Sommeren 2026 ga en rekke påminnelser om hvor utsatt det digitale Norge er. Norsk Tipping, Digitaliseringsdirektoratet, Ryde og et mindre IT-selskap var blant virksomhetene som ble rammet av sikkerhetshendelser.
Mest alvorlig var kanskje saken i Lørenskog kommune. Innbruddet skjedde allerede 9. mai, men først i juli ble omfanget klart. Rundt 1,8 terabyte med data ble lagt ut på det mørke nettet. Blant informasjonen som kom på avveie, var bekymringsmeldinger til barnevernet og pasientjournaler.
Det er likevel bare hendelsene vi kjenner til.
Angripere kan befinne seg inne i virksomhetenes systemer i lang tid før de blir oppdaget. Samtidig peker både norske trusselvurderinger og Ateas egne sikkerhetsdata mot et stadig mer krevende trusselbilde.
Under Arendalsuka 2026 samlet podkasten Teknologi og mennesker et panel for å diskutere spørsmålet: Er norske ledere klare når alt blir svart?
I panelet satt administrerende direktør i Microsoft Norge, Kristine Dahl Steidel, Trine Lise Sundnes fra Arbeiderpartiet og Stortingets utenriks- og forsvarskomité, Øyvind Husby fra TEK Norge og administrerende direktør i Atea, Ole Petter Saxrud.
Artikkelen fortsetter etter annonsen:
Angrepene er blitt en del av hverdagen
For Trine Lise Sundnes er ikke omfanget av digitale angrep lenger overraskende.
– Jeg skulle ønske jeg var sjokkert. Men jeg er ikke det. Vi har levd med dette en stund. Vi blir angrepet på daglig basis.
Det hun derimot reagerer på, er hvor få virksomheter som faktisk trener på å håndtere en alvorlig hendelse.
– Hvis du skal bli god på noe, må du faktisk øve. Jeg har mange ganger inntrykk av at folk ikke helt tar det alvorlig. Det er bekymringsfullt.
Panelet pekte på en utfordring ved digitale angrep: De er mindre synlige enn mange andre kriser. En eksplosjon, en flom eller et strømbrudd er lett å forstå. Et digitalt innbrudd kan derimot pågå uten at ansatte, ledelse eller innbyggere merker noe.
Det kan gjøre det vanskeligere å skape den nødvendige kriseforståelsen.
Øyvind Husby mener Norge mangler et godt nok samlet situasjonsbilde.
– Vi leser om enkelte episoder, og så blar vi videre eller scroller videre og har glemt det dagen etter. Men skaden har allerede skjedd. Det som sjokkerer meg, er at vi ikke har situasjonsbildet godt nok.
Ole Petter Saxrud ser samtidig ett positivt trekk: Digital sikkerhet har rykket langt høyere opp på dagsordenen.
– På Arendalsuka har dette vært en tematikk som har gått igjen langt utover vår egen bransje. Oppi all miseren er jeg glad for at dette endelig står høyt på agendaen.
Artikkelen fortsetter etter annonsen:
Det er ikke et spørsmål om man blir angrepet
Ifølge Kristine Dahl Steidel må norske virksomheter endre selve utgangspunktet for sikkerhetsarbeidet.
– Det er ikke et spørsmål om hvis vi blir angrepet. Spørsmålet er når vi blir angrepet, og om vi da er forberedt.
Angrepene kommer både fra økonomisk motiverte kriminelle og statlige aktører. Samtidig gjør kunstig intelligens og annen ny teknologi at metodene utvikler seg raskt.
Det betyr også at tiltak som fungerte for få år siden, ikke nødvendigvis er tilstrekkelige i dag.
– Det moderne trusselbildet har endret seg, aktørene har endret seg og teknologien har endret seg. Utviklingen skjer i et ekstremt raskt tempo, sa Steidel.
Hun mener norske virksomheter må forstå den digitale infrastrukturen som en del av landets kritiske infrastruktur.
– Vi har et norsk forsvar som skal beskytte landet. Vi må også ha et forsvar som beskytter den digitale infrastrukturen.
Øvelse bygger mer enn beredskap
Et gjennomgående tema i diskusjonen var behovet for trening.
Flere av paneldeltakerne viste til egne erfaringer med beredskapsøvelser der virksomheten simulerer et cyberangrep, fordeler roller og trener på hvordan organisasjonen skal reagere når systemene svikter.
Steidel fortalte at slike øvelser gir langt mer enn bare et oppdatert beredskapsdokument.
– Læringen man får ut av det, tankeprosessene det setter i gang og ideene om hvordan vi kan jobbe bedre sammen, er helt uvurderlige.
Sundnes trakk paralleller til erfaringene etter terrorangrepene 22. juli 2011. Hun jobbet den gangen i Folkets Hus og fortalte hvordan organisasjonene i etterkant systematiserte beredskapsarbeidet.
Planene ble gjennomgått årlig, ansvar ble fordelt og lederne visste hva de skulle gjøre dersom en alvorlig situasjon oppsto.
Forskjellen er at digitale hendelser ikke nødvendigvis gir de samme fysiske signalene.
– Et angrep på digital infrastruktur ser man ikke på samme måte, sa Sundnes.
Artikkelen fortsetter etter annonsen:
Kommune-Norge trekkes frem som særlig sårbart
Kommunene fikk mye oppmerksomhet i panelsamtalen.
De forvalter store mengder sensitive data og leverer tjenester innen blant annet helse, omsorg og velferd. Samtidig har mange kommuner begrensede ressurser, gamle teknologiske systemer og problemer med å rekruttere spesialisert sikkerhetskompetanse.
Lørenskog-saken illustrerer hva som står på spill.
– Det er ikke bare økonomiske konsekvenser. Det er pasientdata på avveie fra psykologbesøk, legebesøk og medisinsk historikk. Det er noe av det vi er aller mest redde for, sa Steidel.
Hun advarte også mot den teknologiske gjelden i offentlig sektor.
– Det er så mye teknologisk gjeld der ute. Gammel infrastruktur som står nede i kjelleren og ikke er oppdatert.
Saxrud mener utfordringen ikke bare kan løses med større budsjetter.
Norge har mange kommuner, og flere av dem er små. Ifølge ham er sikkerhetsarbeidet for fragmentert, og kommunene konkurrerer om den samme knappe kompetansen.
– Vi kan snakke om underfinansiering til vi blir blå. Jeg synes ikke nødvendigvis dette bare handler om finansiering. Det handler også om at vi er for lite koordinert.
Han mener sterkere samarbeid og tydeligere politiske føringer kan gjøre det mulig å dele både teknologi og kompetanse.
Skoleplass eller brannmur?
Digitale investeringer konkurrerer samtidig med svært synlige offentlige behov.
For en kommune kan prioriteringen stå mellom lærere, sykehjemsplasser og investeringer i cybersikkerhet.
Det gjør sikkerhetsarbeidet krevende politisk.
Husby mener problemet nettopp er at den digitale risikoen ofte er vanskeligere å se.
En ny skole eller flere ansatte på et sykehjem er konkrete tiltak. Verdien av en ny brannmur eller modernisert digital infrastruktur blir først virkelig synlig den dagen noe går galt.
Men da kan regningen bli langt høyere.
– Det viser hvor dyrt det blir å ikke gjøre det, sa Sundnes.
Husby etterlyste også større investeringer i den digitale delen av totalforsvaret.
Han mener det er langt enklere å prioritere fysisk infrastruktur enn usynlige digitale systemer, selv om digitale tjenester er helt avgjørende for at samfunnet skal fungere.
Artikkelen fortsetter etter annonsen:
Kritisk infrastruktur er også digital
Krigen i Ukraina har ifølge panelet vist hvor sentral digital infrastruktur er i moderne konflikter.
Digitale systemer og kritisk infrastruktur er blant de første målene når konfliktnivået øker.
– Det vi lærte fra Ukraina, er at digitale løsninger og kritisk digital infrastruktur er de første målene, sa Steidel.
Hun viste til hvordan tjenester i Ukraina måtte flyttes ut av landet for å sikre kontinuitet.
Digital motstandskraft handler derfor ikke bare om å hindre et angrep, men også om å kunne fortsette driften når noe allerede har gått galt.
Det innebærer blant annet alternative løsninger, sikkerhetskopier, tydelige roller og muligheten til å flytte eller gjenopprette tjenester raskt.
– På dette området finnes det ikke fredstid
Et sentralt poeng fra panelet var at cybersikkerhet ikke kan behandles som noe Norge skal forberede seg på til en mulig fremtidig krig.
Angrepene skjer allerede.
– På dette området er det ikke noe fredstid. Det er der allerede, sa Sundnes.
Hun mener både virksomheter og enkeltpersoner må ta større ansvar for egen beredskap.
På samme måte som myndighetene anbefaler befolkningen å ha mat og nødvendige forsyninger hjemme for å kunne klare seg gjennom en krise, må virksomheter kunne fungere når digitale systemer svikter.
– Vi må bort fra tankegangen om at krigen kommer i morgen. Det vi snakker om her, er noe som pågår hele tiden.
Sikkerhet som krav i offentlige anskaffelser
Panelet diskuterte også hvordan myndighetene kan bruke offentlige innkjøp som sikkerhetspolitisk virkemiddel.
Husby viste til at bærekraft allerede er et tydelig krav ved offentlige anskaffelser, mens sikkerhet ikke har fått samme posisjon.
Han tok til orde for å gjøre sikkerhet til et langt tydeligere krav når offentlige virksomheter kjøper teknologi og tjenester.
– Vi bruker enorme beløp gjennom offentlige anskaffelser. Det er en motor som allerede går. Da er det viktig å bruke den til å prioritere sikkerhet.
Sundnes var positiv til forslaget.
– Jeg synes det er et godt forslag. I kjølvannet av Lørenskog-saken må det skje noe.
Kompetansemangelen kan ikke løses av IT-avdelingen alene
En annen utfordring er mangelen på sikkerhetskompetanse.
Virksomheter trenger flere spesialister, men panelet understreket samtidig at cybersikkerhet ikke kan være et ansvar som legges på noen få ansatte i IT-avdelingen.
Ledere, styrer og vanlige medarbeidere må forstå sin egen rolle.
Husby pekte på at relativt enkle tiltak kan gi stor effekt. Grunnleggende kurs i cybersikkerhet kan gjennomføres på kort tid og gjøre ledere langt bedre rustet til å stille de riktige spørsmålene.
– Det er ikke så vanskelig. Det handler om å prioritere det i hverdagen.
Panelet etterlyste samtidig en mer systematisk tilnærming til slike tiltak.
Det holder ikke å publisere et kurs og håpe at virksomhetene finner det selv. Opplæring må innføres, følges opp og rapporteres.
Ingen kan forsvare seg alene
Diskusjonen tok også opp forslaget om en norsk nasjonal sky, et tema som igjen ble aktualisert etter angrepet mot Lørenskog kommune.
Panelet var skeptisk til at en nasjonal løsning alene kan løse sikkerhetsutfordringene.
Steidel pekte på at cybertrusselen i utgangspunktet er global.
– De digitale truslene kjenner ingen landegrenser.
Store internasjonale teknologimiljøer kan analysere enorme mengder sikkerhetssignaler på tvers av land og kunder. Den typen oversikt gjør det mulig å identifisere nye angrepsmønstre tidlig.
Husby advarte mot forestillingen om at en server automatisk er trygg fordi den fysisk befinner seg i Norge.
– Hvis serveren står i kjelleren, tror vi det er trygt. Men det har ingenting med saken å gjøre.
En nasjonal skyløsning kan være riktig for enkelte typer informasjon og tjenester, mener panelet, men den må baseres på konkrete sikkerhetsvurderinger.
Saxrud etterlyste i stedet sterkere nasjonal koordinering, et styrket NSM og tettere samarbeid mellom offentlig og privat sektor.
– Det er mye vi kan gjøre som ikke nødvendigvis koster veldig mye, men som vil heve beredskapen betraktelig.
Fra planer til gjennomføring
Mot slutten av panelsamtalen var deltakerne i stor grad enige om hva som nå er nødvendig.
Norge trenger en mer robust digital grunnmur, særlig i kommunene. Virksomheter må trene mer. Ledere må forstå sitt eget ansvar. Kompetansen må styrkes, offentlig og privat sektor må samarbeide tettere, og investeringene må ses i sammenheng med resten av totalforsvaret.
Problemet er ikke nødvendigvis mangel på strategier.
– Vi har mange strategier og planer. Det vi mangler, er gjennomføring, sa Husby.
Det er også selve kjernen i spørsmålet om digital motstandskraft.
Når skjermen først blir svart, er det for sent å begynne å diskutere hvem som har ansvaret, hvem som skal ringes, hvor sikkerhetskopien ligger eller hvordan virksomheten skal kommunisere.
Den jobben må være gjort på forhånd.
Og den må være øvd på.
10 anbefalinger:
- Øv på cyberkriser regelmessig
Beredskapsplanen må testes i praksis. Simuler dataangrep, systemnedetid og datalekkasje slik at ledelsen vet hva den skal gjøre når det virkelig gjelder. - Plasser ansvaret hos ledelsen
Cybersikkerhet kan ikke delegeres til IT-avdelingen alene. Toppledelsen og styret må forstå risikoen, ta beslutninger og følge opp sikkerhetsarbeidet. - Lag klare roller før krisen oppstår
Avklar hvem som leder krisen, hvem som kommuniserer, hvem som kontakter myndigheter og leverandører, og hvem som tar beslutninger dersom systemene er utilgjengelige. - Moderniser den digitale grunnmuren
Kartlegg teknologisk gjeld og gamle systemer. Utdatert infrastruktur øker sårbarheten og bør erstattes eller sikres systematisk. - Bygg sikkerhetskompetanse i hele organisasjonen
Alle ansatte trenger grunnleggende digital sikkerhetsforståelse. Ledere bør i tillegg kunne forstå trusselbildet og stille de riktige spørsmålene. - Planlegg for at angrepet faktisk kommer
Gå fra tankegangen «hvis vi blir angrepet» til «når vi blir angrepet». Bygg beredskap ut fra at systemer, data eller tjenester på et tidspunkt kan bli utilgjengelige. - Sørg for at virksomheten kan fungere uten de vanlige systemene
Ha sikre sikkerhetskopier, alternative kommunikasjonskanaler og planer for hvordan kritiske tjenester kan opprettholdes eller gjenopprettes raskt. - Still tydelige sikkerhetskrav til leverandører
Cybersikkerhet bør være et sentralt krav i offentlige og private anskaffelser. Sikkerheten i verdikjeden er ikke sterkere enn det svakeste leddet. - Samarbeid mer og del kompetanse
Små kommuner og virksomheter kan vanskelig bygge all nødvendig ekspertise alene. Mer koordinering, felles løsninger og tettere samarbeid mellom offentlig og privat sektor kan redusere sårbarheten. - Gå fra planer til gjennomføring
Norge mangler ikke strategier og rapporter. Det avgjørende er å prioritere tiltak, finansiere dem, plassere ansvar, sette tidsfrister og kontrollere at de faktisk blir gjennomført.
