- oktober 2026 gjorde Nasjonal sikkerhetsmyndighet (NSM) noe de aldri har gjort før: De gikk åpent ut og hevet det nasjonale cyberrisikonivået til HØYT. Samtidig delte de en tiltakspakke som de forventer at alle norske virksomheter setter seg inn i. Denne artikkelen forklarer hva vurderingen betyr, og hvordan en vanlig virksomhet kan komme i gang uten å bli overveldet.
Hva betyr «høyt» cyberrisikonivå?
NSM bruker en skala med fem nivåer: svært lavt, lavt, moderat, høyt og ekstremt høyt. Moderat regnes som normaltilstanden – et nivå der det forventes at norske virksomheter blir utsatt for cyberoperasjoner. At nivået nå er hevet til høyt, betyr at risikoen er vesentlig større enn normalt, og at virksomheter bør iverksette forebyggende tiltak umiddelbart.
Ifølge NSM har det det siste halve året vært en tredobling av vellykkede cyberoperasjoner mot norske virksomheter, og flere har hatt alvorlige konsekvenser. Forsvarssektoren, samfunnskritisk infrastruktur og leverandørene deres er spesielt utsatt – men vanlige virksomheter rammes også, ofte som et ledd i en leverandørkjede.
Hvorfor nå? KI endrer tempoet
NSM peker på kunstig intelligens som en viktig årsak. Språkmodeller og såkalte agentiske KI-systemer – KI som selv kan utføre handlinger – kan brukes til å finne sårbarheter raskere og angripe i større volum enn før. NSM understreker at dette foreløpig ikke er dokumentert brukt i angrep i Norge, men at skadepotensialet er stort nok til å påvirke risikonivået.
Konsekvensen er enkel å forstå: Når angriperne blir raskere, må virksomhetene også bli raskere til å tette hull.
Hva inneholder tiltakspakken?
NSM understreker at tiltakene ikke er nye. De fleste finnes allerede i NSMs grunnprinsipper for IKT-sikkerhet. Det nye er at NSM nå forventer at de faktisk blir gjennomført. Blant tiltakene som trekkes fram:
- Phishing-resistent flerfaktorautentisering, for eksempel sikkerhetsnøkler eller passnøkler, i stedet for koder på SMS
- Herding av systemer og fjerning av unødvendige tjenester
- God logging og avdekking, slik at angrep oppdages tidlig
- Oppdatering og utfasing av gammelt utstyr og programvare
- Risikostyring i leverandørkjeden
- Kartlegging av alle enheter og all programvare
- Validering av at sikkerhetstiltakene faktisk virker
Hvor bør en liten eller mellomstor virksomhet starte?
Listen kan virke lang for en virksomhet uten egen sikkerhetsavdeling. Vår anbefaling er å starte med fire steg denne måneden:
- Ta testen på cybersjekk.no. NSM anbefaler selv denne som startpunkt. Den gir et konkret bilde av sikkerhetstilstanden og forslag til hva dere bør gjøre først.
- Skru på sterk innlogging overalt. Prioriter e-post, Microsoft 365 eller Google Workspace, regnskap og fjerntilgang. Bytt fra SMS-koder til en app, passnøkler eller sikkerhetsnøkler der det er mulig.
- Lag en oversikt over utstyr og programvare. Dere kan ikke beskytte det dere ikke vet at dere har. Marker hva som ikke lenger får sikkerhetsoppdateringer.
- Snakk med leverandørene. Spør IT-leverandøren og andre som har tilgang til systemene deres hvordan de følger opp NSMs anbefalinger.
Grunnsikring handler ikke om dyre verktøy. Det handler om å gjøre de kjente tingene ordentlig, og raskt.
Glem ikke menneskene
De fleste angrep starter fortsatt med sosial manipulasjon – en e-post, en SMS eller en telefon som lurer noen til å gi fra seg tilgang. NSM skriver selv at både menneskelige, tekniske og organisatoriske tiltak er nødvendige. Ansatte som kjenner igjen et phishingforsøk og vet hva de skal gjøre, er en av de billigste og mest effektive formene for beskyttelse.
Ledelsen har også en rolle. Sikkerhet må prioriteres, få budsjett og følges opp – ikke bare delegeres til IT.
Oppsummering
Det høye cyberrisikonivået er et tydelig signal fra NSM: Norske virksomheter må styrke grunnsikringen nå. Start med cybersjekk.no, sterk innlogging, oversikt over utstyr og en samtale med leverandørene. Kombiner tekniske tiltak med opplæring av ansatte og ledere. Hvordan dere kommer i gang i praksis, går vi gjennom i workshopen Grunnleggende sikkerhet for bedrifter.
Kilde: NSM, «NSM hever det nasjonale cyberrisikonivået til HØYT», 27.10.2026. Denne artikkelen er generell informasjon, ikke juridisk rådgivning.