Risikostyring

Risikostyring er det samlede arbeidet med å planlegge, innføre og følge opp hvordan virksomheten håndterer risikoene sine. GDPR, digitalsikkerhetsregelverket og ISO/IEC 27001 krever at arbeidet er systematisk og dokumentert. Selve vurderingen av hver enkelt risiko er ett steg i risikostyringen, og hvordan dere kartlegger verdier og trusler, er beskrevet i guiden om informasjonssikkerhet, risikoer og informasjonsverdier.

Dette må du vite:

• Risikostyring er rammeverket og prosessen, risikovurdering er metoden som vurderer risikoene innenfor rammeverket
• Arbeidet skjer i en syklus: fastsette rammer, vurdere risikoer, behandle dem og følge opp
• Hver risiko behandles på 1 av 4 måter: redusere, unngå, overføre eller akseptere
• Ledelsen har ansvaret for risikostyringen og bør selv ta beslutningen om å akseptere alvorlig restrisiko
• Ved tilsyn kontrolleres sporbarheten: hvem besluttet hva, hvorfor, og ble tiltaket gjennomført

Hva er risikostyring?

Risikostyring er å planlegge, innføre og følge opp virksomhetens arbeid med risiko, slik at risikoer blir identifisert, vurdert og behandlet systematisk og jevnlig.

I Norge er Nasjonal sikkerhetsmyndighet (NSM) den sentrale veilederen. NSM bygger på denne forståelsen i sin veileder i risikostyring og i NSMs grunnprinsipper for IKT-sikkerhet, der det å kartlegge verdier og vurdere risiko kommer før valget av tiltak. For offentlige virksomheter har Digitaliseringsdirektoratet (Digdir) veiledningsmateriellet "Internkontroll i praksis", som beskriver risikostyring som en del av styringssystemet for informasjonssikkerhet.

Den internasjonale standarden ISO 31000 gir samme bilde. Der består risikostyring av et rammeverk (lederskap, ansvar, ressurser, rutiner) og en prosess (risikokriterier, risikovurdering, risikobehandling, oppfølging, kommunikasjon og dokumentasjon). ISO/IEC 27001 og støttestandarden ISO/IEC 27005 bruker samme logikk på informasjonssikkerhet. Trenger du en kort innføring i selve begrepet, se hva er informasjonssikkerhet.

Risikostyring er altså ikke et dokument som lages én gang. Det er en arbeidsmåte der informasjon, ansvar og beslutninger om risiko henger sammen over tid.

Hva er forskjellen på risikostyring og risikovurdering?

Risikostyring er hele arbeidet med risiko, mens risikovurdering er steget der dere identifiserer og vurderer de enkelte risikoene.

Begrepene brukes ofte om hverandre, men de svarer på ulike spørsmål. Risikovurderingen svarer på "hvilke risikoer har vi, og hvor alvorlige er de?". Risikostyringen svarer på "hvem har ansvaret, hva gjør vi med risikoene, og hvordan vet vi at det virker?".

En risikovurdering uten risikostyring rundt seg gir en liste over risikoer som ingen gjør noe med. Risikostyring uten risikovurdering gir tiltak uten begrunnelse. Dere trenger begge deler, og koblingen mellom dem skal kunne følges i dokumentasjonen.

Hvordan gjennomføres risikostyring?

Dere fastsetter rammene, vurderer risikoene, beslutter tiltak og følger opp at tiltakene virker, i en syklus som gjentas.

1. Fastsett rammer. Omfang, roller og risikokriterier, besluttet av ledelsen.
2. Identifiser risikoer. Hva kan gå galt for verdier, systemer og behandlinger?
3. Analyser og evaluer. Sannsynlighet og konsekvens sammenlignes med risikokriteriene.
4. Behandle. Beslutning om tiltak, eiere og tidsplan i en tiltaksplan.
5. Følg opp. Kontroll av at tiltakene er gjennomført, og at restrisikoen er godkjent.
6. Rapporter. Risikobildet sammenstilles for ledelsen.

Hvert steg, med roller og innholdet i risikostyringsplanen, er beskrevet i artikkelen om risikostyringsprosessen.

De 4 måtene å behandle en risiko på

En risiko kan reduseres, unngås, overføres eller aksepteres.

Å overføre en risiko flytter ikke det rettslige ansvaret. Bruker dere en databehandler, er dere fortsatt behandlingsansvarlig etter GDPR, og derfor må også overførte risikoer følges opp. Det som gjenstår etter behandlingen, kalles restrisiko, og den skal aksepteres uttrykkelig av noen med fullmakt.

Hvilke regler krever risikostyring?

I Norge krever først og fremst GDPR, digitalsikkerhetsregelverket, reglene om internkontroll i offentlig sektor og, for finansforetak, DORA en risikobasert og dokumentert arbeidsmåte.

• Personvernforordningen (forordning (EU) 2016/679), GDPR: Forordningen gjelder i Norge gjennom EØS-avtalen og personopplysningsloven (LOV-2018-06-15-38). Artikkel 24 og artikkel 32 krever at tekniske og organisatoriske tiltak står i forhold til risikoen for de registrerte. Ved behandlinger med sannsynlig høy risiko kreves en konsekvensvurdering etter artikkel 35, som dere kan gjennomføre i vårt verktøy for konsekvensvurdering (DPIA).
• Digitalsikkerhetsloven (LOV-2023-12-20-108) og digitalsikkerhetsforskriften (FOR-2025-06-20-1131): Regelverket trådte i kraft 1. oktober 2025 og gjennomfører det første NIS-direktivet. Tilbydere av samfunnsviktige tjenester skal ha et styringssystem for sikkerhet (§ 6), dokumenterte risikovurderinger (§ 7) og en plan for å håndtere risiko (§ 8). NIS2-direktivet (direktiv (EU) 2022/2555) er ennå ikke innlemmet i EØS-avtalen. Støtte til arbeidet finner dere i NIS 2-løsningen.
• Internkontroll i offentlig sektor: eForvaltningsforskriften (FOR-2004-06-25-988) § 15 krever at forvaltningsorganer som bruker elektronisk kommunikasjon, har internkontroll på informasjonssikkerhetsområdet basert på anerkjente standarder og tilpasset risiko. Kommuneloven (LOV-2018-06-22-83) § 25-1 krever at kommunens internkontroll tilpasses risikoforholdene.
• DORA (forordning (EU) 2022/2554): Forordningen er gjort til norsk rett gjennom DORA-loven (LOV-2025-05-27-18) fra 1. juli 2025. Finansforetak skal ha et rammeverk for styring av IKT-risiko, og ledelsesorganet har det endelige ansvaret for det.
• ISO/IEC 27001: Standarden er frivillig, men den som vil sertifiseres, må ha en dokumentert prosess for risikovurdering og risikobehandling, med risikobehandlingsplan og anvendelseserklæring. Les mer i hva er ISO 27001.

Regelverkene er ulike i detaljene, men kjernen er den samme: dere skal kunne vise hvordan dere har kommet frem til tiltakene. Hvordan kravene til informasjonssikkerhet skjerpes, er beskrevet i artikkelen om strengere krav til informasjonssikkerhet.

Hvem har ansvaret for risikostyringen?

Ledelsen har det overordnede ansvaret for risikostyringen, mens risikoeierne i virksomheten har ansvaret for sine egne risikoer.

Ledelsen fastsetter risikokriteriene og beslutter om alvorlige risikoer skal aksepteres. Det ansvaret kan ikke overlates til IT-avdelingen. Etter GDPR er det virksomheten som behandlingsansvarlig som skal sørge for forsvarlige tiltak, og det er ledelsen som tar beslutningene på virksomhetens vegne. For tilbydere av samfunnsviktige tjenester sier digitalsikkerhetsforskriften § 6 det direkte: virksomhetens leder har ansvaret for at virksomheten har et forsvarlig sikkerhetsnivå, og sikkerhetsstyringssystemet skal godkjennes av lederen og gjennomgås minst årlig. Rollene fordeles som regel slik:

• Ledelsen: Fastsetter risikokriterier, setter av ressurser og beslutter restrisiko over et visst nivå.
• Risikoeier: Har ansvaret for risikoene innenfor sitt område, for eksempel som system- eller prosesseier.
• Risikokoordinator eller informasjonssikkerhetsansvarlig: Holder sammen metoden, risikoregisteret og rapporteringen til ledelsen.
• Personvernombud: Gir råd og overvåker at risikoer for de registrerte håndteres etter GDPR, men tar ikke beslutninger om risiko.

Eksempler på situasjoner der risikostyring blir aktuelt

Risikostyringen blir tydeligst når noe endrer seg i virksomheten:

• "Vi bytter lønnssystem, og den nye leverandøren lagrer data utenfor EU/EØS. Hvem godkjenner risikoen, og hvilke vilkår skal gjelde?"
• "Risikovurderingen fra i vår pekte ut 3 høye risikoer, men ingen vet om tiltakene er gjennomført."
• "Etter et phishingangrep mot en annen kommune vil ledelsen vite om samme risiko finnes hos oss, og hva vi har gjort med den."

Slik blir risikostyringen sporbar ved tilsyn

Risikostyringen holder ved tilsyn når hver risiko kan følges fra vurdering til beslutning, tiltak og oppfølging.

Ved tilsyn og revisjon er det sjelden nok å vise frem en risikovurdering. Tilsynsmyndigheten vil se at vurderingen førte til noe. Dette må være på plass:

• Risikoregister: En samlet oversikt over risikoene, verdien deres, valgt behandling og status.
• Beslutninger med begrunnelse: Hvem som aksepterte en restrisiko, når og på hvilket grunnlag.
• Tiltaksplan med status: Ansvarlig, frist og om tiltaket er gjennomført.
• Versjonshistorikk: Dato for siste gjennomgang, slik at det synes at arbeidet er levende.
• Koblinger: At risikoene henger sammen med systemene, behandlingene og leverandørene de gjelder.

Det vanligste hullet er at tiltak besluttes, men aldri følges opp. Dokumentasjonen viser da hva dere hadde tenkt å gjøre, ikke hva dere gjorde. Et systemverktøy der risikoene kobles til behandlinger, leverandører og avvik, gjør det lettere å holde sporbarheten samlet. Trenger dere hjelp med hvordan det bør se ut hos dere, kontakt Draftit eller annen ekspertise for konkret rådgivning.

Vanlige spørsmål om risikostyring

Hva er forskjellen på ISO 31000 og ISO/IEC 27005?

ISO 31000 er en generell standard for risikostyring i alle typer virksomheter, mens ISO/IEC 27005 er rettet spesifikt mot risiko for informasjonssikkerheten.

ISO/IEC 27005 bygger på prinsippene i ISO 31000 og er tilpasset kravene i ISO/IEC 27001. Ingen av dem er sertifiserbare.

Hva er risikoappetitt?

Risikoappetitt er hvor mye risiko ledelsen er villig til å ta for å nå virksomhetens mål.

I praksis uttrykkes den gjennom risikokriteriene, for eksempel at alle risikoer over en viss risikoverdi skal håndteres med tiltak eller godkjennes av ledergruppen. En tydelig risikoappetitt gjør beslutningene konsekvente mellom ulike deler av organisasjonen.

Hvor ofte skal risikostyringen gjennomgås?

Risikoregisteret og tiltaksplanen skal følges opp løpende, og hele risikobildet bør vurderes på nytt minst 1 gang i året.

I tillegg skal vurderingen gjøres på nytt ved større endringer, nye systemer, bytte av kritisk leverandør og etter alvorlige hendelser, fordi risikobildet da sannsynligvis har endret seg. Digitalsikkerhetsforskriften § 7 krever det samme av tilbydere av samfunnsviktige tjenester: endringer som kan påvirke sikkerheten, skal risikovurderes.

Er risikostyring det samme som kontinuitetsstyring?

Nei, kontinuitetsstyring er en del av risikostyringen som handler om å holde virksomheten i gang når en risiko likevel inntreffer.

Risikostyring skal forebygge og begrense risiko, mens kontinuitets- og beredskapsplaner beskriver hvordan dere gjenoppretter kritiske funksjoner og informasjon etter en hendelse. For tilbydere av samfunnsviktige tjenester krever digitalsikkerhetsforskriften § 13 dokumenterte beredskapsplaner og øvelser.

Må små virksomheter drive med risikostyring? 

Ja, men omfanget skal stå i forhold til virksomhetens størrelse og risiko.

Kravet i GDPR om egnede tiltak gjelder alle behandlingsansvarlige uansett størrelse. En mindre virksomhet klarer seg ofte med et enkelt risikoregister, tydelige risikoeiere og en årlig gjennomgang i ledelsen.