Norge er sist i Norden på cybersikkerhet – bare én av tre har rutiner

Da Pål Wien Espen la fram TEK Norges nordiske måling 13. oktober 2026, lå Norge sist, og bare ett av tre norske foretak hadde dokumenterte rutiner for IKT-sikkerhet; «Vi må opp i ringene», sa han. Målingen er laget av NyAnalyse på oppdrag fra TEK Norge. Resultatene ble lagt fram sammen med et oppdatert veikart for norsk cybersikkerhet.

Den svenske Energimyndighetens melding opplyser at cybersäkerhetslagen gjennomførte NIS2 og trådte i kraft 15. januar 2026. I Norge gjelder fortsatt digitalsikkerhetsloven, som i hovedsak bygger på NIS1 og trådte i kraft 1. oktober 2025; NIS2 var ennå ikke norsk lov i oktober 2026. Forskjellen i lovstatus er en del av bakteppet for målingen, men forklarer ikke alene hvor mange foretak som oppgir dokumenterte rutiner.

Hva den nordiske sisteplassen måler

Plasseringen er resultatet av en sammensatt bransjeanalyse, ikke en offentlig rangering av hvor mange angrep virksomheter i hvert land opplever. Beregningen omfatter digital infrastruktur, forskning, utdanning, foretakenes sikkerhetsarbeid og nasjonal beredskap. Et land kan derfor ha sterke fagmiljøer og samtidig få en svak samlet plassering dersom dokumentert praksis og gjennomføring trekker ned.

Sverige får høyest samlet score i den oppdaterte analysen, fulgt av Finland og Danmark. Norge kommer sist, særlig fordi foretakenes sikkerhetsrutiner og deler av den digitale infrastrukturen trekker ned. Samtidig kommer Norge relativt godt ut på kompetanse og forskningsaktivitet. Sisteplassen beskriver dermed resultatet av den valgte sammenligningen; den sier ikke at hvert norsk foretak er dårligere beskyttet enn sine nordiske konkurrenter.

Analysen er også endret siden forrige utgave. Rapporterte sikkerhetshendelser er tatt ut av totalscoren fordi landenes tall påvirkes av hvor godt hendelser oppdages, og hvor ofte de blir rapportert. Færre registrerte hendelser kan derfor ikke uten videre likestilles med lavere risiko. Endringen gjør målingen mer rettet mot forutsetninger for sikkerhetsarbeid, men totalscoren sier fortsatt lite om angrepsfaren for én bestemt virksomhet.

Rutinetallet peker på et styringsgap

Andelen med dokumenterte rutiner er det funnet en virksomhetsleder lettest kan undersøke i egen organisasjon. Tekniske tiltak kan være i drift uten at det er skrevet ned hvem som eier risikoen, når tilganger skal gjennomgås, eller hvordan en alvorlig hendelse skal håndteres. Målingen registrerer utbredelsen av dokumentasjon; den vurderer ikke kvaliteten på hvert foretaks rutiner eller om tiltakene virker under et faktisk angrep.

For et styre er dokumentasjonen nyttig når ansvar og beslutninger skal etterprøves. En oversikt over kritiske tjenester bør vise hvilke systemer og leverandører driften er avhengig av, hvem som kan beslutte tiltak ved avbrudd, og hvordan virksomheten skal komme tilbake i drift. Når slike avklaringer bare finnes som muntlig kunnskap hos enkeltansatte, blir det vanskeligere å følge opp om sikkerhetsarbeidet faktisk blir gjennomført.

Rutinetallet må samtidig holdes adskilt fra den samlede landscoren. Dokumenterte prosedyrer er ett mål på hvordan foretak styrer sikkerhet, mens rangeringen også omfatter forhold utenfor det enkelte foretaks kontroll. Det gjør funnet konkret for ledelsen uten å gjøre bransjeanalysen til en vurdering av hver norsk virksomhet.

Sverige har satt krav i kraft

Den svenske loven stiller krav til virksomheter innenfor sitt virkeområde om registrering, egnede sikkerhetstiltak, opplæring av ledelsen og rapportering av betydelige hendelser. Pliktene gjelder den kretsen loven omfatter, ikke automatisk alle svenske foretak. For berørte ledere betyr regelverket at sikkerhet må behandles som et ansvar som kan følges opp og dokumenteres, også når den daglige driften utføres av andre.

Lovstatus og bedriftsmåling beskriver likevel ulike forhold. En lov kan stille krav til bestemte sektorer og virksomheter, mens rutinetallet viser hvor utbredt dokumentasjon er i målegrunnlaget. At Sverige har innført NIS2, beviser derfor ikke at loven alene skapte forskjellen i foretakenes rutiner. Norske leverandører til svenske virksomheter kan like fullt møte spørsmål om egen sikkerhetspraksis når kundene følger opp risiko hos leverandørene sine.

Hva norske styrer må avklare nå

Norske virksomheter må først forholde seg til regelverket som gjelder dem i dag. Tilbydere av bestemte samfunnsviktige og digitale tjenester kan allerede være omfattet av digitalsikkerhetsloven, med plikter knyttet til sikkerhet og varsling. Andre virksomheter kan falle utenfor lovens direkte virkeområde, men møte krav om risikovurdering, dokumentasjon og hendelseshåndtering gjennom avtaler med regulerte kunder. En slik kontraktsforpliktelse er ikke det samme som en ny norsk lovplikt.

Et styre som vil undersøke gapet målingen peker på, kan be ledelsen gjøre rede for hvilke tjenester som er kritiske, hvilke leverandører de er avhengige av, og hvem som har ansvar for tilgangsstyring, sikkerhetskopier og håndtering av hendelser. Det sentrale er om rutinene er kjent og kan brukes når noe skjer. En oversikt som aldri øves på eller oppdateres, gir styret et svakere grunnlag for å vite om ansvaret faktisk blir ivaretatt.

Virksomheter som kan bli omfattet når NIS2 senere gjennomføres i Norge, kan i tillegg sammenligne dagens styring med direktivets bredere krav til ledelse, sikkerhetstiltak og leverandørkjede. Endelig norsk virkeområde og ikrafttredelse er ikke fastsatt. Inntil dette avklares gjennom EØS-behandling og norsk lovarbeid, er den konkrete oppgaven å oppfylle gjeldende plikter og kunne vise hvordan sikkerhetsarbeidet er organisert.

Les også:

• KI mer enn doblet saksmengden – men rutinestillinger er utsatt
• DeepL eller Google Oversetter: norsk tekst har ingen enkel vinner
• Mastercard virker uten nett i Norge – men først for nye kort