Når norske virksomheter snakker om cybersikkerhet, handler det først og fremst om hva et angrep betyr for dem selv: Økonomiske tap, driftsstans og omdømmetap. Det er reelle konsekvenser. Samtidig avslører det et perspektiv som er for snevert.
I en fersk undersøkelse blant norske ledere ser vi at cyberangrep i hovedsak forstås som en forretningsrisiko, ikke som en samfunnsrisiko. Bare 8 prosent mener et alvorlig angrep kan utgjøre en risiko for mennesker eller samfunnet rundt virksomheten.
Det bør bekymre oss.
Rammer flere enn én
Norske virksomheter er tett koblet sammen gjennom digitale verdikjeder, plattformer og leverandører. Når én aktør rammes, kan konsekvensene raskt spre seg videre.
Et cyberangrep kan føre til bortfall av tjenester andre er avhengige av, forsinkelser i leveranser eller tap av personopplysninger. I noen tilfeller kan det også påvirke kritiske samfunnsfunksjoner.
Likevel er det nettopp disse ringvirkningene som i liten grad ser ut til å inngå i virksomheters egen risikovurdering.
Et lederansvar
Dette handler ikke først og fremst om teknologi. Norske virksomheter har tilgang til gode sikkerhetsløsninger og kompetente fagmiljøer. Utfordringen ligger i hvordan risiko forstås og prioriteres på ledernivå.
Når cyberangrep vurderes ut fra hva de betyr for egen drift og økonomi, blir også tiltakene deretter. Beredskap blir ikke testet godt nok. Øvelser prioriteres ned. Investeringer utsettes fordi sannsynligheten oppleves som lav.
Men cyberrisiko stopper ikke ved virksomhetens dør. Konsekvensene rammer ofte bredere enn den virksomheten som faktisk blir angrepet.
Mer enn IT
Myndighetene har begynt å ta dette på alvor. Med regelverk som NIS2 stilles det strengere krav til hvordan virksomheter håndterer cyberrisiko, nettopp fordi konsekvensene kan bli samfunnskritiske.
Men regulering alene er ikke nok.
Cybersikkerhet må i større grad forstås som et lederansvar – ikke bare et IT‑ansvar. Som et bidrag til samfunnets robusthet, ikke bare en kostnad. Og som en del av totalberedskapen.
Når bare et lite mindretall ser cyberangrep i et slikt perspektiv, tyder det på at dette fortsatt ikke er godt nok forankret.
Et nødvendig skifte
Cyberangrep vil ikke bli færre. De blir mer automatiserte, mer målrettede og mer komplekse. Samtidig blir samfunnet mer digitalt og mer avhengig av at systemer fungerer.
I et slikt landskap holder det ikke å spørre: Hva skjer med oss?
Vi må også spørre: Hvem andre rammes hvis vi svikter?
Først når dette perspektivet blir en naturlig del av hvordan norske virksomheter vurderer cyberrisiko, kan vi snakke om reell digital motstandskraft.
Dataangrep hos Canvas: : NTNU bekrefter at de er rammet: – Tas på største alvor
