NSM slår alarm: Vesentlige sikkerhetsmangler i norske bedrifter

Nordkoreanske IT-arbeidere har blitt ansatt i norske bedrifter, og NSM advarer mot sårbarheter på tvers av sektorer og verdikjeder. Les mer om de hemmelige tjenestenes sikkerhetsvurderinger for 2026 – og andre tech-nyheter fra uka som gikk i Bits & Bytes.

fre. 6. feb. 2026

Verdensordningen er i oppløsning, og utviklingen får direkte konsekvenser for virksomheter her hjemme. Samtidig meldes det om «vesentlige mangler» i sikkerhetsarbeidet hos norske selskaper.

Det skriver NRK i sin dekning av NSM, E-tjenesten og PST sine fremleggelser av årets sikkerhetsvurderinger.

– Når NSM er ute og møter virksomheter finner vi vesentlige mangler i det forebyggende sikkerhetsarbeidet. Disse sårbarhetene går igjen på tvers av sektorer, sier NSM-direktør Arne Christian Haugstøyl i en pressemelding.

– Mange mangler oppdaterte beredskapsplaner, til tross for at vi i flere år har stått i en alvorlig sikkerhetspolitisk situasjon,

Gode forutsetninger – men det krever innsats

I NSM sin rapport «Risiko 2026» pekes det på at Norge har gode forutsetninger for å bli mer motstandsdyktig, men at det krever økt innsats fra norske virksomheter.

Det inkluderer å styrke forebyggende sikkerhetsarbeid, beskytte seg mot dataangrep, evaluere verdikjeder – samt redusere leverandøravhengigheter.

– Sikkerhetsstyringen må omfatte alle områder, fra digital og fysisk sikkerhet til personellsikkerhet og sikkerhetskultur. Det holder ikke å være god på én av disse, sier Haugstøyl til NRK.

Nordkoreanske IT-arbeidere i norske bedrifter

Samtidig advarer PST om at trusselbildet også handler om hvem norske virksomheter slipper inn på innsiden.

I «Nasjonal trusselvurdering 2026», beskriver de hvordan nordkoreanske IT-utviklere har lurt seg til jobb i norske bedrifter.

Ifølge vurderingen har de jobbet eksternt, kommet i kontakt med virksomhetene via LinkedIn og utenlandske rekrutteringsfirmaer, og brukt falske identitetspapirer knyttet til fiktive eller stjålne identiteter.

– IT-arbeiderne har blitt ansatt som programvareutviklere og har i de fleste tilfeller gjennomført arbeidsoppgavene sine på en tilfredsstillende måte. De norske firmaene har derfor hatt liten grunn til å stille spørsmål ved ansettelsesforholdet, heter det i rapporten, ifølge VG.

Mangler ressurser og kompetanse

En spesifikk faktor NSM trekker frem er at virksomheters ansatte for ofte blir tildelt roller i sikkerhetsarbeidet som de enten ikke er klar over eller har ressurser og kompetanse til å ivareta.

– Konsekvenser kan være at avvik og sikkerhetstruende virksomhet heller ikke blir identifisert og rapportert, slik at nødvendige tiltak ikke blir iverksatt», står det i rapporten.

Anbefalinger fra NSM til virksomheter for å styrke sikkerhetsstyringen

• Sørg for at sikkerhetsstyringen er integrert i virksomhetens overordnede styringssystem.

• Hold oppdatert oversikt over verdier og avhengigheter samt sårbarheter og trusler som påvirker disse verdiene.

• Ha tydelige beskrivelser av ansattes roller, ansvar og myndighet innen sikkerhet, og sørg for at disse er godt kjent i virksomheten.

• Gå jevnlig gjennom sikkerhetstiltakene og bruk øvelser til å sjekke at de er hensiktsmessige.

• Planlegg påbyggingstiltak og tiltak som reduserer skadefølgene ved en uønsket hendelse, og øv også på disse tiltakene.

• Gjennomfør jevnlig risikovurderinger slik at sikkerhetstiltakene er tilpasset trussel- og risikobildet.

• Gjør dere kjent med ressurser for tester og øvelser, som NSMs cybersjekk.no, DSBs øvingsbank på dsb.no/ovelser samt diskusjons- og spilløvelser hos sektormyndigheter.

Advarer mot konsentrasjonsrisiko

NSM advarer også om økt risiko i leverandørkjeder, og peker på hvordan avhengighet av eksterne leverandører kan skape nye sårbarheter for norske virksomheter – og det de definerer som konsentrasjonsrisiko.

Når viktige varer og tjenester samles hos et begrenset antall aktører, kan trusselaktører utnytte konsentrasjonsrisikoen til å utøve politisk og økonomisk press.Dersom de får innpass i leverandørkjeder tidlig, kan det også gi langsiktige konsekvenser.

Samtidig understreker NSM at virksomheter selv kan redusere risikoen ved å jobbe mer systematisk med leverandørkjeder.

– Et forebyggende tiltak for virksomheter er å unngå å bli avhengige av én leverandør eller ett land for å kunne opprettholde sentrale funksjoner. Begynn med å sikre redundans for varer og tjenester virksomheten er avhengig av. Tenk langsiktig og ta høyde for at tiltak kan måtte endres i framtiden, skriver NSM.

Det har skjedd mye annet innen teknologi, kunstig intelligens, data og sikkerhet den siste uken. Her har vi samlet de viktigste nyhetene fra uken som har gått: