Cybersikkerhet for norske kommuner — trusler og løsninger

Bakgrunn og status

I januar 2021 ble Østre Toten kommune rammet av et løsepengevirus. Alle kommunens datasystemer ble kryptert og låst, og 1300 ansatte hadde bare penn og papir å jobbe med da de kom på jobb. Gjenopprettingen alene kostet over 30 millioner kroner.

Datatilsynet ila senere kommunen et overtredelsesgebyr på 4 millioner kroner. Tilsynet fant at sikkerheten for personopplysninger var alvorlig mangelfull: svak logging og logganalyse, sikkerhetskopier som ikke var beskyttet mot sletting, og manglende tofaktorautentisering. Sikkerhetskopiene ble slettet under angrepet, og i mars 2021 ble det slått fast at deler av dataene var publisert på det mørke nettet, ifølge Datatilsynets vedtak gjengitt av DataBreaches.net.

Kommuner håndterer sensitiv informasjon om helse, barnevern, økonomi og sosiale forhold. Det gjør konsekvensene av et vellykket angrep store både for innbyggerne og for tjenestene kommunen skal levere.

Teknologi og løsninger

NSMs grunnprinsipper for IKT-sikkerhet deler tiltakene inn i fire kategorier: identifisere og kartlegge, beskytte og opprettholde, oppdage, og håndtere og gjenopprette. Manglene Datatilsynet fant i Østre Toten viser hvilke tiltak som betyr mest i praksis.

• Multifaktorautentisering: Mangel på tofaktorautentisering var en av feilene Datatilsynet påpekte i Østre Toten
• Beskyttede sikkerhetskopier: Kopiene må sikres mot sletting, manipulering og innsyn — i Østre Toten ble de slettet under angrepet
• Logging og overvåking: Brannmur og servere bør logge vesentlige hendelser til et sentralt loggsystem, noe Østre Toten manglet
• Segmentering av nettverk: Hindrer at et angrep sprer seg fra ett system til alle andre
• Opplæring av ansatte: Phishing og svake passord er vanlige innfallsporter

Tall og trender

Lovkravene er skjerpet. 1. oktober 2025 trådte loven og forskriften om digital sikkerhet i kraft. Loven innfører EUs NIS-direktiv i norsk rett, og virksomheter som leverer samfunnsviktige tjenester plikter å varsle alvorlige hendelser innen 24 timer. I tillegg gjelder personvernforordningens krav til sikkerhet for personopplysninger, som var grunnlaget for gebyret til Østre Toten.

Nøkkelaktører og selskaper

KS (Kommunesektorens organisasjon) er kommunenes interesse- og arbeidsgiverorganisasjon. Nasjonal sikkerhetsmyndighet (NSM) gir råd og veiledning om digital sikkerhet, og Datatilsynet fører tilsyn med hvordan kommunene sikrer personopplysninger. På leverandørsiden finnes norske sikkerhetsselskaper som Mnemonic, og store leverandører av skytjenester til offentlig sektor.

Muligheter og utfordringer

En mulighet ligger i interkommunalt samarbeid om IT og sikkerhet, der flere kommuner deler driftsmiljø og fagkompetanse i stedet for at hver kommune bygger opp sitt eget.

Utfordringene er strukturelle. Mange små kommuner har ikke råd til dedikert sikkerhetskompetanse, og konkurransen med privat sektor om IT-fagfolk er krevende. I tillegg er mange kommunale systemer gamle og vanskelige å oppdatere uten at kritiske tjenester som helse og sosial rammes.

Veien videre

Med digitalsikkerhetsloven får norske myndigheter et felles regelverk for digital sikkerhet som ligger nær det europeiske. NIS2-direktivet, som har erstattet NIS i EU, skal etter hvert innføres i norsk rett.

For kommunene er lærdommen fra Østre Toten konkret: sikkerhetskopier som angriperen ikke kan slette, tofaktorautentisering og god logging er grunnleggende tiltak som avgjør om et angrep blir en kortvarig hendelse eller en krise som varer i måneder.