Cyberberedskap i en ny tidsalder. NSM anbefaler forhåndsavtalt ekspertbistand

Tirsdag 27. oktober hevet NSM dessuten det nasjonale cyberrisikonivået fra moderat til høyt, det nest høyeste av fem nivåer. Det er første gang nivået offentliggjøres. NSM begrunner hevingen med den sikkerhetspolitiske situasjonen, den raske økningen i bruk av kunstig intelligens i cyberoperasjoner, kritiske sårbarheter i programmeringsspråket PHP, og opplyser at antallet vellykkede cyberoperasjoner mot norske virksomheter er tredoblet det siste halvåret. Samtidig har NSM sendt ut 21 tiltak som NSM forventer at norske virksomheter innfører, blant dem kartlegging av roller og ansvar, helhetlig risikostyring av leverandørkjeder og en plan for håndtering av hendelser.

Anbefalingen og hevingen av sikkerhetsnivået kommer samtidig som kunstig intelligens endrer hvordan cyberangrep gjennomføres. Virksomheter må forberede seg på en situasjon der rekognosering, angrepsforsøk og utnyttelse kan foregå kontinuerlig og med stadig mindre behov for menneskelig involvering. Dette påvirker dermed hva effektiv og tilstrekkelig beredskap innebærer. Utviklingen omtales i det følgende, sammen med hva den etter vår vurdering betyr for styrer og ledelse.

Microsoft publiserte 1. oktober 2026 sin årlige Digital Defense Report. Rapporten beskriver at utviklingen har gått fra at AI bistår menneskelige angripere til en stadig mer autonom gjennomføring. Microsoft opplyser at AI-orkestrert angrepsaktivitet nå observeres i reelle miljøer, og at deler av angrepskjeden komprimeres fra dager til sekunder. Mediantiden fra en sårbarhet blir kjent til den er omgjort til et angrepsverktøy er ifølge rapporten godt under 24 timer, mens virksomheter kan bruke 30 til 60 dager på å utbedre kritiske sårbarheter.

NSM konstaterte allerede i mai 2026 at de nyeste AI-modellene kan oppdage og utnytte ukjente sårbarheter på egen hånd, og at åpent tilgjengelige modeller kan reprodusere funksjonaliteten. I Risiko 2026 skriver NSM at både NSM og PST forventer at norske virksomheter i løpet av året blir utsatt for cyberoperasjoner der AI-verktøy spiller en viktig rolle. Ved hevingen av risikonivået 27. oktober omtalte NSM bruk av språkmodeller og agentisk AI i cyberoperasjoner som en alvorlig trussel med et skadepotensial som påvirker det nasjonale risikonivået.

Fullt autonome angrep er ennå ikke normalen, og Microsoft understreker at de fleste komplekse datainnbrudd fortsatt har betydelig menneskelig styring. Det vesentlige er heller at angrepsøkonomien endres. Oppgaver som tidligere krevde betydelig menneskelig kapasitet, spesialistkompetanse og tid, kan i økende grad automatiseres og gjentas kontinuerlig. For virksomheten betyr dette at tidsrommet mellom et teknisk problem og en forretningskritisk hendelse blir kortere og responstiden enda viktigere.

Dette får konsekvenser for hvordan cyberberedskap må organiseres. Tradisjonelt har mye av oppmerksomheten vært rettet mot å hindre inntrengning og beskytte systemer. Det er fortsatt grunnleggende, men virksomheten må i tillegg være rigget for situasjoner der beskyttelsen svikter. Cyberberedskap blir dermed i større grad et spørsmål om operasjonell motstandsdyktighet og virksomhetsstyring, ikke bare teknisk sikkerhet.

Erfaringen fra alvorlige cyberhendelser er at en rekke vanskelige spørsmål melder seg samtidig, på ufullstendig grunnlag og under betydelig tidspress:

Hvem bestemmer, og hva koster beslutningen? 

Å løse problemet ved å stenge systemet må veies opp mot de konsekvensene dette medfører for leveransen til kunden. Virksomheter må klarlegge hvem som har fullmakt til å ta den avveiningen utenfor arbeidstid.

Hvem skal bistå? 

Dette er ikke tidspunktet for å vurdere kandidater etter kompetanse og tilgjengelighet. Mange forsikringsselskaper opererer dessuten med forhåndsgodkjente tekniske og juridiske respondere, og dekningen kan avhenge av at disse benyttes.

Hvilke plikter utløses, og overfor hvem? 

Varslingsplikter følger av lov, kontrakter og forsikringsvilkår. En grenseoverskridende hendelse kan utløse parallelle varslings- og informasjonsplikter etter ulike regelverk og overfor ulike myndigheter, med ulike frister og ulike krav til innhold.

Hvilken rolle har hvert selskap? 

Konsernselskaper kan være behandlingsansvarlige, databehandlere, felles behandlingsansvarlige eller underleverandører etter databehandleravtaler med kunder. Hver rolle utløser egne plikter overfor kunder, registrerte og tilsynsmyndigheter.

Hva kan, må og bør meldes fra om? 

Virksomheter bør klarlegge hva de er forpliktet til å melde om overfor kunder, styret og myndighetene. Åpenhet utover det lovpålagte kan begrense skaden, men også få betydning for forsikringsdekning og ansvar. Den som skal veie disse hensynene, må ha mandat til det.

Når må man melde fra? 

Det gjelder ulike frister etter ulike regelverk, og alle må etterleves: 

• 72 timers frist for personopplysninger, jf. personvernforordningen artikkel 33
• 24 timers frist for tilbydere av samfunnsviktige tjenester, jf. digitalsikkerhetsforskriften § 17, med oppdatering innen 72 timer
• 4 timers frist for alvorlige IKT-hendelser for foretak omfattet av DORA, og senest 24 timer etter hendelsen var kjent
• for noterte utstedere kommer spørsmålet om innsideinformasjon og offentliggjøring etter markedsmisbruksforordningen i tillegg

Digitalsikkerhetsforskriften krever at sikkerhetsstyringen inngår i den overordnede styringen av virksomheten, at roller og ansvar er definert og dokumentert, og at virksomhetens leder har ansvaret for et forsvarlig sikkerhetsnivå. Forskriften krever også beredskapsplaner og øvelser som tester planverket. DORA bygger på det samme prinsippet om digital operasjonell motstandsdyktighet som et ledelsesansvar. For aksjeselskaper og allmennaksjeselskaper som ikke er omfattet av sektorregelverk, følger det av aksjelovgivningen §§ 6-12 og 6-13 at styret skal sørge for forsvarlig organisering av virksomheten og føre tilsyn med den daglige ledelsen.

NSMs anbefaling om forhåndsavtalt ekspertbistand vil etter vår vurdering kunne få betydning for hva som anses som forsvarlig beredskap, og for vurderingen av virksomhetens forberedelser dersom en alvorlig hendelse først har inntruffet. Når statens fagmyndighet uttrykkelig anbefaler at bistanden er avtalt på forhånd, og samtidig rapporterer om vesentlige mangler i norske virksomheters forebyggende sikkerhetsarbeid, bør styrer og ledelse ta stilling til spørsmålet nå. Med risikonivået hevet til høyt og 21 tiltak NSM uttrykkelig forventer innført, er spørsmålet ikke lenger om virksomheten bør handle, men om den kan dokumentere at den har gjort det. 

Vi legger til grunn at det avgjørende ikke er om virksomheten har en beredskapsplan, men om de kritiske juridiske og organisatoriske beslutningene er tatt før hendelsen. Fullmakter, varslingsmatrise, forhåndsgodkjente respondere og avklart forsikringsdekning kan vanskelig etableres mens angrepet pågår. Det samme gjelder oversikten over hvilke selskaper, kontrakter og jurisdiksjoner som kan bli berørt. Den må finnes fra før, og den må holdes ved like.

Styrer og ledelse bør allerede nå vurdere:

• hvem som har fullmakt til å stenge systemer, prioritere mellom kunder og eskalere til styret utenfor arbeidstid
• om juridisk rådgiver, tekniske respondere, forsikringskontakt og kommunikasjonsressurser er avstemt mot forsikringsvilkårene
• om det finnes en oppdatert oversikt over konsernets personvernroller, databehandleravtaler, kundekontrakter med varslingsplikter og berørte jurisdiksjoner, og hvem som har ansvaret for å holde den ved like
• om varslingsplikter etter lov, kontrakt og forsikring er samlet i én operativ oversikt for alle land virksomheten har virksomhet eller kunder i
• om det er avklart hvem som kan beslutte hva som skal kommuniseres, til hvem og når
• om beredskapen er testet i en realistisk øvelse med ledelsen og styret
• om virksomheten har gjennomgått de 21 tiltakene NSM sendte ut 27. oktober, og kan dokumentere status for hvert av dem

Schjødt har samlet denne bistanden i Schjødt Cyber Readiness & Response. Vi gjennomgår virksomhetens beredskap, bistår med å etablere og holde oppdatert oversikten over personvernroller, kontrakter og jurisdiksjoner, utarbeider en juridisk responsplan på tvers av landegrensene, etablerer et forhåndsavtalt responsnettverk og gjennomfører scenarioøvelser for styre og ledelse. Når hendelsen inntreffer, er vi tilgjengelige hele døgnet. Arbeidet koordineres på tvers av våre kontorer i Norge, Sverige, Danmark og Storbritannia. Ta kontakt med Jeppe Songe-Møller, Torkel Hope eller din faste kontaktperson i Schjødt.