De fleste små bedrifter har satt bort IT-en, helt eller delvis. Det er ofte et godt valg. Men Mørketallsundersøkelsen 2026 viser en blindsone: tre av fire daglige ledere som har et rammeverk for informasjonssikkerhet, vet ikke hva det bygger på. Kunnskapen ligger hos leverandøren, ikke hos dem som har ansvaret. Her er hva tallene viser, og hva du bør spørre IT-leverandøren om.
Dette er andre del av en serie på tre artikler om funnene i Mørketallsundersøkelsen 2026 fra Næringslivets Sikkerhetsråd (NSR).
38 prosent av virksomhetene har ingen. Det vil si ingen som har ansvar for informasjonssikkerhet, verken ansatt eller innleid. I privat sektor er tallet 46 prosent. Blant bedrifter med 5 til 19 ansatte er det 50 prosent. Blant dem med over 100 ansatte er det 17 prosent.
Samtidig har de fleste satt bort IT-en. 35 prosent har helt ekstern drift, 43 prosent har delt drift der noe gjøres internt og noe av en leverandør, og 19 prosent gjør alt selv.
Det er lett å tenke at sikkerheten følger med når driften er satt bort. Men ansvaret kan ikke settes bort. Det er fortsatt daglig leder som står ansvarlig hvis kundedata kommer på avveie eller bedriften står stille.
Et rammeverk for informasjonssikkerhet er de reglene og rutinene sikkerheten bygger på, ofte etter en kjent standard. Halvparten av virksomhetene (51 prosent) sier at de har et slikt rammeverk. Men 68 prosent av disse vet ikke hvilken standard det bygger på.
Ser man på hvem som svarte, blir bildet tydeligere:
Kunnskapen finnes altså, men ikke hos den som skal ta beslutningene. NSR skriver rett ut at et rammeverk som bare finnes hos IT-leverandøren, gir begrenset beskyttelse.
Her kommer det mest interessante funnet. Undersøkelsen sammenligner hvordan virksomhetene fulgte opp etter en hendelse, ut fra hvordan IT-en er organisert:
De med delt drift var også de eneste som i praksis stilte krav til leverandøren etterpå. 10 prosent av dem strammet inn oppfølgingen av leverandøren, mot 3 prosent i de andre gruppene.
NSR tror forklaringen er eierskap. Har bedriften noen som kjenner systemene og tar ansvar, blir hendelsen fulgt opp. Har alt blitt satt bort, er det ingen hos bedriften som eier problemet. Den samme personen som har ansvaret, trenger ikke å være IT-ekspert. Det holder at det er noen som stiller spørsmålene.
Vi skal være ærlige om én ting, siden vi selv er en IT-leverandør. Undersøkelsen peker på IT- og telekombransjen som en egen blindsone. Bransjen har bedre rutiner enn snittet på papiret, men 42,5 prosent hadde minst én hendelse det siste året. Det er mer enn dobbelt så mange som snittet. Og ingen av de 17 IT-bedriftene som ble rammet, anmeldte det.
IT-leverandører har tilgang til mange kunders systemer. Derfor er det helt rimelig at du stiller leverandøren din kritiske spørsmål. Det gjelder oss også.
1. Hvem har ansvaret for sikkerheten, hos oss og hos dere? Få navn på begge sider. Hvis svaret er «det har vi felles», har ingen det.
2. Hva bygger sikkerheten vår på? Be om svaret på én side, på norsk. Hvilken standard eller hvilke regler følger dere, og hva betyr det i praksis for oss?
3. Hva skjer hvis noe skjer? Hvem varsler hvem, og hvor raskt? Hvem bestemmer om noe skal stenges ned, og hvem tar kontakt med politiet eller Datatilsynet?
4. Hva lærte vi av forrige hendelse? Har dere hatt en hendelse, skal dere ha fått vite hva som skjedde og hva som er endret. 23 prosent av virksomhetene i undersøkelsen vet ikke hva som forårsaket hendelsen sin.
5. Hvilke tilganger har dere til systemene våre? Hvem hos leverandøren kan logge seg inn hos dere, med hvilke verktøy, og hvordan er de tilgangene beskyttet?
Å sette bort IT-driften er fornuftig for de fleste små bedrifter. Men noen hos dere må eie sikkerheten, og daglig leder må vite nok til å stille de riktige spørsmålene. Gi én person ansvaret, still spørsmålene over, og få svarene skriftlig. Det tar en time, og det gir deg et mye bedre bilde av hvor dere står.
På fredag ser vi på hva en hendelse faktisk koster, og hvorfor det lønner seg å anmelde den. Vil du ha svar på spørsmålene for deres bedrift, tar vi gjerne en prat.
Næringslivets Sikkerhetsråd: Mørketallsundersøkelsen 2026, kapittel 2, 8 og 11 (september 2026)