2 500 norske virksomheter har svart på Mørketallsundersøkelsen 2026. 452 av dem opplevde minst én digital sikkerhetshendelse det siste året. Bare 57 anmeldte det til politiet. Undersøkelsen fra Næringslivets Sikkerhetsråd (NSR) viser at de fleste hendelser aldri blir kjent, og at de minste bedriftene er dårligst rustet. Her er de viktigste funnene, og hva de betyr for deg.
Hva er Mørketallsundersøkelsen?
Mørketallsundersøkelsen er Norges største undersøkelse av digitale sikkerhetshendelser i arbeidslivet. Den har kommet siden 2003, og årets utgave er den femtende. NSR står bak, og Politiet, NSM, Datatilsynet og Microsoft er blant dem som har kvalitetssikret den.
«Mørketall» betyr hendelser som skjer, men som aldri blir registrert noe sted. Undersøkelsen prøver å finne ut hvor stort dette mørket er, og hvorfor det oppstår.
Svindel er vanligere enn hacking
Den vanligste hendelsen er at noen prøver å lure de ansatte. 13 prosent av virksomhetene ble rammet av sosial manipulering, altså falske e-poster, SMS-er eller telefoner som skal få noen til å klikke, gi fra seg passord eller betale. 5 prosent ble utsatt for bedrageri. Blant disse var fakturasvindel og falske henvendelser fra «direktøren» det aller vanligste.
Løsepengevirus, datatyveri og tjenestenektangrep rammet hver mellom 1 og 2 prosent. Det er disse vi leser mest om i avisene, men det er ikke dem de fleste bedrifter møter.
Den vanligste årsaken var feil gjort av ansatte (20 prosent). Og hendelsene ble oftere oppdaget av folk enn av maskiner: oppmerksomme kolleger og ansatte som reagerte på en rar e-post.
Bare 12 prosent anmelder
79 prosent anmeldte ikke. Den vanligste grunnen var at hendelsen virket for liten (42 prosent). 16 prosent håndterte den selv. I fritekstsvarene står det ting som «IT tar seg av det» og «blir henlagt uansett».
Men hendelsene var sjelden så små som de virket. 46 prosent av de rammede fikk merkbare følger, som ekstra kostnader, stans i driften eller tap av omdømme. Og de som anmeldte, gjorde langt oftere varige forbedringer etterpå: 42 prosent mot 24 prosent. Rapporten understreker at det ikke er bevist at anmeldelsen er årsaken, men sammenhengen er tydelig.
Hva koster en hendelse?
85 virksomheter oppga et konkret tap. Halvparten tapte 25 000 kroner eller mindre. Men snittet var 165 000 kroner, fordi noen få ble hardt rammet. Hver fjerde tapte mer enn 100 000 kroner, og det største tapet var 5 millioner. Tallene er trolig for lave. Mange regner ikke med tapt arbeidstid eller kunder som forsvinner.
23 prosent vet ikke hva som forårsaket hendelsen. Da er det vanskelig å hindre at det skjer igjen.
De minste bedriftene står mest alene
Halvparten av bedriftene med 5 til 19 ansatte har ingen som har ansvar for IT-sikkerheten. Blant bedrifter med over 100 ansatte gjelder det 17 prosent. De minste har også sjeldnere faste rutiner, og nesten hver fjerde av dem som ble rammet, fulgte ikke opp hendelsen i det hele tatt.
Det er heller ikke nok å ha en plan på papiret. Blant virksomhetene som har et rammeverk for informasjonssikkerhet, vet 68 prosent ikke hvilken standard det bygger på. Blant daglige ledere er tallet 75 prosent. Kunnskapen ligger ofte bare hos IT-leverandøren.
Et interessant funn: virksomheter som har satt bort hele IT-driften, fulgte opp hendelser omtrent like sjelden som de som gjør alt selv. Best gikk det i bedrifter med delt drift. Rapporten tror det er fordi bedriften selv har noen som tar eierskap, mens leverandøren gjør jobben.
Hva betyr dette for deg?
Du trenger ikke en egen sikkerhetsavdeling. Men noen må ha ansvaret, og daglig leder må vite hva som gjelder. Fire ting du kan gjøre denne måneden:
- Gi én person ansvaret for IT-sikkerheten, også om jobben gjøres av en leverandør.
- Lag en fast rutine for betalinger. Nye kontonumre og hastebetalinger skal alltid sjekkes med en telefon til et nummer dere kjenner fra før.
- Spør IT-leverandøren hva sikkerheten deres faktisk bygger på, og be om svaret på norsk, på én side.
- Bestem hva dere gjør når noe skjer. Hvem ringer hvem, og når anmelder dere? En enkel digital beredskapsplan er et godt sted å starte. Politiet har også en ny digital løsning for å anmelde datakriminalitet.
De neste ti dagene går vi dypere i funnene i tre artikler: svindel mot bedrifter, hva det betyr å ha ansvaret når IT-ansvaret er satt bort, og hva en hendelse egentlig koster. Vil du vite hvor dere står allerede nå, tar vi gjerne en kort prat.
Kilder
Næringslivets Sikkerhetsråd: Mørketallsundersøkelsen 2026 (september 2026)
Næringslivets Sikkerhetsråd: Nyhetsbrev 29. september 2026