NSM hever cyberrisikonivået:
– Medlemmene må sjekke den digitale grunnmuren
Foto: Nasjonal Sikkerhetsmyndighet/Flickr
Skrevet av:
Steinar Q. Andersen
Publisert:
29. oktober 2026
Nasjonal sikkerhetsmyndighet (NSM) har hevet det nasjonale cyberrisikonivået til høyt. Mange av våre medlemmer drifter samfunnskritisk infrastruktur. De bør gå gjennom NSMs tiltakspakke nå.
Tirsdag 27. oktober gikk NSM for første gang offentlig ut med sin vurdering av det nasjonale cyberrisikonivået. Nivået er satt til høyt. Det er det nest høyeste på en skala med fem trinn. Normaltilstanden er moderat.
NSM begrunner hevingen med at antall vellykkede cyberangrep mot norske virksomheter er tredoblet det siste halve året. Flere av angrepene har fått alvorlige konsekvenser. NSM peker også på at kunstig intelligens (KI) gjør det mulig å finne sårbarheter raskere og angripe i større volum enn før.
Samtidig har NSM lagt fram en tiltakspakke som alle norske virksomheter forventes å sette seg inn i og følge opp umiddelbart.
Tjenestene folk tar for gitt
NSM trekker særlig fram samfunnskritisk infrastruktur og tjenesteleverandører som utsatte mål. Det treffer mange av Samfunnsbedriftenes medlemmer direkte. Vann og avløp, helse, energi, avfall, havn og brann og redning er tjenester innbyggerne er avhengige av hver dag.
– Mange av medlemmene våre leverer tjenester folk tar for gitt, helt til de stopper. Rent vann i springen, strøm i stikkontakten og en brann- og redningstjeneste som rykker ut. Det er nettopp denne typen virksomheter NSM nå sier er særlig utsatt, sier fagsjef Marko Milosevic i Samfunnsbedriftene.
Han understreker at det NSM ber om, ikke er nytt.
– Det meste står allerede i NSMs grunnprinsipper for IKT-sikkerhet. Det nye er alvoret og tempoet. Et høyt risikonivå betyr at dette ikke lenger kan stå på listen over ting man skal ta tak i senere.
Ansvaret kan ikke settes ut
NSM fremhever en rekke tiltak som gjelder alle virksomheter. Blant de viktigste er:
- Innlogging med flerfaktorautentisering som ikke kan omgås med falske e-poster og lenker (phishing).
- Faste rutiner for sikkerhetsoppdateringer, og utfasing av gammelt utstyr som ikke lenger får oppdateringer.
- Oversikt over alt utstyr og all programvare virksomheten bruker.
- Oppdeling av nettverket, slik at for eksempel styringssystemer for vann eller energi er skilt fra kontornettet.
- Logging og overvåking som gjør det mulig å oppdage unormal aktivitet.
- Sikkerhetskopier som testes jevnlig, og en plan for hva som skal skje når noe går galt.
- Kontroll med leverandørene og underleverandørene.
Det siste punktet er viktig for mange medlemmer. De fleste kjøper IT-drift, nettverk eller fagsystemer fra eksterne leverandører. NSM påpeker at angripere ofte går via en leverandør for å komme seg inn hos kunden.
– Ansvaret for sikkerheten følger med, selv om driften er satt ut. Spør leverandøren konkret hvordan de møter NSMs tiltak, og be om dokumentasjon. Det har vi selv gjort med vår egen IT-leverandør, sier Milosevic.
Det er samtidig viktig å se lenger enn til IT-leverandøren alene. Virksomheten bør ha oversikt over hele leverandørkjeden, og vite hvilke sikkerhetskrav som også stilles til underleverandørene.
NSM ber også virksomhetene kontrollere at tiltakene faktisk virker. En sikkerhetskopi som aldri er testet, eller en flerfaktorinnlogging som kan lures, gir falsk trygghet.
Medlemmene trenger ikke stå alene i dette arbeidet. Helse- og KommuneCERT i Norsk helsenett gir gratis støtte innen digital sikkerhet til kommunesektoren, helse og vann og avløp. De kan blant annet bistå med sårbarhetsskanning, råd og håndtering av angrep. Sjekk om virksomheten er tilknyttet, direkte eller gjennom eierkommunen. For energiselskapene finnes i tillegg KraftCERT, et eget responsmiljø for kraftbransjen. KraftCERT dekker også blant annet vann og avløp og energigjenvinning.
– Mitt råd er å starte nå. Les tiltakspakken sammen med dem som har ansvar for IT og drift. Finn ut hvor dere står. Et konkret sted å begynne er Cybersjekk. Der får dere oversikt over egen digital sikkerhet og forslag til hvilke tiltak dere bør prioritere. Sørg også for at ledelsen og styret vet hva som må prioriteres, sier Milosevic.
Skarpere tider
Samfunnsbedriftene har vedtatt en ny strategi som legger mer vekt på samfunnssikkerhet og beredskap enn tidligere.
– Vi lever i skarpere tider enn for bare få år siden. Det gjelder den sikkerhetspolitiske situasjonen, og det gjelder de digitale truslene. Derfor har samfunnssikkerhet og beredskap fått en tydeligere plass i vår nye strategi, sier administrerende direktør Øivind Brevik.
Han mener NSMs vurdering bekrefter at retningen er riktig.
– Medlemmene våre er en bærende del av beredskapen lokalt. Vi skal følge tett med på samfunnssikkerhet og beredskap på deres vegne, og sørge for at de får informasjonen og støtten de trenger når risikobildet endrer seg. Digital beredskap er også beredskap.
Nasjonalt cyberrisikonivå
Nasjonal sikkerhetsmyndighet (NSM) vurderer risikoen for cyberangrep mot norske virksomheter fortløpende.
Skalaen har fem nivåer: svært lavt, lavt, moderat, høyt og ekstremt høyt. Moderat regnes som normaltilstand.
27. oktober 2026 ble nivået hevet til høyt. Det er første gang NSM offentliggjør vurderingen.
Hele tiltakspakken finner du på NSMs nettsider.
Cybersjekk.no er NSMs verktøy for å sjekke egen digital sikkerhet. Undersøkelsen tar rundt 30 minutter og gir forslag til prioriterte tiltak.
Digitale hendelser og datainnbrudd kan meldes til NSM døgnet rundt på telefon 02497 eller e-post cert@ncsc.no.
Helse- og KommuneCERT gir gratis støtte innen digital sikkerhet til helse- og kommunesektoren, inkludert vann og avløp. Les mer på helsecert.no.
KraftCERT er responsmiljøet for kraftbransjen, og dekker også blant annet vann og avløp og energigjenvinning. Les mer på kraftcert.no.
Hold deg oppdatert!
Vi gir deg siste nytt fra skjæringspunktene mellom fag og politikk, og mellom arbeidsliv og jus. Du får relevante og forståelige nyheter rett i innboksen din.
© 2022 Samfunnsbedriftene.
Fakturaadresse
EHF:
Samfunnsbedriftene er registrert i ELMA-registeret med organisasjonsnummer 912868222.
Vi ønsker fortrinnsvis å motta fakturaer i EHF-format.
Dersom dette ikke er mulig benyttes e-post til følgende adresse: samfb@faktura.poweroffice.net
7439 Trondheim
Besøksadresse
Haakon VIIs gate 9
0161 Oslo
Postadresse
Postboks 1378 Vika
0114 Oslo
Org.nr 912868222