Nytt styrekompass: – Skal gjøre det enklere å følge opp cybersikkerhet

Væpnet med nye KI-funksjoner og agenter, har cyberkriminelle kunnet skru opp både tempo og intensitet i angrepene mot norske virksomheter.

Samtidig gjør geopolitisk uro og en økt avhengighet av teknologileverandører driften mer sårbar. Med digitalsikkerhetsloven og kravene i NIS2-direktivet blir ansvaret for å håndtere disse risikoene nå tydeligere forankret hos styret.

– Norske styrer må forstå hva dette kan bety for deres egen virksomhet. Derfor lanserer vi nå Styrekompasset for cybersikkerhet, slik at det skal bli enklere for hele styret å vite hva de bør ta stilling til, og hvordan de kan følge opp arbeidet, sier Helge Dahl Jørgensen i Digital Norway.

Kan driften holdes i gang om en viktig leverandør blir utilgjengelig? Hvordan styres bruken av KI-agenter? Og hvem kan beslutte å stenge systemene hvis de blir angrepet?

Dette er blant spørsmålene som tas opp i det nye styrekompasset, som Digital Norway har utviklet sammen med Styreinstituttet og fagpartnerne Næringslivets Sikkerhetsråd (NSR), Simula Research Laboratory og DNV Cyber.

Viktig kompetanse

Ifølge Mørketallsundersøkelsen 2026 fra Næringslivets Sikkerhetsråd mangler fire av ti norske virksomheter en egen informasjonssikkerhetsansvarlig. Blant de minste virksomhetene gjelder det nesten halvparten.

– Mangel på kompetanse er en utfordring for mange. Vi har derfor samlet fagfolk som kjenner både sikkerhetsarbeidet og styrehverdagen, slik at de kan gi helt konkrete råd og oppgaver, sier Dahl Jørgensen, og nevner noen eksempler:

– Hva må styret forstå og ta stilling til? Hva bør styret be ledelsen legge frem? Og hva skal følges opp i neste møte?

I en fersk undersøkelse har forskere ved Simula Research Laboratory i Oslo vist hvordan norske styrer overvurderer sin egen kontroll over digital sikkerhet.

En gjennomgang av 594 styreprotokoller fra spesialisthelsetjenesten avdekket at tre av fire styresaker om digital sikkerhet var saker til orientering, mens én av fire saker var knyttet til en beslutning. Hvordan disse faktisk ble fulgt opp, var også høyst usikkert.

Samtidig svarte ni av ti av de 103 spurte styremedlemmene at sikkerhetsarbeidet var godt forankret i virksomhetens mål. Det er altså et tydelig gap mellom styremedlemmenes opplevelse og det som kommer frem av protokollene.

– Når cybersikkerhet behandles i styret, er det ofte vanskelig å se i protokollene hvilke spørsmål styret har stilt til ledelsen, sier Jostein Jensen, forskningsdirektør for cybersikkerhet ved Simula.

Hvilke konkrete beslutninger er tatt, hvem følger opp, og når skjer dette?

– Vi savner tydeligere spor av styrets aktive oppfølging.

Hva bør styret ta stilling til?

Kompasset tar utgangspunkt i styrets oppgaver: å støtte, utfordre og kontrollere ledelsen.

– I praksis innebærer dette at styret blant annet bør kunne ta stilling til hvilken risiko virksomheten kan leve med, hvilke krav som skal stilles, og hvordan sikkerhetsarbeidet skal følges opp, sier Reidar Gjærum, generalsekretær i Styreinstituttet.

Samtidig bør styret kunne utfordre ledelsen på hva et angrep vil kunne bety for driften, og om virksomheten er godt nok forberedt på ulike scenarioer.

– Her er det viktig at ledelsen får tydelige forventninger fra styret, og at de kan komme tilbake med svar som er mulig å følge opp, sier Gjærum.

– Hver modul forklarer hvorfor temaet er relevant for styret, og inneholder diskusjonsspørsmål, forslag til beslutninger og en nedlastbar sjekkliste, sier Dahl Jørgensen.

I tillegg til en modenhetstrapp som kan hjelpe styret med å vurdere hvor virksomheten står, viser modulene vanlige fallgruver og eksempler fra norske virksomheter.

– Når cybersikkerhet kommer på styrebordet, kan det være vanskelig å vite hvor man skal begynne. Her får styret konkrete spørsmål og sjekklister som kan brukes direkte i møtet og inn i styrepapirene, sier Dahl Jørgensen.

Avhengighet av leverandører

Hvor sårbar virksomheten er for cyberangrep i leverandørkjeden, og hvilke avhengigheter som eksisterer til noen få system- og plattformleverandører, er også noe de fleste styrer bør diskutere, påpeker Arve Johan Kalleklev, direktør for DNV Cyber:

– Leverandørkjedene er akilleshælen i norsk cybersikkerhet. To av tre toppledere sier driften rammes umiddelbart hvis en nøkkelleverandør faller, men bare fire av ti stoler på leverandørenes sikkerhet.

Er virksomheten for avhengig av noen få leverandører? Styrekompasset skiller mellom styringsevne og handlefrihet og tar opp spørsmålet om det er mulig å bytte ut en kritisk leverandør dersom det blir nødvendig.

Hvor forberedt er vi?

Selv om styret ikke nødvendigvis skal lede en eventuell krisehåndtering, har det et ansvar for at virksomheten er godt nok forberedt.

– Blant annet innebærer dette at det må finnes planer, at det øves, og at de vanskeligste beslutningene er gjennomtenkt på forhånd, sier Bjarte Malmedal, fagdirektør for digital sikkerhet i NSR.

Modulen om beredskap inneholder en skrivebordsøvelse som styret kan gjennomføre på én til to timer. Her er scenarioet at et løsepengeangrep rammer virksomhetens kjernesystemer.

– Under et angrep må mange beslutninger tas på kort tid. Da hjelper det å ha øvd og avklart hvem som bestemmer hva, sier Malmedal.

– Hvem kan beslutte å stenge systemene? Hvordan informerer vi om angrepet? Dette gjelder også de vanskelige spørsmålene, som hvordan virksomheten skal håndtere et krav om løsepenger.

Del av Digital Norways læringstilbud

Styrekompasset for cybersikkerhet er bygget opp på samme måte som Styrekompasset for KI. De to veilederne skal gjøre det enklere for styrer å se teknologi, sikkerhet og ledelse i sammenheng.

Styrekompassene for cyber og KI er gratis og lett tilgjengelige på Digital Norways kursplattform.