NSM advarer norske virksomheter: Det er ofte de banale tingene som feller oss

Vi legger straks bak oss nasjonal sikkerhetsmåned, som setter fokus på cybersikkerhet, og tirsdag justerte Nasjonal sikkerhetsmyndighet (NSM) opp det nasjonale cyberrisikonivået til høyt.  

– Det bør være sikkerhetsmåned hver måned for norske virksomheter, sier Jørgen Dyrhaug i Nasjonal sikkerhetsmyndighet.  

I Risiko 2026 peker Nasjonal sikkerhetsmyndighet (NSM) på vesentlige mangler i norske virksomheters sikkerhetsarbeid. Selv om sikkerhet har fått større oppmerksomhet, er det fortsatt et betydelig gap mellom truslene virksomhetene står overfor og arbeidet som gjøres for å håndtere dem. 

– Situasjonen er alvorlig fordi potensialet for at noe uønsket skal skje, er ganske stort. Det vi ofte ser som rotårsaken, er manglende erkjennelse av at noe kan skje. Man lar være å forholde seg til det. Men det er et valg man egentlig ikke har, sier Dyrhaug.  

Alle virksomheter er utsatt 

Hvilke digitale trusler en virksomhet står overfor, avhenger av hva den driver med. En liten håndverksbedrift har andre utfordringer enn en virksomhet som forvalter kritisk teknologi eller viktige samfunnsfunksjoner. Men én ting har de til felles: Alle som er avhengige av internett, er eksponert for digitale trusler. 

– Alle som er koblet til internett, er koblet til en røververden der ute. Veldig mye av det som skjer digitalt, er opportunistisk. Dette gjør at enhver virksomhet, liten eller stor, er utsatt, forklarer Dyrhaug.  

Han beskriver hvordan digitale angrep ikke nødvendigvis er rettet mot én bestemt virksomhet. Angripere kan sende ut enorme mengder eposter uten å vite hvem som kommer til å respondere. 

– Røveren der ute har ingen anelse om hvem de kommer til å treffe. De sender ut en million eposter og sitter og venter på hvilken fisk som havner i garnet. Det betyr at også virksomheter som ikke oppfatter seg som attraktive mål, kan bli rammet, sier Dyrhaug.  

Sikkerhetsrisikoen starter idet du gir ansatte en datamaskin 

Stadig flere virksomheter har gjort seg avhengige av digitale tjenester for å kunne utføre helt grunnleggende oppgaver. Det gjør også konsekvensene av bortfall eller angrep større. 

En gjennomgående mangel NSM trekker frem, er svak sikkerhetsstyring. Det handler om hvordan virksomheten identifiserer, vurderer og håndterer risiko knyttet til mennesker, fysiske verdier og digitale systemer. Særlig innen digital sikkerhet er manglene betydelige. 

– Folk får en datamaskin i hånden og tilgang til alle systemene. Hadde virksomheten drevet med fysiske maskiner, ville det vært mange sikkerhetskurs. Men det er ikke noe du må gjennom for å få lov til å håndtere en datamaskin, som har minst like stort skadepotensiale, sier han. 

NSM mener virksomhetene i større grad må forstå hvilket ansvar som følger med å gi ansatte tilgang til digitale verktøy. 

– Jeg spør gjerne hvem som driver med cybersikkerhet i det daglige. Det er det ikke så mange som mener at de gjør. Så spør jeg hvor mange som driver med trafikksikkerhet når de er ute i trafikken. Da skjønner folk poenget. Alle er med på det. Den enkeltes atferd foran skjermen, enten det er på PC eller mobil, er en del av virksomhetens samlede sikkerhet. Ingen virksomhet har så finurlige systemer at de ansatte ikke kan gjøre skade, sier Dyrhaug. 

Hva skjer når internett forsvinner? 

NSM mener mange virksomheter vil ha stor nytte av å stille seg et par enkle spørsmål: Hva er vi avhengige av for å gjøre jobben vår? Hva skjer hvis det slutter å fungere? I tillegg må man spørre seg om man faktisk har øvd på dette.  

Det kan handle om noe så enkelt som at en gravemaskin river over fiberforbindelsen. 

NSM peker på at det ofte er de grunnleggende svakhetene som får store konsekvenser. 

– Det er veldig ofte de helt banale tingene som feller norske virksomheter. Og det er overraskende enkelt å ha gjort noe med det. 

Når én leverandør blir en sårbarhet 

Bortfall av teletjenester som stanser togtrafikk, slik vi så for noen uker siden da Telenor-dekningen falt ut, illustrerer hvor sårbar en virksomhet eller samfunnsfunksjon kan bli når den er avhengig av én leverandør eller forbindelse. 

NSM peker på at virksomhetene må identifisere slik konsentrasjonsrisiko. 

– Har alle ansatte samme mobilabonnement, og kunne du hatt flere abonnementer i stedet? Kanskje ulike leverandører av telekom på SIM og eSIM i de viktigste telefonene? Det samme gjelder andre tjenester virksomheten er avhengig av, som strøm, internettforbindelse, digitale samarbeidsverktøy og leveranser. Hvis du ikke klarer deg uten Teams, må du ha noe annet i tillegg.  

Du må identifisere flaskehalsene og spørre om du kan akseptere å være avhengig av én leverandør på disse områdene, sier Dyrhaug. 

Samtidig understreker NSM at det ikke finnes én løsning som passer alle. Virksomheten må selv vurdere hvilke avhengigheter den kan leve med, og hvor det er nødvendig med alternativer. 

Det krever at virksomheten kjenner sine viktigste verdier, funksjoner og avhengigheter. 

Noen trenger alternative internettforbindelser, andre må ha reservedeler eller ekstra utstyr tilgjengelig. 

NSM trekker frem noe så enkelt som ladere og batteribanker som eksempler på hvordan man kan tenke praktisk beredskap. 

– Er du avhengig av én ting, én dings, så ha to. Ha en på lager. 

Det betyr ikke at alle virksomheter skal ha doble løsninger for alt. Tiltakene må vurderes ut fra behov, kostnader og konsekvensene dersom noe slutter å fungere. 

HR har en undervurdert rolle i sikkerhetsarbeidet 

Selv om cybersikkerhet ofte forbindes med tekniske løsninger, mener NSM at mennesker og organisasjonskultur er avgjørende. 

Her trekker NSM særlig frem HR-funksjonen. 

– HRs rolle i sikkerhetsarbeidet er undervurdert. Dette handler om folk. Det handler ikke bare om teknikk, systemer og dingser. Cyberspace håndteres av mennesker. HR møter ansatte blant annet når de begynner i virksomheten, og kan dermed bidra til at forebyggende sikkerhet blir en del av hvordan medarbeiderne lærer å utføre arbeidet sitt, sier Dyrhaug.  

Virksomheter som lykkes med sikkerhet, har ifølge NSM gjort sikkerhetsstyring til en naturlig del av hele organisasjonen. 

– Det er ikke spesialisert til noen som sitter i kjelleren. Det gjennomsyrer organisasjonen, fra topp til bunn. Folk vet hvilken rolle de har i arbeidet. Sikkerhet kan ikke være et ansvar som utelukkende overlates til en IT-avdeling eller en sikkerhetsansvarlig, sier han.  

En beredskapsplan er ikke nok 

NSM mener også at norske virksomheter øver for lite. 

– Det er vel og bra og kunne huke av for at man har en beredskapsplan. Men vet folk at den finnes? Har dere øvd? Eller går dere bare rundt og tror at dette fungerer? Det er først når virksomheten tester rutinene sine, at svakhetene blir synlige. 

Det handler ikke nødvendigvis om å gjennomføre store og kompliserte øvelser. Også enkle scenarioer kan avdekke om virksomheten er forberedt på bortfall av tjenester eller andre uønskede hendelser. 

– En virksomhet som har tenkt gjennom hva den skal gjøre, snakket om det og øvd på det, står bedre rustet enn en som bare har dokumentert risikoen, sier han. 

Ønsker større erkjennelse hos ledelsen 

I forbindelse med Totalforsvarsåret 2026 og Nasjonal sikkerhetsmåned er NSM opptatt av at sikkerhet ikke må bli noe virksomhetene bare snakker om ved bestemte anledninger. 

På spørsmål om hva norske virksomheter bør ha på plass innen utgangen av året, svarer Dyrhaug: 

– At man hadde en forankret, gjennomgående erkjennelse av behovet for sikkerhetsstyring. Det er det beste jeg kunne håpe på. 

Samtidig peker NSM på et paradoks: 

– Betalingsevnen og betalingsviljen når en katastrofe først har skjedd, er nærmest uten øvre begrensning. Vi kunne brukt ti prosent av dette på å redusere risikoen, så hadde kanskje ikke hendelsen skjedd, sier Dyrhaug. 

Han sammenligner forebyggende sikkerhetsarbeid med å kjøpe forsikring.

– De fleste håper aldri å få bruk for forsikringen, men ønsker beskyttelsen dersom noe skjer. Sånn må vi tenke med sikkerhet og beredskapsarbeid også. 

Og budskapet hans til norske virksomheter er tydelig: 

– Sikkerhet kan ikke kjøpes, den må skapes lokalt, av dem som skal bruke den, avslutter Dyrhaug.