De fleste små bedrifter har satt bort IT-en, helt eller delvis. Det er ofte et godt valg. Men Mørketallsundersøkelsen 2026 viser en blindsone: tre av fire daglige ledere som har et rammeverk for informasjonssikkerhet, vet ikke hva det bygger på. Kunnskapen ligger hos leverandøren, ikke hos dem som har ansvaret. Her er hva tallene viser, og hva du bør spørre IT-leverandøren om.
Dette er andre del av en serie på tre artikler om funnene i Mørketallsundersøkelsen 2026 fra Næringslivets Sikkerhetsråd (NSR).
Hvem har ansvaret for IT-sikkerheten hos dere?
38 prosent av virksomhetene har ingen. Det vil si ingen som har ansvar for informasjonssikkerhet, verken ansatt eller innleid. I privat sektor er tallet 46 prosent. Blant bedrifter med 5 til 19 ansatte er det 50 prosent. Blant dem med over 100 ansatte er det 17 prosent.
Samtidig har de fleste satt bort IT-en. 35 prosent har helt ekstern drift, 43 prosent har delt drift der noe gjøres internt og noe av en leverandør, og 19 prosent gjør alt selv.
Det er lett å tenke at sikkerheten følger med når driften er satt bort. Men ansvaret kan ikke settes bort. Det er fortsatt daglig leder som står ansvarlig hvis kundedata kommer på avveie eller bedriften står stille.
Rammeverket finnes, men ledelsen kjenner det ikke
Et rammeverk for informasjonssikkerhet er de reglene og rutinene sikkerheten bygger på, ofte etter en kjent standard. Halvparten av virksomhetene (51 prosent) sier at de har et slikt rammeverk. Men 68 prosent av disse vet ikke hvilken standard det bygger på.
Ser man på hvem som svarte, blir bildet tydeligere:
- Daglige ledere: 75 prosent vet ikke
- IT-ansvarlige: 38 prosent vet ikke
- Sikkerhetsansvarlige: 31 prosent vet ikke
Kunnskapen finnes altså, men ikke hos den som skal ta beslutningene. NSR skriver rett ut at et rammeverk som bare finnes hos IT-leverandøren, gir begrenset beskyttelse.
Hva skjer etter en hendelse?
Her kommer det mest interessante funnet. Undersøkelsen sammenligner hvordan virksomhetene fulgte opp etter en hendelse, ut fra hvordan IT-en er organisert:
- Helt intern drift: 24 prosent fulgte ikke opp i det hele tatt
- Helt ekstern drift: 21 prosent fulgte ikke opp
- Delt drift: 12 prosent fulgte ikke opp
De med delt drift var også de eneste som i praksis stilte krav til leverandøren etterpå. 10 prosent av dem strammet inn oppfølgingen av leverandøren, mot 3 prosent i de andre gruppene.
NSR tror forklaringen er eierskap. Har bedriften noen som kjenner systemene og tar ansvar, blir hendelsen fulgt opp. Har alt blitt satt bort, er det ingen hos bedriften som eier problemet. Den samme personen som har ansvaret, trenger ikke å være IT-ekspert. Det holder at det er noen som stiller spørsmålene.
Også IT-bransjen har en blindsone
Vi skal være ærlige om én ting, siden vi selv er en IT-leverandør. Undersøkelsen peker på IT- og telekombransjen som en egen blindsone. Bransjen har bedre rutiner enn snittet på papiret, men 42,5 prosent hadde minst én hendelse det siste året. Det er mer enn dobbelt så mange som snittet. Og ingen av de 17 IT-bedriftene som ble rammet, anmeldte det.
IT-leverandører har tilgang til mange kunders systemer. Derfor er det helt rimelig at du stiller leverandøren din kritiske spørsmål. Det gjelder oss også.
Spørsmålene leverandøren bør kunne svare på
1. Hvem har ansvaret for sikkerheten, hos oss og hos dere? Få navn på begge sider. Hvis svaret er «det har vi felles», har ingen det.
2. Hva bygger sikkerheten vår på? Be om svaret på én side, på norsk. Hvilken standard eller hvilke regler følger dere, og hva betyr det i praksis for oss?
3. Hva skjer hvis noe skjer? Hvem varsler hvem, og hvor raskt? Hvem bestemmer om noe skal stenges ned, og hvem tar kontakt med politiet eller Datatilsynet?
4. Hva lærte vi av forrige hendelse? Har dere hatt en hendelse, skal dere ha fått vite hva som skjedde og hva som er endret. 23 prosent av virksomhetene i undersøkelsen vet ikke hva som forårsaket hendelsen sin.
5. Hvilke tilganger har dere til systemene våre? Hvem hos leverandøren kan logge seg inn hos dere, med hvilke verktøy, og hvordan er de tilgangene beskyttet?
Hva betyr dette for deg?
Å sette bort IT-driften er fornuftig for de fleste små bedrifter. Men noen hos dere må eie sikkerheten, og daglig leder må vite nok til å stille de riktige spørsmålene. Gi én person ansvaret, still spørsmålene over, og få svarene skriftlig. Det tar en time, og det gir deg et mye bedre bilde av hvor dere står.
På fredag ser vi på hva en hendelse faktisk koster, og hvorfor det lønner seg å anmelde den. Vil du ha svar på spørsmålene for deres bedrift, tar vi gjerne en prat.
Kilder
Næringslivets Sikkerhetsråd: Mørketallsundersøkelsen 2026, kapittel 2, 8 og 11 (september 2026)