Risikostyring i IT-sikkerhet

Risikostyring i IT-sikkerhet handler om å identifisere, vurdere og behandle risikoene i virksomhetens systemer, nettverk og data. Kravene kommer i Norge først og fremst fra GDPR, digitalsikkerhetsloven og, for finansforetak, DORA. Virksomheter som omfattes av digitalsikkerhetsloven, eller som forbereder seg på NIS2, kan få støtte i NIS 2-løsningen.

Dette må du vite:

• IT-risikoer er risikoer som oppstår i teknologien: systemer, nettverk, skytjenester, tilganger og leverandører
• Digitalsikkerhetsforskriften krever risikovurdering og risikohåndtering hos tilbydere av samfunnsviktige tjenester, og virksomhetens leder skal godkjenne styringssystemet
• DORA krever at finansforetak har et dokumentert rammeverk for IKT-risikostyring som gjennomgås minst 1 gang i året
• De vanligste IT-risikoene gjelder tilganger, sårbarheter som ikke blir tettet, leverandører og manglende evne til gjenoppretting
• Risikostyringen i IT må kobles til virksomhetens prosesser, ellers blir feil risikoer prioritert

Hva er risikostyring i IT-sikkerhet?

Risikostyring i IT-sikkerhet er det løpende arbeidet med å finne, vurdere og behandle risikoer i virksomhetens tekniske miljø, slik at beskyttelsen står i forhold til hvor alvorlige risikoene er.

IT-sikkerhet er den delen av informasjonssikkerheten som gjelder teknologien, altså maskinvare, programvare, nettverk og skytjenester. Begrepet informasjonssikkerhet er bredere og forklares i hva er informasjonssikkerhet. Risikostyring i IT sørger for at det tekniske miljøet beskytter informasjonens konfidensialitet, integritet og tilgjengelighet. Sikkerhetsarbeidet i stort omfatter også fysisk sikkerhet og personellsikkerhet, men det er ofte i IT-miljøet hendelsene oppstår.

Arbeidet følger den samme prosessen som all risikostyring: fastsett rammer, vurder risikoene, beslutt tiltak og følg opp. Det som skiller IT fra andre risikoområder, er tempoet. Nye sårbarheter publiseres daglig, skytjenester endres uten at dere blir spurt, og trusselbildet kan endre seg på få dager. Risikovurderingen må derfor oppdateres oftere enn på andre områder.

Hva menes med IKT-risikostyring og teknologisk risikostyring?

IKT står for informasjons- og kommunikasjonsteknologi, og IKT-risikostyring er i praksis det samme som risikostyring i IT, med særlig vekt på virksomhetens digitale motstandsdyktighet.

Begrepet IKT brukes i EU-regelverk som DORA og NIS2, og i norsk forvaltning, for eksempel i NSMs grunnprinsipper for IKT-sikkerhet. Teknologisk risikostyring er en bredere samlebetegnelse for håndtering av risikoer som oppstår gjennom teknologi, inkludert KI-systemer og automatiserte beslutninger. For en norsk virksomhet er forskjellene mellom begrepene i hovedsak språklige. Det som teller, er at risikoene i teknologien håndteres systematisk og dokumenteres.

Hvilke lover krever risikostyring i IT?

I Norge stiller først og fremst digitalsikkerhetsloven og GDPR krav til risikostyring i IT, og finansforetak omfattes i tillegg av DORA.

Digitalsikkerhetsloven (LOV-2023-12-20-108) og digitalsikkerhetsforskriften (FOR-2025-06-20-1131) trådte i kraft 1. oktober 2025 og gjennomfører det første NIS-direktivet i norsk rett. Forskriften gjelder blant annet virksomheter innen energi, transport, helse, drikkevann, bank og digital infrastruktur. For tilbydere av samfunnsviktige tjenester krever den at virksomheten:

• Har et styringssystem for sikkerhet (§ 6): Systemet skal bygge på anerkjente standarder, godkjennes av virksomhetens leder og gjennomgås minst 1 gang i året.
• Vurderer risikoen (§ 7): Risikovurderingen skal omfatte systemer, trusler, sårbarheter, konsekvenser og avhengigheter av andre, og oppdateres ved endringer.
• Håndterer risikoen (§ 8 til 10): En plan for risikohåndtering og tekniske tiltak som sterk autentisering, tilgangskontroll, segmentering, oppdateringer, sikkerhetsovervåking og gjenoppretting.
• Har beredskap og følger opp leverandører (§ 13 og 14): Hendelseshåndtering, beredskapsplaner som øves, og krav til leverandører gjennom avtale.

Tilbydere av digitale tjenester følger egne regler etter § 15. Hendelser med betydelige konsekvenser skal varsles til tilsynsmyndigheten, med kopi til NSM som nasjonalt kontaktpunkt, senest innen 24 timer etter § 17, fordi tidlig varsling gjør det mulig å begrense skadene hos andre. NIS2-direktivet (direktiv (EU) 2022/2555) er ennå ikke innlemmet i EØS-avtalen. Når det skjer, ventes flere sektorer å bli omfattet og kravene å bli skjerpet.

GDPR gjelder uansett sektor. Artikkel 32 krever tekniske og organisatoriske tiltak som står i forhold til risikoen for de registrerte, og det forutsetter at risikoene i IT-miljøet er vurdert.

Hva krever DORA for IKT-risikostyring?

DORA krever at finansforetak har et helhetlig og godt dokumentert rammeverk for IKT-risikostyring, som ledelsesorganet har ansvaret for og som gjennomgås minst 1 gang i året.

Forordning (EU) 2022/2554 om digital operasjonell motstandsdyktighet i finanssektoren, DORA, er gjort til norsk rett gjennom DORA-loven (LOV-2025-05-27-18) og gjelder i Norge fra 1. juli 2025. Finanstilsynet er tilsynsmyndighet. Kort informasjon om forordningen finner du under hva er DORA-forordningen. Kravene til IKT-risikostyring står i kapittel II:

• Ledelsesorganets ansvar (artikkel 5): Ledelsen skal fastsette, godkjenne og overvåke rammeverket og har det endelige ansvaret for IKT-risikoen. Medlemmene skal selv ha nok kunnskap til å forstå risikoene.
• Rammeverk for IKT-risikostyring (artikkel 6): Rammeverket skal være dokumentert, inngå i det overordnede risikostyringssystemet og gjennomgås minst årlig og etter alvorlige IKT-hendelser.
• Identifisering (artikkel 8): Alle IKT-støttede funksjoner, informasjonsverdier og avhengigheter skal kartlegges og klassifiseres.
• Beskyttelse, oppdagelse og gjenoppretting (artikkel 9 til 12): Sikkerhetstiltak, overvåking, kontinuitetsplaner og rutiner for sikkerhetskopiering.
• Læring og kommunikasjon (artikkel 13 og 14): Erfaringer fra hendelser og tester skal føres tilbake inn i rammeverket.

Kravene utdypes i tekniske standarder på EU-nivå, blant annet delegert forordning (EU) 2024/1774. Enkelte mindre finansforetak kan bruke et forenklet rammeverk etter artikkel 16, fordi kravene skal stå i forhold til virksomhetens størrelse og risikoprofil.

DORA krever i tillegg styring av IKT-tredjepartsrisiko, altså risiko hos leverandører av skytjenester og andre IKT-tjenester. Det er et av områdene der finansforetak oftest må bygge ut arbeidet sitt.

De vanligste IT-risikoene og hvordan de behandles

De vanligste IT-risikoene gjelder tilganger, sårbarheter som ikke blir tettet, avhengighet av leverandører og manglende evne til å gjenopprette systemer etter et angrep.

Tilganger er den risikoen som oftest blir undervurdert, fordi den vokser i det stille når ansatte bytter rolle eller slutter. Hvorfor, kan du lese mer om i artikkelen om tilgangsstyring som sikkerhetsrisiko.

Eksempler på situasjoner der risikostyring i IT blir aktuelt

IT-risikoer blir synlige når teknologien endres eller når noe går galt:

• "Vi flytter økonomisystemet til skyen. Hvilke nye risikoer oppstår, og hvem har ansvaret for sikkerhetskopiene?"
• "En kritisk sårbarhet i brannmuren vår ble publisert i går. Hvor raskt må vi handle, og hvem beslutter?"
• "IT-leverandøren vår bruker underleverandører vi ikke kjenner til. Hva betyr det for risikobildet vårt etter DORA?"

Slik kobler dere IT-risikoer til virksomheten

IT-risikoer skal vurderes ut fra hvilken påvirkning de har på virksomhetens prosesser og på de registrerte, ikke bare ut fra den tekniske alvorlighetsgraden.

En sårbarhet med høyeste tekniske alvorlighetsgrad i et testsystem uten data er mindre alvorlig enn en middels sårbarhet i pasientjournalsystemet. Derfor må IT-risikoene vurderes sammen med dem som eier prosessene og informasjonen. Metoden for denne vurderingen er beskrevet i guiden om informasjonssikkerhet, risikoer og informasjonsverdier.

Dette gjør koblingen holdbar:

1. Ta utgangspunkt i informasjonsverdiene. Bestem hvilken informasjon og hvilke prosesser som er mest kritiske før dere vurderer teknologien.
2. Koble systemer til behandlinger. Hvert system som behandler personopplysninger, skal kunne spores til behandlingene i behandlingsprotokollen.
3. La virksomheten vurdere konsekvensen. IT vurderer sannsynligheten, virksomheten vurderer hva et avbrudd eller en lekkasje betyr.
4. Rapporter til ledelsen i virksomhetstermer. "Økonomisystemet kan være nede i 5 dager etter et angrep" sier mer enn "CVSS 9,8".

Trenger dere hjelp til å avklare hvilke krav som gjelder for akkurat deres virksomhet, kan dere kontakte Draftit eller annen fagekspertise for konkret rådgivning.

Vanlige spørsmål om risikostyring i IT-sikkerhet (H2)

Hvem har ansvaret for risikostyringen i IT?

Ledelsen har ansvaret, selv om IT-avdelingen gjør det praktiske arbeidet.

Både digitalsikkerhetsforskriften og DORA legger ansvaret uttrykkelig på ledelsen, som skal godkjenne tiltakene og følge dem opp. IT-sjefen kan være risikoeier for tekniske risikoer, men beslutningen om å akseptere alvorlige risikoer ligger på et høyere nivå.

Omfattes vi av DORA hvis vi er leverandør til en bank?

Nei, kravene i DORA til IKT-risikostyring gjelder finansforetakene, men som leverandør blir dere likevel berørt gjennom avtalekravene.

Banker og andre finansforetak må stille krav til IKT-leverandørene sine, blant annet om sikkerhet, revisjon og exitstrategier. Leverandører som vurderes som kritiske, kan i tillegg bli utpekt som kritiske og underlagt overvåking fra en av de europeiske finanstilsynsmyndighetene (EBA, ESMA eller EIOPA).

Hvor ofte skal IT-risikoene vurderes?

Risikovurderingen bør gjennomgås minst 1 gang i året og i tillegg ved større endringer i IT-miljøet.

Enkeltrisikoer, som nye sårbarheter, må håndteres løpende i den vanlige driften. DORA krever også ny gjennomgang etter alvorlige IKT-hendelser.

Er ISO 27001 nok til å oppfylle DORA? 

Nei, ISO 27001 gir et godt grunnlag, men dekker ikke alle kravene i DORA.

DORA stiller blant annet egne krav til rapportering av hendelser til Finanstilsynet, testing av digital motstandsdyktighet og styring av IKT-tredjepartsrisiko. Et etablert styringssystem etter ISO 27001 gjør det likevel betydelig lettere å bygge videre.

Hva er forskjellen på risikostyring i IT og kontinuitetsstyring?

Risikostyring skal forebygge og begrense risikoer, mens kontinuitetsstyring handler om å holde virksomheten i gang når en risiko likevel inntreffer.

Kontinuitetsplanen beskriver hvordan kritiske systemer gjenopprettes og i hvilken rekkefølge. Begge deler kreves både i digitalsikkerhetsforskriften og i DORA.