Informasjonssikkerhet er arbeidet med å beskytte virksomhetens informasjon mot uautorisert tilgang, tap og endring, uansett om informasjonen finnes digitalt, på papir eller i hodet på de ansatte. For norske virksomheter styres arbeidet av flere parallelle regelverk, i hovedsak personvernforordningen og digitalsikkerhetsloven (LOV-2023-12-20-108), som trådte i kraft 1. oktober 2025. Trenger dere en samlet struktur for arbeidet, kan dere ta utgangspunkt i et internkontrollsystem for personvern og informasjonssikkerhet.
Dette må du vite:
Informasjonssikkerhet er et systematisk arbeid for å beskytte informasjon mot uautorisert tilgang, endring og tap, slik at den er konfidensiell, korrekt og tilgjengelig når den trengs.
Begrepet dekker både digitale og fysiske informasjonsverdier. En personalmappe i en perm, et kontoutdrag i et økonomisystem, en muntlig gjennomgang i et ledermøte og kildekoden til kjernevirksomheten omfattes alle av samme grunnprinsipp: informasjonen skal beskyttes på en måte som speiler verdien den har og risikoen for at den havner feil.
Datatilsynet knytter arbeidet direkte til internkontroll. Personopplysninger regnes i seg selv som en verdi som skal sikres, og vurderingen av hvilke tiltak som trengs skal ta utgangspunkt i en kartlegging av verdiene, truslene mot dem og sårbarhetene som finnes.
I praksis bygges arbeidet i 3 lag: tekniske tiltak som kryptering og tilgangsstyring, organisatoriske tiltak som rutiner, opplæring og ansvarsfordeling, og en dokumentert struktur i form av styringsdokumenter, risikovurderinger og oppfølging som viser at arbeidet faktisk gjøres. Det er når lagene henger sammen at dere har et vern som holder ved tilsyn.
De 3 grunnprinsippene i informasjonssikkerhet er konfidensialitet, integritet og tilgjengelighet, og de skal være oppfylt samtidig.
Prinsippene kalles ofte CIA-triaden, etter de engelske ordene confidentiality, integrity og availability. De brukes både som mål for arbeidet og som kontrollmodell når dere vurderer en risiko eller et tiltak. En kort gjennomgang finnes i artikkelen om konfidensialitet, integritet og tilgjengelighet.
Et tiltak skal normalt styrke minst ett av prinsippene uten å svekke de andre. Sterk kryptering styrker konfidensialiteten, men håndteres nøklene dårlig, slår det i stedet mot tilgjengeligheten. Slike avveininger er kjernen i et modent informasjonssikkerhetsarbeid.
Informasjonssikkerhet er det bredeste begrepet og omfatter all informasjon uansett form. IT-sikkerhet er vernet av digital informasjon og digitale systemer, mens cybersikkerhet retter seg mot trusler via internett og andre nettverk.
I norsk forvaltningsspråk er skillet mellom de to siste mindre skarpt enn i internasjonale standarder. NSM bruker cybersikkerhet, digital sikkerhet og IKT-sikkerhet som synonymer. Skillet som betyr noe juridisk går derfor mellom informasjonssikkerhet på den ene siden og det digitale feltet på den andre, fordi det avgjør hvilket regelverk som treffer dere.
For en virksomhet som vil dekke alle regelverk, er det enkleste å ta utgangspunkt i det bredeste begrepet. Bygger dere for informasjonssikkerhet, er både IT-sikkerheten og cybersikkerheten dekket underveis.
Arbeidet styres i hovedsak av personvernforordningen, digitalsikkerhetsloven og sikkerhetsloven, supplert av sektorregelverk for finans, helse, ekom og offentlig forvaltning.
Regelverkene utfyller hverandre, og de fleste større virksomheter omfattes av flere samtidig. De mest sentrale er:
Merk at digitalsikkerhetsloven gjennomfører det første NIS-direktivet. NIS2 er ennå ikke innlemmet i EØS-avtalen og gjelder ikke som norsk rett, selv om en ny lov er under arbeid. Bygger dere planer på NIS2 som gjeldende krav, legger dere til grunn feil kravnivå og feil terminologi.
ISO/IEC 27001 er den internasjonale standarden for ledelsessystem for informasjonssikkerhet, og beskriver hvordan en virksomhet systematisk skal planlegge, gjennomføre, følge opp og forbedre arbeidet, med hjulet plan, gjennomfør, kontroller og korriger som ryggrad.
Standarden er frivillig, men har blitt modellen tilsynsmyndigheter, kunder og leverandører viser til når de vil se at en virksomhet arbeider strukturert. I Norge er den dessuten indirekte påbudt for flere: både digitalsikkerhetsforskriften § 6 og eForvaltningsforskriften § 15 krever at styringssystemet bygger på anerkjente standarder, og ISO/IEC 27001 er den som oppfyller det i praksis. Legg merke til at norsk regelverk konsekvent bruker ordet styringssystem der standarden på norsk heter ledelsessystem. Det er samme sak.
Draftit er selv ISO 27001-sertifisert og bygger tjenestene på den samme strukturen som virksomheter med høye sikkerhetskrav lener seg på.
Kontrollkatalogen ligger i vedlegg A. Etter 2022-revisjonen er kontrollene 93 i tallet, fordelt på 4 kategorier:
I 2022-revisjonen kom 11 nye kontroller til, med vekt på områder som trusselovervåking, skysikkerhet og datalekkasje. Bygger dere et ledelsessystem fra bunnen, er vedlegg A en brukbar sjekkliste selv om dere ikke sikter mot sertifisering. For en kort definisjon, se hva er ISO 27001.
Du bygger arbeidet i 5 steg: kartlegg informasjonsverdiene, gjør en risikovurdering, fastsett sikkerhetstiltak, dokumenter og lær opp, følg opp og forbedre.
Arbeidsgangen er den samme enten dere sikter mot ISO 27001-sertifisering eller bare vil oppfylle personvernforordningen og digitalsikkerhetsregelverket:
Hvor dere står i dag blir sjelden tydelig før dere gjør en modenhetsvurdering. For en rask avstemming kan dere begynne med å ta Draftits GDPR-test.
3 scenarioer som går igjen i tilsynssaker og avviksmeldinger:
✔︎ "En ansatt delte lenken til et internt dokument med «alle i virksomheten», uten å tenke på at dokumentet inneholdt særlige kategorier av personopplysninger."
✔︎ "En leverandør ble rammet av løsepengevirus, og produksjonsdataene våre lå i sikkerhetskopien deres."
✔︎ "En tidligere ansatt logget inn med en konto som aldri ble deaktivert, og tok med seg kundedata til neste arbeidsgiver."
Fellesnevneren er at minst ett av de 3 grunnprinsippene er brutt, og at årsaken oftere er uklare rutiner enn teknisk svakhet.
Ledelsen, alltid. Operativt ansvar kan delegeres til sikkerhetsansvarlig, IT-sjef eller CISO, men det rettslige ansvaret for at sikkerhetsnivået holder mål kan ikke delegeres bort. Digitalsikkerhetsforskriften § 6 sier det uttrykkelig: virksomhetens leder har ansvaret for et forsvarlig sikkerhetsnivå, skal godkjenne styringssystemet og gjennomgå det minst årlig. Etter personvernregelverket ligger ansvaret hos den behandlingsansvarlige, altså virksomheten, ikke hos personvernombudet.
Nei, personvern gjelder beskyttelse av personopplysninger, som er en delmengde av informasjonssikkerheten. Alt personvernarbeid forutsetter god informasjonssikkerhet etter artikkel 32, men informasjonssikkerhet dekker også informasjon som ikke er personopplysninger, som forretningshemmeligheter, prismodeller, kildekode og interne strategibeslutninger. Motsatt handler personvern om mer enn sikkerhet, blant annet behandlingsgrunnlag og de registrertes rettigheter.
Ja, fordi personvernforordningen gjelder alle som behandler personopplysninger, uansett størrelse. Digitalsikkerhetsloven treffer derimot først og fremst virksomheter over bestemte terskler i utpekte sektorer. Små underleverandører merker likevel kravene indirekte, fordi oppfølgingsplikten etter digitalsikkerhetsforskriften § 14 gjør at større kunder fører sikkerhetskravene sine videre i avtalene. I praksis møter mange små virksomheter kravene først som et vedlegg i en anbudskonkurranse.
Overtredelsesgebyr etter personvernforordningen kan gå opptil 20 millioner euro eller 4 % av global omsetning, mens digitalsikkerhetsregelverket har et tak på 50 millioner kroner. Rammen etter digitalsikkerhetsforskriften § 24 er 25 ganger grunnbeløpet eller 4 % av årsomsetningen, der det høyeste beløpet gjelder. I tillegg kommer erstatning til de registrerte etter artikkel 82, omdømmetap, tapte kontrakter og kostnadene ved selve hendelseshåndteringen, som ofte overstiger gebyret.
Minst 1 gang i året er et rimelig utgangspunkt, og for virksomheter under digitalsikkerhetsforskriften er det et uttrykkelig krav. En gjennomgang skal i tillegg utløses ved større endringer, ny lovgivning, ny IT-arkitektur, bytte av kritisk leverandør eller etter en alvorlig hendelse. Forbedringshjulet i ISO/IEC 27001 forutsetter at oppfølgingen er en løpende aktivitet, ikke et årlig prosjekt som avsluttes med et dokument.
Nei, en policy beskriver hva dere vil, mens et ledelsessystem beskriver hvordan dere gjør det og dokumenterer at det er gjort. Det er det siste som etterspørres ved tilsyn. Digitalsikkerhetsforskriften § 6 krever et styringssystem basert på anerkjente standarder, med definerte roller, dokumenterte aktiviteter og årlig gjennomgang. En policy uten organisasjon, dokumentasjon og oppfølging bak seg fungerer verken som styring eller som bevis.
Begynn med kartleggingen av informasjonsverdier, ikke med teknologien. Uten oversikt over hvilken informasjon dere har, hvor den ligger og hvem som har tilgang, blir enhver tiltaksliste gjetning. Kartleggingen tar som regel kortere tid enn folk tror, og den avdekker nesten alltid systemer og tilganger ingen visste om. Deretter følger risikovurderingen, som gir grunnlaget for å prioritere tiltakene. Ta kontakt med Draftit eller annen fagkyndig for å vurdere hvilket kravnivå som gjelder for nettopp dere.