontortid, er viktig, fordi de 72 timene ikke stopper i helgene.

Blir 72-timersfristen endret?

Under behandling: Europakommisjonens forslag til Digital Omnibus (COM(2025) 837, prosedyre 2025/0360(COD), 19. november 2025) vil forlenge fristen for melding til tilsynsmyndigheten etter GDPR til 96 timer, begrense den til brudd med høyere risiko og opprette ett felles inngangspunkt for hendelsesrapporter etter flere regelverk. Per 9. oktober 2026 oppgir Europaparlamentets lovgivningsobservatorium saken som «Awaiting committee decision» (venter på komitébehandling). Inntil forslaget er vedtatt og gjelder, planlegg med 72 timer. Endringer må også tas inn i EØS-avtalen før de gjelder i Norge. Artikkel 33 er forklart på vår side om personvernforordningen.

Kilder

Alle kilder er hentet 9. oktober 2026. Norske oversettelser av engelske sitater i parentes er våre egne.

1. Forordning (EU) 2016/679 (GDPR), artikkel 4 nr. 12, 28 nr. 3 bokstav f, 33 og 34, EUR-Lex: eur-lex.europa.eu/eli/reg/2016/679/oj/eng (teksten i Den europeiske unions tidende lest via EUs publikasjonskontor), og den norske teksten i personopplysningsloven, Lovdata
2. Direktiv (EU) 2022/2555 (NIS2), artikkel 23 og fortalepunkt 102, EUR-Lex: eur-lex.europa.eu/eli/dir/2022/2555/oj/eng
3. Personvernrådet (EDPB), Guidelines 9/2022 on personal data breach notification under GDPR, versjon 2.0, vedtatt 28. mars 2023: edpb.europa.eu, Guidelines 9/2022
4. Personvernrådet (EDPB), Guidelines 01/2021 on examples regarding personal data breach notification, versjon 2.0, vedtatt 14. desember 2021: edpb.europa.eu, Guidelines 01/2021
5. Forordning (EØF, Euratom) nr. 1182/71 om fastsettelse av regler for frister, datoer og tidsfrister, artikkel 1 og 3: EUR-Lex, CELEX 31971R1182 (originalteksten lest via legislation.gov.uk, slik den ble vedtatt av EU)
6. Europaparlamentets lovgivningsobservatorium, prosedyre 2025/0360(COD), Digital Omnibus: oeil.europarl.europa.eu
7. Tilsynsmyndighetenes sider for melding av brudd: Datatilsynet (Norge), IMY, Datatilsynet (Danmark), Tietosuojavaltuutetun toimisto, Autoriteit Persoonsgegevens, CNIL, AEPD, CNPD, APD/GBA, Data Protection Commission, ICO og Datenschutzkonferenz sin liste over tyske tilsynsmyndigheter.
8. Rapporteringspunkter etter NIS2: Sverige, Nationellt cybersäkerhetscenter; Danmark, Styrelsen for Samfundssikkerhed; Finland, NCSC-FI hos Traficom; Nederland, NCSC; Tyskland, BSI: NIS-2-Meldepflicht; Irland, NCSC incident reporting; Europakommisjonen, NIS2 transposition; EFTA, EEA-Lex: NIS2
9. Trinity College Dublin, Data Breach Notification: tcd.ie/dataprotection/databreach
10. University of Edinburgh, Data protection breach and complaints procedure: data-protection.ed.ac.uk/breach-procedure
11. Universitetet i Oslo, Avvik ved behandling av personopplysninger: uio.no, personvern, avvik
12. Universiteit Utrecht, Report data breach: uu.nl, report data breach

Om denne siden

Kildene er kontrollert 9. oktober 2026. Vi har lest GDPR og NIS2 i versjonene i Den europeiske unions tidende publisert av EUs publikasjonskontor, begge retningslinjene fra Personvernrådet i sin helhet, artikkel 3 i forordning 1182/71, alle myndighets- og universitetssidene som er lenket ovenfor, og Europaparlamentets saksmappe. Sitatet fra artikkel 33 nr. 1 er hentet fra den norske teksten i personopplysningsloven. Datatilsynets side om melding av brudd ble lest 9. oktober 2026. Vurderingshjelpen er vår egen forenkling av Personvernrådets faktorer og eksempler. Den er et hjelpemiddel og ikke juridisk rådgivning; den behandlingsansvarlige og personvernombudet har fortsatt ansvaret for vurderingen, og nasjonal rett eller tilsynsmyndighetens praksis kan gi tilleggskrav. Datologikken er testet over overganger mellom sommer- og vintertid. Har en lenke flyttet seg, eller ser du en feil, ta kontakt med oss, så retter vi det.