Forskjellen på cybersikkerhet, IT-sikkerhet og informasjonssikkerhet

Cybersikkerhet, IT-sikkerhet og hva er informasjonssikkerhet brukes ofte om hverandre, men i regelverk og praktisk arbeid betyr de ulike ting. Informasjonssikkerhet er det bredeste begrepet og omfatter all informasjon uansett form, mens IT-sikkerhet og cybersikkerhet dekker den digitale delen med hver sin vinkling. Skal dere samle arbeidet på ett sted, kan dere ta utgangspunkt i et internkontrollsystem for personvern og informasjonssikkerhet.

Dette må du vite:

• Informasjonssikkerhet er overbegrepet og omfatter all informasjon, også papir, samtaler og kunnskap som sitter hos ansatte
• IT-sikkerhet beskytter digital informasjon og digitale systemer, uavhengig av om trusselen kommer via nett eller fysisk tilgang
• Cybersikkerhet retter seg mot trusler via internett og andre nettverk, men NSM bruker cybersikkerhet, digital sikkerhet og IKT-sikkerhet som synonymer, så skillet mot IT-sikkerhet er mindre skarpt i norsk forvaltningsspråk enn i internasjonale standarder
• Norske regelverk treffer ulikt: digitalsikkerhetsloven regulerer nettverks- og informasjonssystemer, mens personvernforordningen og sikkerhetsloven omfatter informasjonssikkerhet i vid forstand

Hva er informasjonssikkerhet, IT-sikkerhet og cybersikkerhet?

Informasjonssikkerhet beskytter all informasjon uansett form, IT-sikkerhet beskytter digital informasjon og digitale systemer, og cybersikkerhet retter seg mot trusler som kommer via internett og andre nettverk.

Begrepene har vokst fram i ulikt tempo. Informasjonssikkerhet er det eldste og fantes lenge før digitaliseringen, opprinnelig for å håndtere fysiske arkiver, graderte dokumenter og muntlig informasjonsdeling. Kjernen har hele tiden vært konfidensialitet, integritet og tilgjengelighet. IT-sikkerhet, på norsk også kalt IKT-sikkerhet, vokste fram med datateknologien og handler om sikkerhet i informasjonssystemer. Cybersikkerhet er yngst og ble etablert i takt med at nettbaserte angrep ble den dominerende angrepsvektoren.

I dagligtale brukes begrepene overlappende. Mange virksomheter sier «cybersikkerhetsstrategi» når de mener hele informasjonssikkerhetsarbeidet. Det fungerer i kommunikasjon, men ikke i en revisjon eller et tilsyn. Når Datatilsynet eller en sektormyndighet stiller spørsmål, er det begrepet i regelverket som styrer hvilke krav som gjelder.

Slik henger begrepene sammen

Informasjonssikkerhet er det bredeste begrepet, IT-sikkerhet ligger innenfor det, og cybersikkerhet er i sin tur en delmengde av IT-sikkerheten. Bygger dere for informasjonssikkerhet, dekkes de to andre naturlig.

Modellen kan tegnes som 3 sirkler:

• Informasjonssikkerhet, den ytterste sirkelen: all informasjon, også papir, samtaler, tavlenotater, fysiske arkiver, kunnskap hos ansatte og prosesser som ikke er digitale
• IT-sikkerhet, mellomsirkelen: all digital informasjon og alle digitale systemer, både de som er tilkoblet og de som er isolerte
• Cybersikkerhet, den innerste sirkelen: beskyttelse mot trusler via internett og andre nettverk, typisk phishing, løsepengevirus, tjenestenektangrep og innbrudd

Her skiller norsk forvaltningsspråk seg fra den internasjonale standardlitteraturen. NSM definerer cybersikkerhet som «også kjent som digital sikkerhet eller IKT-sikkerhet» og lar begrepene dekke «alt» som er sårbart fordi det er koblet til eller på annen måte avhengig av informasjons- og kommunikasjonsteknologi. I norsk sammenheng smelter altså de to innerste sirklene i praksis sammen, mens skillet mot informasjonssikkerhet står fast. Det er skillet som betyr noe når dere skal dokumentere etterlevelse.

For en virksomhet som skal planlegge arbeidet, er konklusjonen den samme uansett modell: ta utgangspunkt i det ytterste laget, så faller de indre lagene på plass.

Hva dekker hvert begrep i praksis? 

Informasjonssikkerhet håndterer blant annet personalmapper på papir og muntlige ledelsesbeslutninger, IT-sikkerhet håndterer servere, klienter og tilgangsstyring, og cybersikkerhet håndterer phishing, løsepengevirus og nettverksinnbrudd.

Forskjellen blir tydelig når du lister opp hva områdene typisk dekker.

Informasjonssikkerhet:

• Sikker håndtering av papir, permer og fysiske arkiver
• Taushetserklæringer og taushetsplikt
• Klassifisering av informasjon
• Adgangskontroll og sikring av lokaler
• Rutiner for sikker kommunikasjon, også muntlig
• Kunnskap som sitter hos ansatte, og hvordan den dokumenteres før en avslutning

IT-sikkerhet:

• Tilgangsstyring og rettighetshåndtering i systemer
• Sikkerhetsoppdateringer og patchrutiner
• Sikkerhetskopiering og gjenoppretting
• Kryptering av data i ro og under overføring
• Logging og overvåking av systemhendelser
• Sikker utvikling av applikasjoner

Cybersikkerhet:

• Beskyttelse mot phishing, direktørsvindel og sosial manipulering
• Forsvar mot løsepengevirus og annen skadevare
• Beskyttelse mot tjenestenektangrep og andre nettverksbaserte angrep
• Overvåking av trusselbildet og aktører på nett
• Sikker konfigurasjon av brannmurer, VPN og fjerntilgang
• Hendelseshåndtering ved eksterne angrep

Områdene overlapper på flere punkter, for eksempel tilgangsstyring, som er kjernen i både IT-sikkerhet og informasjonssikkerhet. Det er nettopp overlappet som gjør at virksomheter samler arbeidet under ett begrep i den daglige driften.

Hvilken betydning har forskjellen i norsk rett?

Forskjellen styrer hvilke regelsett som treffer dere. Digitalsikkerhetsloven regulerer nettverks- og informasjonssystemer, personvernforordningen stiller krav til sikkerhet ved behandling av personopplysninger, og sikkerhetsloven omfatter all informasjon av betydning for nasjonale sikkerhetsinteresser.

De norske regelverkene bruker begrepene ulikt:

Merk at digitalsikkerhetsloven gjennomfører det første NIS-direktivet, ikke NIS2. Hva er NIS 2 er derfor et spørsmål om framtidig rett i Norge: direktivet er ennå ikke innlemmet i EØS-avtalen, og en ny lov som også dekker CER-direktivet er under arbeid. Planlegg etter digitalsikkerhetsloven i dag, og følg innlemmelsen tett.

DORA-forordningen (forordning (EU) 2022/2554) er derimot allerede på plass i Norge, gjennomført ved DORA-loven som trådte i kraft 1. juli 2025. Det illustrerer poenget: EØS-status varierer fra regelverk til regelverk, og må kontrolleres for hvert enkelt.

Hvordan jobber dere med alle 3 områdene samtidig?

Ta utgangspunkt i det bredeste begrepet, informasjonssikkerhet, og bygg et ledelsessystem som rommer IT-sikkerhet og cybersikkerhet som naturlige deler.

Det etablerte rammeverket er ISO/IEC 27001, ledelsessystem for informasjonssikkerhet, som dekker fysisk, digital og nettbasert sikkerhet. Datatilsynet anbefaler selv anerkjente standarder av denne typen for internkontrollarbeidet. For en kort definisjon, se hva er ISO 27001.

I praksis fordeles arbeidet gjerne slik:

1. Informasjonssikkerhetsansvarlig eller CISO eier helheten og rapporterer til ledelsen
2. IT-sikkerhetsansvarlig har ansvaret for tekniske sikkerhetstiltak i systemer og nettverk
3. Cybersikkerhetsfunksjon eller SOC overvåker trusselbildet og responderer på eksterne angrep
4. Personvernombudet følger opp informasjonssikkerheten i den delen som gjelder personopplysninger
5. Ledelsen har det rettslige og organisatoriske hovedansvaret og kan ikke delegere det bort

I mindre virksomheter ligger flere av rollene hos samme person, men ansvaret er det samme. Er dere usikre på hvor dere står i dag, kan dere ta Draftits GDPR-test for en rask modenhetsvurdering.

Eksempler på når forskjellen blir viktig i praksis

3 situasjoner der virksomheten må vite hvilket begrep som gjelder:

✔︎ "Vi har en cybersikkerhetspolicy, men Datatilsynet spør om rutinene våre for personalmapper på papir, og da må vi snakke informasjonssikkerhet."

✔︎ "Sektormyndigheten vil se risikovurderingen etter digitalsikkerhetsforskriften, mens leverandøroppfølgingen vår også må dekke databehandlere som håndterer fysiske arkiver."

✔︎ "IT-avdelingen har full kontroll på serversikkerheten, men det er konsulentene med tilgang til skytjenestene våre som er den reelle risikoen."

Vanlige spørsmål om cybersikkerhet, IT-sikkerhet og informasjonssikkerhet

Er cybersikkerhet og IT-sikkerhet det samme?

I norsk forvaltningsspråk brukes de langt på vei som synonymer, selv om internasjonale standarder skiller mellom dem. NSM bruker cybersikkerhet, digital sikkerhet og IKT-sikkerhet om hverandre. I ISO-tradisjonen er cybersikkerhet den delmengden av IT-sikkerheten som gjelder trusler via nettverk, mens IT-sikkerhet også dekker systemer som ikke er tilkoblet internett. Skillet er nyttig når dere strukturerer arbeidet internt, men bruk begrepene i regelverket når dere skal dokumentere etterlevelse.

Trenger vi en informasjonssikkerhetsstrategi når vi allerede har en for cybersikkerhet?

Ja, fordi en cybersikkerhetsstrategi normalt bare dekker beskyttelse mot eksterne digitale trusler. Den sier sjelden noe om fysisk sikkerhet, organisatoriske rutiner, leverandøroppfølging, håndtering av papir eller offboarding av ansatte. En informasjonssikkerhetsstrategi er overordnet og rommer cybersikkerheten som en av flere deler. For å oppfylle personvernforordningen, digitalsikkerhetsloven og ISO 27001 holder det ikke med cybersikkerhetsperspektivet alene.

Hvilket begrep bør vi bruke i policyen vår?

Bruk informasjonssikkerhet som overbegrep, og la IT-sikkerhet og cybersikkerhet være underkapitler eller delpolicyer. Det matcher både strukturen i ISO 27001 og måten norske regelverk er bygget opp på, og gjør det enklere å vise fullstendig dekning ved tilsyn. Å kalle alt for cybersikkerhet fungerer utad, men skaper hull i den juridiske og organisatoriske strukturen.

Er personvern det samme som informasjonssikkerhet?

Nei, personvern handler om beskyttelse av personopplysninger, som er en delmengde av informasjonssikkerheten. Alt personvernarbeid forutsetter god informasjonssikkerhet etter artikkel 32, men informasjonssikkerhet omfatter også informasjon som ikke er personopplysninger, som forretningshemmeligheter, kildekode og interne strategibeslutninger. Motsatt handler personvern om mer enn sikkerhet, blant annet behandlingsgrunnlag, formålsbegrensning og de registrertes rettigheter.

Hvem har ansvaret for hva i en virksomhet?

Ledelsen har det overordnede ansvaret for informasjonssikkerheten og kan ikke delegere det bort. Operativt ansvar fordeles typisk mellom CISO eller informasjonssikkerhetsansvarlig for helheten, IT-sikkerhetsansvarlig for digitale systemer, en cybersikkerhetsfunksjon eller SOC for eksterne trusler og personvernombudet for personopplysninger. I mindre virksomheter ligger flere roller hos samme person, men fordelingen skal likevel være dokumentert.

Har forskjellen betydning i en anskaffelse?

Ja, fordi hovedkravet i avtaler normalt formuleres som informasjonssikkerhet, ikke cybersikkerhet. Store kunder, særlig offentlig sektor og virksomheter under digitalsikkerhetsloven, stiller ofte krav om dokumentert informasjonssikkerhet inkludert ISO 27001-sertifisering. Rene cybersikkerhetskrav dukker gjerne opp i tekniske vedlegg. Forskjellen påvirker derfor hvilke dokumenter dere må kunne legge fram.