ORGSEC
Sikkerhetsstyring som holder

Sikkerhetsstyring som holder

For virksomhetens leder og styre i samfunnsviktige virksomheter som skal godkjenne et styringssystem, og som vil vite at det er testet før de signerer, og for sikkerhetsledere som skal legge det fram.

Start vurderingen

Hvorfor nå

Mange ledere skal signere på noe de aldri har sett testet

NSM oppsummerer i Risiko 2026 at det er vesentlige mangler i det forebyggende sikkerhetsarbeidet i norske virksomheter, og at manglene går igjen på tvers av sektorer. Tre av dem nevnes særskilt: ansatte har sikkerhetsroller de ikke er klar over eller har kompetanse til å ivareta, grunnsikringen testes ikke, og påbyggingstiltak og beredskapsplaner mangler ofte. Tittelen på rapporten, «Dagens valg – morgendagens risiko», er NSMs eget forsøk på å få ledelsen til å handle.

Rammeverket rundt er blitt strammere. Digitalsikkerhetsloven gjelder fra 1. oktober 2025 for tilbydere av samfunnsviktige tjenester, uten innfasing, og krever at virksomhetens leder årlig godkjenner styringssystemet, med varsling innen 24 timer og overtredelsesgebyr som også rammer morselskapet. Vinteren 2027 er dermed første ordinære godkjenningsrunde for mange ledere. NIS2 og CER ventes gjennomført i norsk rett i løpet av 2027, med krav om risikovurdering, bakgrunnssjekk av personell, opplæring og øvelser, men tidspunkt og norsk innretning er fortsatt uavklart. Vi måler den organisatoriske siden av dette, ikke den tekniske; den tekniske sikkerheten overlater vi til dem som kan den.

Kilder: NSM: Risiko 2026 · Deloitte om digitalsikkerhetsloven · KPMG om CER

NSMs tre mangler

Det som går igjen på tvers av sektorer

Roller ingen kjenner

Ansatte har sikkerhetsroller de ikke er klar over, eller som de ikke har kompetanse til å ivareta, slik at ansvaret finnes på papiret og ingen andre steder.

Grunnsikring som ikke testes

Tiltakene er innført, men virksomheten har ikke gjennomført tester, kontroller eller øvelser som viser om de virker, og vet derfor ikke om de gjør det.

Planer som mangler

Påbyggingstiltak og beredskapsplaner mangler ofte, slik at virksomheten står uten en beskrivelse av hva som skal skje når grunnsikringen ikke holder.

Det loven krever av ledelsen

Digitalsikkerhetsloven i korte trekk

RisikovurderingIdentifisere trusler, sårbarheter og mulige konsekvenser, og holde vurderingen oppdatert.
StyringssystemEt dokumentert styringssystem for sikkerhet som virksomhetens leder godkjenner årlig, med organisatoriske, tekniske, fysiske og personellmessige tiltak.
VarslingProsesser for varsling av hendelser innen 24 timer, også når hendelsen skjer hos en leverandør eller samarbeidspartner.
LeverandørerSikre at leverandørene holder det sikkerhetsnivået virksomheten selv er pålagt, fortrinnsvis gjennom avtale.
AnsvarTilsyn, overtredelsesgebyr og et ansvar som ikke stopper hos sikkerhetslederen, men går helt opp til virksomhetens leder og morselskapet.

Hvem som er omfattet, avgjøres av terskler i forskriften, og virksomheten må selv vurdere om den er det. Vi tar forbehold om at NIS2 og CER kan endre både omfang og krav når de gjennomføres i Norge.

I ORGSEC-vurderingen

Der temaet lander i vurderingen

Område 01
Sikkerhetsstyring
Om ledelsen faktisk eier styringssystemet, om rollene er kjent og bemannet, og om tiltakene er testet før de godkjennes.
Område 04
Cyber og teknologi
Den organisatoriske siden av digital sikkerhet: varslingsrutiner, leverandøroppfølging, reserveløsninger og om de som skal bruke dem, vet det.

Vurderingen gir lederen et grunnlag for å godkjenne styringssystemet med åpne øyne, og styret en dokumentasjon som kan følges år for år. Se de seks områdene →

Det vi leverer

Kartlegging, e-læring og foredrag

Kartlegging

Sikkerhetsstyring før godkjenning

Gjennomgang av den organisatoriske siden av styringssystemet før lederen godkjenner det: roller, ansvar, testing og øving, lest mot digitalsikkerhetsloven og det NIS2 og CER vil kreve. Alle leveransene →

E-læring i ORGSEC+

Å godkjenne et styringssystem

For virksomhetens leder og styret. Hva det innebærer å godkjenne styringssystemet etter digitalsikkerhetsloven, hva som må være testet, og hvilke spørsmål lederen bør stille før signering. Om abonnementet →

Foredrag

Planen som aldri ble testet

Sikkerhetsstyring som holder for tilsyn og for virkeligheten – NSMs tre mangler, lederens årlige godkjenning og det NIS2 og CER vil kreve.

Foredrag

Foredraget innen temaet

Foredrag 03