Hvis en angriper overtar kontoen dere bruker til å drifte kundens systemer, er også kunden utsatt. Det hjelper ikke kunden at dere får egne datamaskiner i gang igjen hvis tilgangen fortsatt er på avveie. Norske leverandører med tilgang til andre virksomheters systemer bør derfor prioritere disse forbindelsene når de følger opp NSMs nye varsel.
Ledelsen må ta stilling til hvilke tilganger som fortsatt skal være åpne, på hvilke vilkår, og hvem som kan begrense dem ved mistanke om misbruk. At bedriften har få ansatte, er ingen god grunn til å utsette dette når den har omfattende tilgang til en viktig kundes drift.
Hva har NSM varslet?
NSM delte 27. oktober 2026 for første gang sitt nasjonale cyberrisikonivå offentlig og satte det til HØYT. Myndigheten ber virksomhetene iverksette forebyggende tiltak umiddelbart. Forsvar, romsektoren, samfunnskritisk infrastruktur og relevante leverandører er særlig utsatt. NSM peker også på at KI i cyberoperasjoner øker skadepotensialet, men presiserer at slik bruk ennå ikke er dokumentert i Norge i denne vurderingen.
Varselet bør endre prioriteringene før et angrep skjer. Min anbefaling er å begynne med forbindelsene som gjør at et problem hos dere også kan ramme andres viktige tjenester. Ta med tilgangene til egne ansatte, IT-leverandøren og automatiske integrasjoner som handler på bedriftens vegne.
Se på tilgangen, ikke bare størrelsen på avtalen
En liten vedlikeholdsavtale kan gi en tekniker omfattende rettigheter. En større kunde kjøper kanskje bare ferdige produkter og har ingen forbindelse til systemene deres. Prioriter gjennomgangen ut fra hva tilgangen gir mulighet til, og hva misbruk vil føre til. Omsetning alene er et dårlig mål.
Be de driftsansvarlige og IT-fagfolkene finne ut hvilke kundesystemer dere kan nå, hvilke kontoer eller integrasjoner som gir tilgang, og hvorfor tilgangen fortsatt trengs. Ta med automatiske forbindelser og tilgang som bare brukes i nødsituasjoner. En liste over ansatte viser ikke alle kontoer som kan handle på bedriftens vegne.
Sjekk om tilgangene fortsatt passer oppdraget. Er prosjektet avsluttet? Har en tekniker byttet arbeidsgiver? Gir kontoen tilgang til flere systemer enn oppdraget krever? Vil én overtatt konto ramme flere kunder? Ledelsen trenger svarene, men passord, tekniske hemmeligheter og detaljerte oversikter over kundens systemer hører ikke hjemme i vanlige styrepapirer.
NSMs grunnprinsipper for IKT-sikkerhet skal tilpasses virksomheten. Prioriteringene her er et praktisk forslag for leverandørforhold, ikke en full sikkerhetsvurdering eller en ny lovregel for alle norske aksjeselskaper.
Tilgangen må endres sammen med kunden
Tenk deg en hypotetisk norsk vedlikeholdsbedrift med 60 ansatte og flere industrikunder. Den bruker fjernstøtte til planlagt arbeid og akutt hjelp. Under gjennomgangen finner ledelsen en felles brukerkonto som brukes på flere oppdrag. Noen rettigheter stammer fra avsluttede prosjekter. Ingen har nylig testet hva som skjer hvis kontoen må sperres.
Dette løses ikke ved å be IT-leverandøren stenge all fjerntilgang. En kunde kan være avhengig av hjelp ved en driftsstans. Men «vi kan få bruk for den» er heller ingen god grunn til å beholde unødvendig tilgang uten at noen har ansvar for den.
La ansvarlige hos begge virksomhetene avtale en konkret endring. Erstatt unødvendig felles tilgang med tilgang som kan knyttes til personen og oppgaven, der systemet støtter det. Begrens hvilke systemer og rettigheter som inngår, avtal når tilgangen skal være tilgjengelig, og hvem som godkjenner unntak. IT-fagfolkene må vurdere hvordan endringen gjennomføres forsvarlig, særlig der den berører industridrift eller sikkerhet.
Test at en godkjent tekniker fortsatt får gjort arbeidet, at tilgangen som er fjernet, faktisk er sperret, og at dere får tak i kundens kontaktperson hvis den vanlige ordningen svikter. Kontroller også rutinene for gjenoppretting og nødtilgang. Et nytt sikkerhetstiltak som stenger ute nødvendig støtte uten en fungerende reserveløsning, skaper et nytt driftsproblem.
Eksempelet er oppdiktet. Det viser hvilke valg ledelsen må ta, og beskriver ikke et faktisk innbrudd hos en kunde.
Kontroller hvordan folk logger inn
NSMs veiledning om phishingresistent autentisering anbefaler passnøkler eller andre metoder som beskytter mot phishing, og prioriterer utsatte brukere, skytjenester og tjenester som er tilgjengelige fra internett. NSM skiller dette fra vanlige engangskoder og forespørsler om å godkjenne pålogging. Veiledningen tar også opp eldre innloggingsmetoder som ellers kan bli en vei rundt beskyttelsen.
Ved kundestøtte må dere vite hvem som styrer brukerkontoen: dere, kunden eller en annen leverandør. Bedre beskyttelse av egen e-post viser ikke at kontoen som brukes til å administrere kundens tjeneste, har samme beskyttelse. Bekreft hvordan folk faktisk logger inn, og hvilke alternativer som er tillatt, med den som drifter løsningen.
Pålogging for ansatte, automatiske integrasjoner og nødtilgang må vurderes hver for seg. En automatisk integrasjon trenger en sikker løsning som også fungerer uten at en ansatt sitter klar til å bekrefte hver pålogging. Støtter ikke systemet den ønskede beskyttelsen, må de teknisk ansvarlige foreslå et alternativ, forklare begrensningen og sette en dato for videre oppfølging. Ledelsen må vite hvilke unntak som gjenstår.
Be kunden om en konkret avklaring
En god første melding ber om samarbeid. Den lover ikke at alt er sikkert. For eksempel:
«Etter NSMs varsel går vi gjennom tilgangen vår til deres systemer. Bekreft hvem som kan godkjenne endringer, hvilke tjenester som er avhengige av at tilgangen er åpen hele tiden, og hvordan vi når ansvarlig person utenfor arbeidstid. Konkrete funn og foreslåtte endringer deler vi i den avtalte sikre kanalen.»
Dette er et tekstforslag, ikke en melding som er sendt til en kunde. Tilpass den til avtalen og opplysningene dere allerede har. Bruk bekreftede kontaktopplysninger. Avtal hvor sensitive funn skal deles før dere sender tekniske detaljer.
Samarbeidet bør gi en navngitt ansvarlig og en endring som lar seg kontrollere. En ubesvart e-post betyr at saken fortsatt er uavklart, ikke at kunden har akseptert risikoen. Følg opp gjennom avtalte kontaktpersoner for kontrakten og driften. Veiledningen om ansvar ved tjenesteutsetting av IT viser hvordan dere avklarer oppgaver som faller mellom leverandører.
Sett av tid og avtal neste oppfølging
Daglig leder må bestemme hvilke viktige forbindelser som skal undersøkes først, hvilket planlagt arbeid som må vente, og når de første resultatene skal foreligge. Utpek en stedfortreder med nødvendige fullmakter når den ansvarlige er utilgjengelig. Bruk beredskapsplanen hvis gjennomgangen avdekker tegn til innbrudd. Å rydde i tilgangene er ikke det samme som å undersøke et angrep.
Nyttig KI-arbeid kan fortsette mens denne gjennomgangen pågår. Godkjente verktøy kan hjelpe med å organisere opplysninger dere har lov til å bruke, eller forberede spørsmål til IT-fagfolkene. En ny agent med tilgang til kundens systemer må vurderes like grundig som andre forbindelser, også når det gjelder kundens godkjenning. Et nasjonalt varsel gir grunn til å prioritere eksponeringen, ikke til automatisk å stoppe alle KI-oppgaver med lav risiko.
Tiltakene krever arbeidstid og kan gi avbrudd i tjenester eller utsette utviklingsarbeid. Gjør avveiningen tydelig. En liten bedrift kan begynne med den kundetilgangen der misbruk vil få størst konsekvenser, sammen med leverandøren den allerede bruker. Dere trenger ikke vente på et stort sikkerhetsprogram før noe blir bedre.
NSMs grunnprinsipper for sikkerhetsstyring legger sikkerhet inn i ledelsens arbeid og understreker lederansvaret. Ledelsen bør rapportere hvilke viktige kundetilganger som er gjennomgått, hva som er endret, hvilke unntak som gjenstår, og når de skal være løst.
Når tilgangen til kundene gir vesentlig risiko, bør styret vurdere om prioriteringene, ressursene og risikoen som gjenstår, er forsvarlige. Det bør sørge for at ledelsen har et passende mandat, uten å velge kontoinnstillinger eller godkjenne hver tekniske endring. Artikkelen om raskere cyberrespons handler om beredskapen ved en akutt sårbarhet, også i tiden før en sikkerhetsoppdatering finnes.
Begynn med ett spørsmål i dag: Hvis noen misbruker tilgangen vår til kundens systemer, hvilken tjeneste står i fare, og klarer begge virksomhetene å handle raskt nok til å begrense skaden?
Kildene er kontrollert 28. oktober 2026. Vedlikeholdsbedriften og kundemeldingen er hypotetiske. Prioriteringene, arbeidsmåtene og forslagene til oppfølging er forfatterens anbefalinger. Konkrete lovplikter må vurderes for den enkelte virksomhet. Illustrasjonen er KI-generert.