Datatilsynet fikk 282 meldinger om tilsiktede dataangrep første halvår 2026, mot 103 i samme periode året før. Mye av økningen skyldes angrep på leverandører som rammer mange kunder samtidig. Når det skjer, er det hver enkelt kunde som må melde fra.
Datatilsynet la fram tallene 20. oktober. Fra januar til juni kom det 282 meldinger fra virksomheter der personopplysninger hadde kommet på avveie etter et tilsiktet angrep. Med det menes at noen bevisst har stjålet, endret eller slettet data, eller stanset driften. Andre kvartal er det høyeste Datatilsynet har registrert siden de begynte å telle denne kategorien i 2023.
Det totale antallet avviksmeldinger er omtrent det samme som før. Det er dataangrepene som øker.
Forklaringen er at mange av disse virksomhetene ble rammet gjennom en leverandør. I vår ble leverandøren av en læringsplattform utsatt for et innbrudd, og angriperne fikk tilgang til opplysninger om ansatte og studenter ved en lang rekke utdanningsinstitusjoner. I vinter skjedde det samme hos en populær leverandør av tjenester til reiselivet. Da kom meldingene fra hotellene, som så at kundeopplysningene deres var kommet på avveie.
Dette kalles et leverandørkjedeangrep. Angriperen går etter én leverandør og får mange kunder på kjøpet. Bak de 282 meldingene ligger derfor færre angrep. Tallene er like alvorlige for det. De viser hvor mange som blir rammet av noe de selv ikke kunne stoppe den dagen det skjedde.
Det er du. Selv om innbruddet skjedde hos leverandøren, er det hver virksomhet som bruker tjenesten som må melde avviket til Datatilsynet, normalt innen 72 timer etter at dere ble kjent med det. Datatilsynet begrunner det med at kundene bruker tjenesten til ulike ting og lagrer ulike opplysninger. Det som er en bagatell for én, kan være alvorlig for en annen.
For en byggebedrift eller et regnskapskontor med 20 ansatte betyr det at regnskapssystemet, timeføringen, kundeportalen eller nettbutikken kan gi dere meldeplikt uten at noe har skjedd på deres egne maskiner. Leverandøren skal varsle dere uten ugrunnet opphold. Da må dere vite hvilke leverandører dere har, og hvem hos dere som tar imot varselet.
Tallene passer med det Mørketallsundersøkelsen 2026 fra Næringslivets Sikkerhetsråd viste for noen uker siden. Tre av fire daglige ledere som har et rammeverk for informasjonssikkerhet, vet ikke hva det bygger på. Kunnskapen finnes hos IT-ansvarlige og sikkerhetsansvarlige, men ikke hos dem som har det overordnede ansvaret. Bedrifter som har satt bort hele IT-driften, fulgte dessuten opp hendelser nesten like sjelden som dem som gjør alt selv: 21 prosent fulgte ikke opp i det hele tatt.
Datatilsynets tall viser hvorfor det er et problem. Når leverandøren blir rammet, er det fortsatt dere som har ansvaret for personopplysningene. Det ansvaret følger ikke med når driften settes bort. Vi skrev mer om dette i Tre av fire ledere vet ikke hva IT-sikkerheten bygger på.
Personvernforordningen artikkel 28 sier at du bare skal bruke leverandører som gir «tilstrekkelige garantier» for at opplysningene er sikret. Datatilsynet, NSM, Digdir, KS, Helsedirektoratet og DFØ har laget felles råd om anskaffelser og leverandørstyring. Rådene er skrevet for offentlig sektor, men de passer like godt for en liten bedrift.
Start med en enkel oversikt over hvilke leverandører som behandler personopplysninger for dere. Det er typisk regnskap, lønn, kundesystem, nettbutikk, e-post og IT-drift, og for de fleste små bedrifter er listen kortere enn ti. Sjekk at dere har en databehandleravtale med hver av dem, og at den sier hvor raskt de skal varsle dere og hvem som får varselet. Leverandørene som har mest data om kundene og de ansatte, er de du bør stille flest spørsmål: hvilke underleverandører de bruker, og hvor dataene ligger.
Bestem til slutt hvem hos dere som melder til Datatilsynet hvis en leverandør varsler om et innbrudd. Da slipper dere å lete etter rutinen mens klokka går.
Du kan ikke hindre at en leverandør blir angrepet. Det du kan gjøre, er å vite hvem leverandørene er, hva de har om dere, og hva som skjer den dagen de ringer. Det tar en ettermiddag, og det er den beste forberedelsen på et angrep som starter et annet sted enn hos dere.
Vil du se et eksempel, ligger vår egen databehandleravtale med alle underleverandører åpent tilgjengelig. Trenger du hjelp med å få oversikt over leverandørene deres, tar vi gjerne en prat.
Datatilsynet: Rekordmange meldinger om tilsiktede angrep (20.10.2026)
Sikkert.no: Anskaffelser og leverandørstyring (oppdatert 19.01.2026)
Næringslivets Sikkerhetsråd: Mørketallsundersøkelsen 2026 (september 2026)