Hva gjør NSM? Slik finner du råd om digital sikkerhet i Norge

Du får en e-post om at noen har forsøkt å logge inn på kontoen din. Samtidig spør en kollega om det er trygt å åpne et vedlegg fra en ukjent avsender. Hvor finner du pålitelige råd, og hvem har ansvar dersom et digitalt angrep rammer en virksomhet? I Norge er Nasjonal sikkerhetsmyndighet (NSM) en sentral fagmyndighet. Men det er viktig å vite både hva NSM gjør, og når du bør kontakte andre.

Hva er Nasjonal sikkerhetsmyndighet?

NSM er Norges direktorat for nasjonal forebyggende sikkerhet. Oppgaven er å styrke evnen til å beskytte landet mot blant annet spionasje, sabotasje, terror og sammensatte trusler. Arbeidet omfatter sikkerhet i informasjonssystemer, beskyttelse av viktige bygninger og anlegg, personellsikkerhet og sikkerhetsstyring.

NSM gir råd, fører tilsyn der regelverket gir myndighet til det, undersøker sårbarheter og bidrar til å koordinere håndteringen av alvorlige cyberoperasjoner. Nasjonalt cybersikkerhetssenter (NCSC) er en del av NSM. Det betyr likevel ikke at NSM er en vanlig brukerstøtte for alle problemer med mobiltelefon, nettbank eller private kontoer. Se NSMs egen beskrivelse av samfunnsoppdraget.

Hvorfor angår NSM også deg?

Angrep mot strømforsyning, offentlige tjenester, leverandører eller andre samfunnsviktige systemer kan påvirke langt flere enn den angrepne virksomheten. NSMs anbefalinger er særlig rettet mot organisasjoner, men flere av rådene om passord, oppdateringer og mobile enheter er nyttige også hjemme. NSMs Risiko 2026, publisert 6. februar 2026, understreker at både små og store virksomheter må forberede seg på digitale hendelser og ta forebyggende sikkerhetsarbeid på alvor.

Hvor finner du offisielle råd om digital sikkerhet?

Begynn på NSMs fagområde for digital sikkerhet. Derfra kan du gå videre til råd og anbefalinger om konkrete trusler, forebygging og hendelseshåndtering. Velg veiledning ut fra problemet du forsøker å løse, ikke bare overskriften på det første søkeresultatet.

Grunnprinsippene i versjon 2.1 ble publisert i 2024 og er et rammeverk for praktiske sikkerhetstiltak, ikke et bevis på at en virksomhet automatisk oppfyller alle lovkrav. Tiltakene må tilpasses risiko, organisasjon og gjeldende regelverk.

Slik styrker du sikkerheten, fra enkle grep til bedre rutiner

1. Sikre de viktigste kontoene først

Start med e-postkontoen, identitetstjenester og andre kontoer som kan brukes til å tilbakestille passord. Bruk et unikt passord for hver tjeneste, helst med en passordbehandler. Slå på tofaktorautentisering der det tilbys. Da kreves det mer enn bare et passord ved pålogging. NSM anbefaler også phishingresistent autentisering, som passnøkler basert på FIDO2, for virksomheter der dette kan innføres. Se NSMs anbefaling om phishingresistent autentisering fra desember 2024.

Hvis du allerede har klikket på en mistenkelig lenke og skrevet inn påloggingsinformasjon, bør du endre passordet via tjenestens ekte app eller adresse, avslutte ukjente økter hvis funksjonen finnes, og kontakte tjenesteleverandøren. Ikke bruk innloggingslenken i den mistenkelige meldingen til å rydde opp.

2. Oppdater og beskytt enhetene

Slå på automatiske sikkerhetsoppdateringer for mobil, datamaskin, nettleser og apper. Kontroller også manuelt innimellom: automatiske oppdateringer kan bli forsinket. Bruk skjermlås, begrens apptilganger til mikrofon, kamera og posisjon, og installer apper fra offisielle kanaler. Ta sikkerhetskopier av viktige filer og kontroller at du faktisk kan gjenopprette dem. Disse rådene følger hovedlinjene i NSMs veiledning om mobile enheter.

En eldre enhet som ikke lenger mottar sikkerhetsoppdateringer, kan være et større problem enn en feil innstilling. Vurder da å erstatte enheten eller begrense bruken til mindre sensitive oppgaver. En oppdatert enhet er likevel ikke immun mot svindel eller sosial manipulering.

3. Vær kritisk til meldinger som ber deg handle raskt

Svindelforsøk kan gi inntrykk av at du straks må bekrefte identiteten din, betale et gebyr eller åpne et dokument. Kontroller avsenderen, men husk at også avsenderinformasjon kan forfalskes. Åpne selv den offisielle nettsiden eller ring et nummer du kjenner fra før. Del aldri engangskoder eller passord etter oppfordring i en uventet melding.

4. Lag en enkel plan på arbeidsplassen

En virksomhet bør vite hvilke systemer og data som er viktigst, hvem som har administratortilgang, hvor sikkerhetskopier finnes, og hvem som tar beslutninger ved et angrep. Sørg for en tydelig kanal der ansatte kan melde mistenkelige hendelser. Test gjenoppretting, oppdater tilgangene når ansatte bytter rolle, og vurder hvilke leverandører virksomheten er avhengig av.

Dette krever mer enn en sjekkliste. NSMs grunnprinsipper kan brukes som startpunkt, men ledelsen må eie risikovurderingen, prioritere tiltak og følge opp at de faktisk virker.

Hva gjør du hvis et angrep allerede har skjedd?

Ved mistanke om kontoovertakelse, skadevare eller datalekkasjer er det viktig å begrense skaden uten å ødelegge nødvendig dokumentasjon. Tiltakene avhenger av om saken gjelder en privat konto eller en virksomhet.

• Privat konto: Bruk en enhet du har tillit til, sikre tilgangen, kontroller uautoriserte innlogginger og kontakt tjenesteleverandøren. Ved økonomisk svindel bør banken kontaktes umiddelbart.
• Arbeidsplass: Varsle IT- eller sikkerhetsansvarlig raskt, og følg virksomhetens plan. Ikke slett logger eller tilbakestill systemer på eget initiativ hvis dette kan ødelegge spor.
• Alvorlig cyberhendelse: Berørte virksomheter må avklare hvem som skal varsles etter sektorens regler og egen beredskapsplan. NSMs hendelsesveiledning oppgir kontakt for alvorlige hendelser og teknisk bistand, mens det nasjonale rammeverket fra 2025 beskriver samarbeid mellom virksomheter, sektorvise responsmiljøer og NCSC.
• Mulig datakriminalitet eller bedrageri: Kontakt politiet. På politiets side om svindel og ID-tyveri beskrives anmeldelse og rådet om å varsle banken når penger kan være på avveie.

Det er ikke alle digitale problemer som skal meldes direkte til NSM, og det er heller ikke slik at NCSC overtar den enkelte virksomhets ansvar for egne systemer. Ved alvorlige hendelser må virksomheten også undersøke om den har lovbestemt varslingsplikt. Ikke send passord, hemmelige nøkler eller sikkerhetsgradert informasjon i en vanlig e-post.

Slik sjekker du om tiltakene faktisk virker

En sikkerhetsinnstilling gir liten verdi hvis den ikke er aktivert på de kontoene og enhetene som betyr mest. Gå gjennom denne korte kontrollen:

• Har e-postkontoen og de viktigste tjenestene unike passord og et ekstra autentiseringstrinn?
• Har mobil, PC og nettleser installert tilgjengelige sikkerhetsoppdateringer?
• Finnes det en sikkerhetskopi, og har du prøvd å hente tilbake en fil?
• Vet du hvordan en mistenkelig melding rapporteres på jobb, og hvem som kontaktes ved en hendelse?
• Er gamle brukerkontoer, unødvendige apper og overflødige tilganger gjennomgått?

Hvis svaret er nei, start med det som kan gi størst skade ved misbruk: e-post, identitet, betaling og virksomhetskritiske systemer. Kontroller tiltakene på nytt etter større systemendringer, hendelser eller når nye råd publiseres. Målet er ikke å garantere at angrep aldri skjer, men å gjøre dem vanskeligere å gjennomføre, oppdage dem tidligere og redusere konsekvensene.

Kort oppsummert

NSM arbeider med nasjonal forebyggende sikkerhet og koordinerer responsen på alvorlige digitale angrep. For praktiske råd kan du starte på nsm.no og velge passordveiledning, mobilråd eller grunnprinsipper ut fra behovet. Privatpersoner som rammes av kontotyveri eller svindel, må ofte kontakte tjenesteleverandør, bank eller politi, mens virksomheter også må bruke sine egne sikkerhets- og varslingsrutiner. Det viktigste er å gå fra å lese råd til å kontrollere at tiltakene fungerer i praksis.