Den 27. oktober 2026 offentliggjorde NSM for første gang sin vurdering av det nasjonale cyberrisikonivået. Nivået er satt til HØYT, ett trinn over det som regnes som normaltilstanden.
Bakgrunnen er en betydelig økning i vellykkede cyberoperasjoner, et mer krevende trusselbilde og en teknologiutvikling som gir angriperne nye muligheter.
NSM peker særlig på risikoen for virksomheter innen forsvar, samfunnskritisk infrastruktur og deres leverandørkjeder. Samtidig er budskapet til norske virksomheter generelt tydelig. Den digitale motstandsdyktigheten må styrkes.
Når vi leser om alvorlige cyberangrep, handler nyhetsbildet ofte om store selskaper, offentlige virksomheter eller kritisk infrastruktur. Det kan gi inntrykk av at mindre bedrifter er mindre interessante for angriperne. Slik er det ikke nødvendigvis.
En mindre virksomhet kan ha verdifull informasjon eller systemer som er avgjørende for den daglige driften. Bedriften kan også være leverandør til større virksomheter, og dermed være en mulig inngangsport for angripere.
For mange bedrifter kan selv et begrenset cyberangrep få store konsekvenser. Mister man tilgang til sentrale systemer, e-post eller kundedata, kan det raskt påvirke både drift, økonomi og omdømme.
NSM rapporterer om en tredobling av vellykkede cyberoperasjoner mot norske virksomheter det siste halve året. Flere av hendelsene har hatt alvorlige konsekvenser. Samtidig bidrar utviklingen innen kunstig intelligens til å gjøre trusselbildet mer krevende. Teknologien gir angriperne nye muligheter til å analysere informasjon, identifisere sårbarheter og automatisere deler av angrepsprosessen.
NSM fremhever blant annet risikoen knyttet til språkmodeller og mer selvstendige KI-systemer. Selv om denne typen cyberoperasjoner foreløpig ikke er dokumentert i Norge, vurderes skadepotensialet som betydelig.
For virksomhetene øker dette behovet for løpende oppdateringer, overvåking og rask håndtering av sikkerhetshendelser.
De fleste norske bedrifter har allerede sikkerhetsløsninger på plass. Brannmurer, antivirus, flerfaktorautentisering, sikkerhetskopiering og sikkerhetsfunksjoner i Microsoft 365 er eksempler på dette.
Men hvor godt fungerer egentlig disse løsningene?
En virksomhet kan ha investert betydelige beløp i IT-sikkerhet uten nødvendigvis å ha god nok beskyttelse. Sikkerhetsfunksjoner kan være feilkonfigurert, oppdateringer kan mangle, eller varsler om mistenkelig aktivitet kan bli liggende uten oppfølging.
Microsoft 365 er et godt eksempel. Plattformen inneholder omfattende sikkerhetsfunksjonalitet, men sikkerhetsnivået avhenger av hvilke lisenser virksomheten har, hvordan løsningene er konfigurert og hvordan sikkerheten følges opp.
Det er nettopp forskjellen mellom å ha sikkerhetstiltak og å vite at de faktisk fungerer, som er et sentralt poeng i NSMs anbefalinger.
Sammen med hevingen av risikonivået har NSM publisert en omfattende tiltakspakke. Flere av anbefalingene er velkjente, men myndighetene understreker behovet for å prioritere gjennomføringen.
Blant tiltakene NSM trekker frem er:
NSM understreker også viktigheten av å kontrollere at sikkerhetstiltakene er riktig implementert og fungerer etter hensikten.
For mange virksomheter handler dette ikke nødvendigvis om å kjøpe flere sikkerhetsprodukter. Det kan være vel så viktig å få bedre kontroll på løsningene man allerede har.
IT-sikkerhet har tradisjonelt vært et ansvar som i stor grad er overlatt til IT-avdelingen eller en ekstern IT-leverandør. Det er ikke lenger tilstrekkelig.
Ledelsen trenger ikke å kjenne alle tekniske detaljer, men bør ha oversikt over hvilken risiko virksomheten står overfor, hvilke sikkerhetstiltak som er etablert, og hvor det fortsatt finnes svakheter.
Det handler også om beredskap. Hva skjer dersom virksomheten mister tilgangen til sine viktigste IT-systemer? Hvor raskt kan driften gjenopprettes, og hvem har ansvaret for å håndtere situasjonen?
En god IT-leverandør bør derfor bidra med mer enn teknisk drift og support. Leverandøren bør hjelpe virksomheten med å forstå risikobildet, identifisere svakheter og anbefale nødvendige tiltak.
For virksomheter som ønsker å styrke sikkerheten, er det naturlig å begynne med en gjennomgang av dagens situasjon.
Er systemene oppdatert og riktig konfigurert? Har virksomheten tilstrekkelig kontroll på brukere og tilganger? Finnes det kjente sårbarheter, og blir sikkerhetshendelser oppdaget og fulgt opp?
Svarene gir et bedre grunnlag for å prioritere tiltak. Sikkerhetsarbeidet bør ta utgangspunkt i virksomhetens faktiske risiko, fremfor å anskaffe løsninger uten en samlet vurdering av behovet.
I Sodvin arbeider vi med både forebyggende sikkerhet, kontinuerlig overvåking og rådgivning. Vår tilnærming er at god IT-sikkerhet starter med å forstå virksomhetens risiko og hvilke verdier som skal beskyttes.
Gjennom blant annet Sårbarhetssjekken og sikkerhetsanalyser hjelper vi bedrifter med å avdekke svakheter i IT-miljøet. Med våre sikkerhetstjenester og SOC bidrar vi til å overvåke, oppdage og håndtere sikkerhetshendelser.
Vi bistår også virksomheter med risikovurderinger, sikkerhetsstyring og dokumentasjon, slik at sikkerhetsarbeidet blir en naturlig del av virksomhetens drift og ledelse.
NSMs heving av cyberrisikonivået er en alvorlig påminnelse om at trusselbildet er i endring. For norske bedrifter bør dette være en anledning til å vurdere om dagens sikkerhetstiltak er tilstrekkelige.
Det viktigste er ikke hvor mange sikkerhetsprodukter virksomheten har anskaffet, men hvor godt den faktisk er beskyttet dersom et angrep skulle inntreffe.