Risikovurdering av informasjonssikkerhet

En risikovurdering av informasjonssikkerhet synliggjør hvilke informasjonsverdier dere har, hvilke trusler og sårbarheter som finnes, og hvilke sikkerhetstiltak som faktisk står i forhold til risikoen. Både personvernforordningen, digitalsikkerhetsforskriften og ISO/IEC 27001 krever en dokumentert vurdering, og formen skal speile virksomhetens kompleksitet og trusselbilde. Kartleggingen kan dere strukturere i et verktøy for informasjonsverdier.

Dette må du vite:

• Risikovurdering av informasjonssikkerhet er obligatorisk etter artikkel 32 i personvernforordningen, etter digitalsikkerhetsforskriften § 7 for virksomheter som omfattes, og etter ISO/IEC 27001
• En brukbar risikoanalyse gjøres i 6 steg: kartlegg verdier, identifiser trusler, identifiser sårbarheter, verdsett risiko, fastsett risikohåndtering og dokumenter
• Risikoen vurderes normalt langs 2 dimensjoner, sannsynlighet og konsekvens, og resultatet holdes opp mot akseptkriteriene dere har vedtatt
• Malen bør minst inneholde informasjonsverdi, trussel, sårbarhet, eksisterende tiltak, sannsynlighet, konsekvens, risikonivå, risikohåndtering, ansvarlig og dato for gjennomgang
• Vurderingen skal oppdateres minst 1 gang i året, og alltid ved større endringer eller etter en hendelse

Hva er en risikovurdering av informasjonssikkerhet?

En risikovurdering av informasjonssikkerhet er en strukturert gjennomgang av hvilke informasjonsverdier virksomheten har, hvilke trusler og sårbarheter som knytter seg til dem, og hvilken risiko hver kombinasjon utgjør.

Formålet er dobbelt. For det første skal vurderingen gi grunnlag for å bestemme hvilke tekniske og organisatoriske tiltak som trengs, slik at beskyttelsen står i forhold til risikoen og verken over- eller underskyter. For det andre er vurderingen dokumentasjonen som viser at dere arbeider systematisk, noe som er et krav ved tilsyn etter både personvernregelverket og digitalsikkerhetsregelverket.

Den norske metoden bygger på 3 elementer: verdi, trussel og sårbarhet. Datatilsynet beskriver det slik at risikovurderingen starter med en kartlegging av verdiene som bør sikres, fulgt av en vurdering av hvilke aktører som kan være interessert i dem og hvilke sårbarheter verdiene har overfor disse truslene. Personopplysninger regnes i seg selv som en verdi.

Risikoanalyse og risikovurdering brukes om hverandre i praksis, og betyr i det daglige det samme. Merk likevel at norsk regelverk konsekvent bruker ordet risikovurdering, både i digitalsikkerhetsforskriften § 7 og i Datatilsynets veiledning. Skriver dere styringsdokumenter, lønner det seg å bruke lovens ord.

Risikoanalysen er en del av det bredere feltet risikostyring, som også omfatter valg av risikohåndtering, oppfølging og løpende omprøving. I ISO/IEC 27001 utgjør de til sammen kjernen i ledelsessystemet for informasjonssikkerhet.

Når og hvorfor må dere gjøre en risikovurdering?

Dere må gjøre en risikovurdering når regelverket krever det, ved større endringer i virksomheten, når nye trusler oppstår og etter en alvorlig hendelse. For de fleste er det i tillegg et løpende krav minst 1 gang i året.

Kravene følger av flere regelsett:

• Personvernforordningen artikkel 32 krever at tekniske og organisatoriske tiltak står i forhold til risikoen, noe som forutsetter at risikoen er vurdert. Ved behandlinger med høy risiko kreves i tillegg en konsekvensvurdering (DPIA) etter artikkel 35
• Digitalsikkerhetsforskriften (FOR-2025-06-20-1131) § 7 krever at tilbydere av samfunnsviktige tjenester utarbeider, vedlikeholder og dokumenterer risikovurderinger. Vurderingen skal minst beskrive systemene og betydningen deres, hvilke hendelser de kan bli utsatt for, hvilke sårbarheter som finnes, konsekvensen av hendelser og hvor avhengig virksomheten er av andre virksomheter
• Sikkerhetsloven (LOV-2018-06-01-24) krever egne vurderinger for virksomheter med betydning for grunnleggende nasjonale funksjoner
• DORA-loven (LOV-2025-05-27-18), som gjennomfører DORA-forordningen (forordning (EU) 2022/2554), krever IKT-risikostyring for finansforetak
• ISO/IEC 27001 krever gjentakende risikovurdering og risikohåndtering som kjerne i ledelsessystemet

Utover lovkravene utløses en ny vurdering typisk av:

• Større endringer i IT-arkitektur, nye systemer eller flytting til sky
• Bytte av kritisk leverandør, eller ny leverandøroppfølging
• Større organisasjonsendringer, fusjoner eller oppkjøp
• Ny eller skjerpet lovgivning, for eksempel når NIS2 innlemmes i EØS-avtalen
• Etter en alvorlig hendelse, enten hos dere selv eller i bransjen
• Periodisk gjennomgang etter eget ledelsessystem, normalt minst årlig

Slik gjør du en risikovurdering av informasjonssikkerhet i 6 steg (H2)

Du gjør risikoanalysen i 6 steg: kartlegg informasjonsverdier, identifiser trusler, identifiser sårbarheter, verdsett risikoen ut fra sannsynlighet og konsekvens, fastsett risikohåndtering og dokumenter resultatet.

Stegene kan gjøres enklere eller mer omfattende avhengig av kompleksiteten i virksomheten, men kjernen er den samme:

1. Kartlegg informasjonsverdiene. Hvilken informasjon finnes, hvilke systemer og prosesser håndterer den, hvem har tilgang og hvilke eksterne parter behandler opplysninger på deres vegne? Kartleggingen bør dekke både digital informasjon og fysiske verdier som papir, harddisker og arkiver. Uten den vet dere ikke hva som skal beskyttes
2. Identifiser truslene. Hvilke hendelser kan ramme verdiene? Truslene kan være eksterne, som løsepengevirus, phishing og innbrudd, eller interne, som feilhåndtering og bevisst misbruk. Naturhendelser, brann og strømbrudd hører også med
3. Identifiser sårbarhetene. Hvor i det tekniske, organisatoriske eller fysiske vernet finnes svakheter en trussel kan utnytte? Typiske sårbarheter er usikrede kontoer, mangelfull opplæring, uklar ansvarsfordeling og manglende logging
4. Verdsett risikoen. Vurder sannsynlighet og konsekvens for hver kombinasjon av verdi, trussel og sårbarhet. Vurderingen skal være etterprøvbar, altså slik at en annen person med samme grunnlag ville kommet til samme konklusjon
5. Fastsett risikohåndteringen. Hvilke risikoer aksepteres, hvilke skal reduseres, hvilke kan overføres og hvilke skal unngås helt? Tiltakene skal stå i forhold til risikoen
6. Dokumenter og kommuniser. Resultatet skal dokumenteres slik at det går fram hvordan dere har resonnert, hvilke tiltak dere har valgt og hvorfor. Dokumentasjonen er både et styringsdokument og et bevis ved tilsyn

For behandlinger med høy risiko må vurderingen ofte suppleres med en konsekvensvurdering etter artikkel 35. Se når du må gjøre en DPIA, eller ta utgangspunkt i vår løsning for konsekvensvurdering.

Mal: slik strukturerer du risikovurderingen

En brukbar mal for risikovurdering av informasjonssikkerhet inneholder minst 10 felt: informasjonsverdi, trussel, sårbarhet, eksisterende tiltak, sannsynlighet, konsekvens, risikonivå, risikohåndtering, ansvarlig og dato for gjennomgang.

Malen kan utformes som et regneark, et dokument eller en post i et ledelsessystem. Det viktige er at samme struktur brukes konsekvent, slik at risikoene lar seg sammenligne over tid og på tvers av virksomheten. Forslag til struktur:

2 tilleggsfelt anbefales for virksomheter med omfattende behandling av personopplysninger:

• Virkning for de registrerte, slik at vurderingen kan kobles mot DPIA-arbeidet
• Henvisning til behandlingen i behandlingsprotokollen, for sporbarhet mellom dokumentene

Dette er en mal, ikke en formell standard. ISO/IEC 27005 gir en mer detaljert metodebeskrivelse for virksomheter som vil formalisere arbeidet ytterligere, og guiden om informasjonssikkerhet, risikoer og informasjonsverdier tar deg gjennom kartleggingen i praksis.

Eksempler på hvordan risikovurderingen brukes i praksis

3 eksempler som viser hvordan ulike risikoer fanges opp og behandles:

✔︎ "Risikoen for at en ansattkonto kapres via phishing fikk sannsynlighet 4, konsekvens 5 og risikonivå 20. Tiltaket ble sterk autentisering på samtlige kontoer innen 6 måneder."

✔︎ "Risikoen for at fagsystemet blir utilgjengelig ved et løsepengeangrep fikk sannsynlighet 3, konsekvens 5 og risikonivå 15. Tiltaket ble frakoblet sikkerhetskopiering og årlige gjenopprettingstester."

✔︎ "Risikoen for at en leverandør behandler personopplysninger utenfor EØS uten gyldig overføringsgrunnlag fikk sannsynlighet 2, konsekvens 5 og risikonivå 10. Tiltaket ble en ny leverandøroppfølging og gjennomgang av databehandleravtalene."

Risikohåndtering: slik verdsetter og behandler du risikoene

Risikovurderingen verdsetter hver risiko ut fra sannsynlighet og konsekvens, mens risikohåndteringen bestemmer hva dere gjør med den. Begge deler skal dokumenteres og besluttes på riktig nivå i organisasjonen.

Verdsettingen kan gjøres kvalitativt eller kvantitativt:

• Kvalitativ vurdering bruker skalaer som lav, middels og høy, eller tall fra 1 til 5. Dette er den vanligste metoden i informasjonssikkerhetsarbeid, fordi konsekvenser sjelden lar seg uttrykke i kroner og trusler er vanskelige å sannsynlighetsfeste presist
• Kvantitativ vurdering uttrykker risiko i pengeverdi, for eksempel forventet årlig tap. Brukes først og fremst i større virksomheter med modent risikoarbeid og rike historiske data

Resultatet holdes opp mot akseptkriteriene virksomheten har vedtatt. Kriteriene er beslutningen om hvor mye risiko dere tåler, og de bør være satt før vurderingen gjøres, ikke tilpasset i etterkant.

Ved risikohåndteringen finnes 4 standardvalg:

1. Akseptere risikoen, som er gyldig når risikonivået er lavt og kostnaden ved tiltak ville overstige nytten. Aksepten skal dokumenteres og besluttes på riktig nivå
2. Redusere risikoen med tekniske eller organisatoriske tiltak, slik at sannsynlighet eller konsekvens går ned
3. Overføre risikoen, for eksempel via forsikring, utsetting eller avtalevilkår som flytter ansvaret til motparten
4. Unngå risikoen ved å la være å gjennomføre den aktiviteten, det systemet eller den behandlingen som skaper den

Restrisikoen etter tiltak skal alltid vurderes på nytt. Er den fortsatt for høy, trengs enten flere tiltak eller en formell aksept på høyere nivå. For virksomheter under digitalsikkerhetsforskriften følger dette direkte av § 8, som krever en plan for å håndtere risiko basert på vurderingene i § 7.

Vanlige feil i risikovurderingen

De vanligste feilene er at vurderingen blir et engangsarbeid, at den bare dekker IT-systemene og ikke informasjonen, og at tiltakene ikke følges opp til de er gjennomført.

Fallgruver som går igjen i tilsyn og revisjoner:

• Vurderingen blir et engangsarbeid i stedet for en levende del av ledelsessystemet. Trusselbildet endrer seg, og en vurdering fra 2 år tilbake er sjelden gyldig i dag
• Bare IT-systemene analyseres, mens papir, muntlig informasjonsdeling og leverandører faller utenfor. Informasjonssikkerhet er bredere enn IT-sikkerhet
• Tiltak fastsettes, men følges ikke opp. Når tilsynsmyndigheten spør, viser dokumentasjonen hva dere skulle gjøre, ikke hva dere gjorde
• Sannsynlighets- og konsekvensvurderingene er inkonsekvente mellom risikoene, slik at sammenligning og prioritering blir umulig
• Ledelsen er ikke involvert i vurderingen av de alvorlige risikoene. Når risikobeslutninger skal tas på høyt nivå, mangler både grunnlag og forankring
• Avhengigheter fanges ikke opp, for eksempel hvordan en leverandørrisiko også påvirker tilgjengeligheten av interne prosesser. Digitalsikkerhetsforskriften § 7 krever uttrykkelig at avhengigheter til andre virksomheter beskrives
• Risikovurdering og DPIA blandes sammen. De har ulikt formål og delvis ulikt innhold, men kan med fordel bygges slik at de utfyller hverandre

Er dere usikre på hvor dere står i dag, er det raskt gjort å ta Draftits GDPR-test for å kartlegge modenheten i risikoarbeidet.

Vanlige spørsmål om risikovurdering av informasjonssikkerhet

Hvor ofte skal en risikovurdering gjøres? 

Minst 1 gang i året er et rimelig utgangspunkt for de fleste virksomheter. Vurderingen skal i tillegg alltid oppdateres ved større endringer, nye systemer, bytte av kritisk leverandør, ny lovgivning eller etter en alvorlig hendelse. For virksomheter under digitalsikkerhetsforskriften er løpende omprøving et uttrykkelig krav, fordi § 7 pålegger dem å vurdere risikoen ved endringer som kan påvirke sikkerheten.

Hva er forskjellen på risikovurdering og konsekvensvurdering (DPIA)?

Risikovurderingen er bredere og dekker hele informasjonssikkerheten, mens en konsekvensvurdering etter artikkel 35 er et spesifikt verktøy for behandlinger med høy risiko for de registrertes rettigheter og friheter. En risikovurdering kan utløse kravet om DPIA, men erstatter ikke selve DPIA-arbeidet. For mange virksomheter er det praktisk å samordne dokumentene slik at koblingen blir sporbar.

Må vi bruke ISO/IEC 27005?

Nei, ISO/IEC 27005 er en støttestandard og ikke et krav. Den gir en strukturert metodebeskrivelse for risikostyring innen informasjonssikkerhet, men dere kan bruke en egen metode så lenge den oppfyller kravene i hva er ISO 27001 eller i det regelverket som gjelder for dere. Kravet er at metoden er dokumentert, etterprøvbar og fører til begrunnede beslutninger om tiltak.

Hvem skal delta i risikovurderingen?

Vurderingen må involvere personer med faktisk kunnskap om virksomheten, ikke bare sikkerhetsfunksjonen. Typiske deltakere er informasjonseiere, systemeiere, IT-sikkerhet, personvernombud og representanter fra fagmiljøene. Ledelsen må være involvert i det minste ved aksept av risiko over et gitt nivå, fordi det rettslige ansvaret ikke kan delegeres bort.

Hvor grundig skal risikovurderingen være?

Grundigheten skal stå i forhold til virksomhetens kompleksitet og trusselbilde. En liten virksomhet med få systemer og begrensede personopplysninger trenger ikke samme detaljnivå som en energileverandør under digitalsikkerhetsloven. Tommelfingerregelen er at vurderingen skal være så grundig at dere kan begrunne valget av tiltak, og ikke grundigere. For dyp analyse i en liten virksomhet er sløsing, for overflatisk analyse i en stor virksomhet holder ikke ved tilsyn.

Kan vi bruke en ferdig mal?

Ja, men malen må tilpasses virksomheten deres. Ingen ferdig mal fanger deres spesifikke trusselbilde eller systemportefølje. Bruk den som utgangspunkt, og fyll på med de kategoriene av verdier, trusler og sårbarheter som er relevante for nettopp dere. En generisk mal brukt uten tilpasning blir lett en papirøvelse uten praktisk styring.

Hvordan dokumenteres risikovurderingen for tilsyn?

Dokumentasjonen skal vise hvilke verdier som omfattes, hvilke trusler og sårbarheter som er identifisert, hvordan sannsynlighet og konsekvens er vurdert, hvilke tiltak som er valgt og hvem som har akseptert gjenstående risiko. Versjonshistorikk og dato for siste gjennomgang må finnes, slik at tilsynsmyndigheten ser at arbeidet er levende. For virksomheter med ledelsessystem etter ISO/IEC 27001 inngår vurderingen i den samlede dokumentasjonen og gjennomgås ved både interne og eksterne revisjoner.