Choose language

Informasjonssikkerhet

Informasjonssikkerhet er arbeidet med å beskytte virksomhetens informasjon mot uautorisert tilgang, tap og endring, uansett om informasjonen finnes digitalt, på papir eller i hodet på de ansatte. For norske virksomheter styres arbeidet av flere parallelle regelverk, i hovedsak personvernforordningen og digitalsikkerhetsloven (LOV-2023-12-20-108), som trådte i kraft 1. oktober 2025. Trenger dere en samlet struktur for arbeidet, kan dere ta utgangspunkt i et internkontrollsystem for personvern og informasjonssikkerhet.

Dette må du vite:

  • Informasjonssikkerhet beskytter all informasjon, ikke bare den digitale. Konfidensialitet, integritet og tilgjengelighet er den styrende modellen
  • Artikkel 32 i personvernforordningen krever egnede tekniske og organisatoriske tiltak ved all behandling av personopplysninger, uansett virksomhetens størrelse
  • Digitalsikkerhetsloven treffer tilbydere av samfunnsviktige tjenester i 7 sektorer og tilbydere av digitale tjenester, og krever et styringssystem godkjent av virksomhetens leder
  • ISO/IEC 27001 er den internasjonalt etablerte standarden for ledelsessystem for informasjonssikkerhet, med 93 kontroller i vedlegg A etter 2022-revisjonen
  • Overtredelsesgebyr kan gå opptil 20 millioner euro eller 4 % av global omsetning etter personvernforordningen, og opptil 50 millioner kroner etter digitalsikkerhetsregelverket

Hva er informasjonssikkerhet?

Informasjonssikkerhet er et systematisk arbeid for å beskytte informasjon mot uautorisert tilgang, endring og tap, slik at den er konfidensiell, korrekt og tilgjengelig når den trengs.

Begrepet dekker både digitale og fysiske informasjonsverdier. En personalmappe i en perm, et kontoutdrag i et økonomisystem, en muntlig gjennomgang i et ledermøte og kildekoden til kjernevirksomheten omfattes alle av samme grunnprinsipp: informasjonen skal beskyttes på en måte som speiler verdien den har og risikoen for at den havner feil.

Datatilsynet knytter arbeidet direkte til internkontroll. Personopplysninger regnes i seg selv som en verdi som skal sikres, og vurderingen av hvilke tiltak som trengs skal ta utgangspunkt i en kartlegging av verdiene, truslene mot dem og sårbarhetene som finnes.

I praksis bygges arbeidet i 3 lag: tekniske tiltak som kryptering og tilgangsstyring, organisatoriske tiltak som rutiner, opplæring og ansvarsfordeling, og en dokumentert struktur i form av styringsdokumenter, risikovurderinger og oppfølging som viser at arbeidet faktisk gjøres. Det er når lagene henger sammen at dere har et vern som holder ved tilsyn.

Konfidensialitet, integritet og tilgjengelighet

De 3 grunnprinsippene i informasjonssikkerhet er konfidensialitet, integritet og tilgjengelighet, og de skal være oppfylt samtidig.

Prinsippene kalles ofte CIA-triaden, etter de engelske ordene confidentiality, integrity og availability. De brukes både som mål for arbeidet og som kontrollmodell når dere vurderer en risiko eller et tiltak. En kort gjennomgang finnes i artikkelen om konfidensialitet, integritet og tilgjengelighet.

  • Konfidensialitet betyr at informasjonen bare er tilgjengelig for dem som har tjenstlig behov for den. Svikt oppstår når opplysninger eksponeres for feil mottaker, lekker via feil tilgang eller deles i åpne kanaler
  • Integritet betyr at informasjonen er korrekt, fullstendig og uendret. Svikt oppstår når data manipuleres, slettes ved en feil, eller når noe føres inn galt uten at feilen oppdages
  • Tilgjengelighet betyr at informasjonen finnes når den trengs. Svikt oppstår ved løsepengevirus, driftsavbrudd, glemt lisensfornyelse, eller når den eneste som vet hvordan et system fungerer slutter

Et tiltak skal normalt styrke minst ett av prinsippene uten å svekke de andre. Sterk kryptering styrker konfidensialiteten, men håndteres nøklene dårlig, slår det i stedet mot tilgjengeligheten. Slike avveininger er kjernen i et modent informasjonssikkerhetsarbeid.

Forskjellen på informasjonssikkerhet, cybersikkerhet og IT-sikkerhet

Informasjonssikkerhet er det bredeste begrepet og omfatter all informasjon uansett form. IT-sikkerhet er vernet av digital informasjon og digitale systemer, mens cybersikkerhet retter seg mot trusler via internett og andre nettverk.

I norsk forvaltningsspråk er skillet mellom de to siste mindre skarpt enn i internasjonale standarder. NSM bruker cybersikkerhet, digital sikkerhet og IKT-sikkerhet som synonymer. Skillet som betyr noe juridisk går derfor mellom informasjonssikkerhet på den ene siden og det digitale feltet på den andre, fordi det avgjør hvilket regelverk som treffer dere.

For en virksomhet som vil dekke alle regelverk, er det enkleste å ta utgangspunkt i det bredeste begrepet. Bygger dere for informasjonssikkerhet, er både IT-sikkerheten og cybersikkerheten dekket underveis.

Lover og regelverk som styrer informasjonssikkerhet i Norge

Arbeidet styres i hovedsak av personvernforordningen, digitalsikkerhetsloven og sikkerhetsloven, supplert av sektorregelverk for finans, helse, ekom og offentlig forvaltning.

Regelverkene utfyller hverandre, og de fleste større virksomheter omfattes av flere samtidig. De mest sentrale er:

  • Personvernforordningen (forordning (EU) 2016/679), GDPR, artikkel 32, krever egnede tekniske og organisatoriske tiltak ved all behandling av personopplysninger. I Norge gjelder den gjennom EØS-avtalen og personopplysningsloven (LOV-2018-06-15-38). Sikkerhetskravene gjelder uansett virksomhetens størrelse
  • Digitalsikkerhetsloven (LOV-2023-12-20-108) og digitalsikkerhetsforskriften (FOR-2025-06-20-1131) stiller krav til styringssystem, risikovurdering, sikkerhetstiltak, beredskap og varsling for tilbydere av samfunnsviktige tjenester i 7 sektorer og for tilbydere av digitale tjenester. Hendelser varsles til sektortilsynsmyndigheten med kopi til NSM innen 24 timer, med oppdatering innen 72 timer og hendelsesrapport innen 1 måned
  • Sikkerhetsloven (LOV-2018-06-01-24) gjelder virksomheter med informasjon eller infrastruktur av betydning for nasjonale sikkerhetsinteresser, og stiller egne krav til verdivurdering, sikkerhetstiltak og sikkerhetsklarering
  • DORA-loven (LOV-2025-05-27-18) gjennomfører DORA-forordningen (forordning (EU) 2022/2554) for finansforetak, med krav til IKT-risikostyring og tredjepartsoppfølging
  • eForvaltningsforskriften (FOR-2004-06-25-988) § 15 krever at forvaltningsorganer har internkontroll på informasjonssikkerhetsområdet, basert på anerkjente standarder for styringssystem for informasjonssikkerhet
  • Sektorregelverk, for eksempel pasientjournalloven (LOV-2014-06-20-42) og ekomloven (LOV-2024-12-13-76), stiller egne krav innenfor sine områder

Merk at digitalsikkerhetsloven gjennomfører det første NIS-direktivet. NIS2 er ennå ikke innlemmet i EØS-avtalen og gjelder ikke som norsk rett, selv om en ny lov er under arbeid. Bygger dere planer på NIS2 som gjeldende krav, legger dere til grunn feil kravnivå og feil terminologi.

ISO 27001 og ledelsessystem for informasjonssikkerhet

ISO/IEC 27001 er den internasjonale standarden for ledelsessystem for informasjonssikkerhet, og beskriver hvordan en virksomhet systematisk skal planlegge, gjennomføre, følge opp og forbedre arbeidet, med hjulet plan, gjennomfør, kontroller og korriger som ryggrad.

Standarden er frivillig, men har blitt modellen tilsynsmyndigheter, kunder og leverandører viser til når de vil se at en virksomhet arbeider strukturert. I Norge er den dessuten indirekte påbudt for flere: både digitalsikkerhetsforskriften § 6 og eForvaltningsforskriften § 15 krever at styringssystemet bygger på anerkjente standarder, og ISO/IEC 27001 er den som oppfyller det i praksis. Legg merke til at norsk regelverk konsekvent bruker ordet styringssystem der standarden på norsk heter ledelsessystem. Det er samme sak.

Draftit er selv ISO 27001-sertifisert og bygger tjenestene på den samme strukturen som virksomheter med høye sikkerhetskrav lener seg på.

Kontrollkatalogen ligger i vedlegg A. Etter 2022-revisjonen er kontrollene 93 i tallet, fordelt på 4 kategorier:

  1. Organisatoriske kontroller, for eksempel styringsdokumenter, roller, ansvarsfordeling, leverandørhåndtering og trusselvurdering
  2. Personellkontroller, for eksempel opplæring, bakgrunnssjekk og håndtering ved ansettelse og avslutning
  3. Fysiske kontroller, for eksempel adgang til lokaler, sikre soner og håndtering av utstyr
  4. Teknologiske kontroller, for eksempel logging, kryptering, tilgangsstyring og sikker utvikling

I 2022-revisjonen kom 11 nye kontroller til, med vekt på områder som trusselovervåking, skysikkerhet og datalekkasje. Bygger dere et ledelsessystem fra bunnen, er vedlegg A en brukbar sjekkliste selv om dere ikke sikter mot sertifisering. For en kort definisjon, se hva er ISO 27001.

Slik bygger dere informasjonssikkerhetsarbeidet i praksis

Du bygger arbeidet i 5 steg: kartlegg informasjonsverdiene, gjør en risikovurdering, fastsett sikkerhetstiltak, dokumenter og lær opp, følg opp og forbedre.

Arbeidsgangen er den samme enten dere sikter mot ISO 27001-sertifisering eller bare vil oppfylle personvernforordningen og digitalsikkerhetsregelverket:

  1. Kartlegg informasjonsverdiene. Hvilken informasjon finnes, hvilke systemer håndterer den, hvem har tilgang og hvilke eksterne parter behandler opplysninger på deres vegne? Uten kartleggingen vet dere ikke hva som skal beskyttes. Oversikten kan struktureres i et verktøy for informasjonsverdier
  2. Gjør en risikovurdering. Vurder hvilke trusler og sårbarheter som finnes, og hvilken konsekvens en realisert risiko ville fått. Vurderingen er fundamentet i hele arbeidet, og formen skal speile virksomhetens kompleksitet
  3. Fastsett sikkerhetstiltak. Velg tekniske og organisatoriske tiltak ut fra risikobildet. Vedlegg A i ISO/IEC 27001 fungerer som sjekkliste også når dere ikke sertifiserer dere
  4. Dokumenter og lær opp. Styringsdokumenter, rutiner, databehandleravtaler og beredskapsplan må finnes og være kjent av dem som skal følge dem. En rutine ingen kjenner gir verken praktisk eller juridisk vern. Kurset i informasjonssikkerhet dekker grunnlaget for de ansatte
  5. Følg opp og forbedre. Gjennomgå vernet løpende, minst 1 gang i året og alltid etter en hendelse eller større endring. For virksomheter under digitalsikkerhetsforskriften er årlig gjennomgang og godkjenning fra virksomhetens leder et uttrykkelig krav etter § 6

Hvor dere står i dag blir sjelden tydelig før dere gjør en modenhetsvurdering. For en rask avstemming kan dere begynne med å ta Draftits GDPR-test.

Eksempler på situasjoner der informasjonssikkerhet blir aktuelt

3 scenarioer som går igjen i tilsynssaker og avviksmeldinger:

✔︎ "En ansatt delte lenken til et internt dokument med «alle i virksomheten», uten å tenke på at dokumentet inneholdt særlige kategorier av personopplysninger."

✔︎ "En leverandør ble rammet av løsepengevirus, og produksjonsdataene våre lå i sikkerhetskopien deres."

✔︎ "En tidligere ansatt logget inn med en konto som aldri ble deaktivert, og tok med seg kundedata til neste arbeidsgiver."

Fellesnevneren er at minst ett av de 3 grunnprinsippene er brutt, og at årsaken oftere er uklare rutiner enn teknisk svakhet.

Vanlige spørsmål om informasjonssikkerhet

Hvem er ansvarlig for informasjonssikkerheten i en virksomhet?

Ledelsen, alltid. Operativt ansvar kan delegeres til sikkerhetsansvarlig, IT-sjef eller CISO, men det rettslige ansvaret for at sikkerhetsnivået holder mål kan ikke delegeres bort. Digitalsikkerhetsforskriften § 6 sier det uttrykkelig: virksomhetens leder har ansvaret for et forsvarlig sikkerhetsnivå, skal godkjenne styringssystemet og gjennomgå det minst årlig. Etter personvernregelverket ligger ansvaret hos den behandlingsansvarlige, altså virksomheten, ikke hos personvernombudet.

Er informasjonssikkerhet og personvern det samme?

Nei, personvern gjelder beskyttelse av personopplysninger, som er en delmengde av informasjonssikkerheten. Alt personvernarbeid forutsetter god informasjonssikkerhet etter artikkel 32, men informasjonssikkerhet dekker også informasjon som ikke er personopplysninger, som forretningshemmeligheter, prismodeller, kildekode og interne strategibeslutninger. Motsatt handler personvern om mer enn sikkerhet, blant annet behandlingsgrunnlag og de registrertes rettigheter.

Må små virksomheter også jobbe med informasjonssikkerhet?

Ja, fordi personvernforordningen gjelder alle som behandler personopplysninger, uansett størrelse. Digitalsikkerhetsloven treffer derimot først og fremst virksomheter over bestemte terskler i utpekte sektorer. Små underleverandører merker likevel kravene indirekte, fordi oppfølgingsplikten etter digitalsikkerhetsforskriften § 14 gjør at større kunder fører sikkerhetskravene sine videre i avtalene. I praksis møter mange små virksomheter kravene først som et vedlegg i en anbudskonkurranse.

Hva koster mangelfull informasjonssikkerhet?

Overtredelsesgebyr etter personvernforordningen kan gå opptil 20 millioner euro eller 4 % av global omsetning, mens digitalsikkerhetsregelverket har et tak på 50 millioner kroner. Rammen etter digitalsikkerhetsforskriften § 24 er 25 ganger grunnbeløpet eller 4 % av årsomsetningen, der det høyeste beløpet gjelder. I tillegg kommer erstatning til de registrerte etter artikkel 82, omdømmetap, tapte kontrakter og kostnadene ved selve hendelseshåndteringen, som ofte overstiger gebyret.

Hvor ofte skal informasjonssikkerhetsarbeidet gjennomgås?

Minst 1 gang i året er et rimelig utgangspunkt, og for virksomheter under digitalsikkerhetsforskriften er det et uttrykkelig krav. En gjennomgang skal i tillegg utløses ved større endringer, ny lovgivning, ny IT-arkitektur, bytte av kritisk leverandør eller etter en alvorlig hendelse. Forbedringshjulet i ISO/IEC 27001 forutsetter at oppfølgingen er en løpende aktivitet, ikke et årlig prosjekt som avsluttes med et dokument.

Holder det med en IT-policy for å oppfylle kravene?

Nei, en policy beskriver hva dere vil, mens et ledelsessystem beskriver hvordan dere gjør det og dokumenterer at det er gjort. Det er det siste som etterspørres ved tilsyn. Digitalsikkerhetsforskriften § 6 krever et styringssystem basert på anerkjente standarder, med definerte roller, dokumenterte aktiviteter og årlig gjennomgang. En policy uten organisasjon, dokumentasjon og oppfølging bak seg fungerer verken som styring eller som bevis.

Hvor begynner vi hvis vi ikke har noe på plass?

Begynn med kartleggingen av informasjonsverdier, ikke med teknologien. Uten oversikt over hvilken informasjon dere har, hvor den ligger og hvem som har tilgang, blir enhver tiltaksliste gjetning. Kartleggingen tar som regel kortere tid enn folk tror, og den avdekker nesten alltid systemer og tilganger ingen visste om. Deretter følger risikovurderingen, som gir grunnlaget for å prioritere tiltakene. Ta kontakt med Draftit eller annen fagkyndig for å vurdere hvilket kravnivå som gjelder for nettopp dere.