Datainnbrudd og løsepengevirus, hva det koster virksomheten

Et datainnbrudd og et løsepengevirusangrep gir dere to ulike regninger, og styrer leser dem ofte som en. Regningen etter datainnbruddet er juridisk og kontraktsmessig. Dere melder fra til Datatilsynet innen tre døgn, dere skriver til dem som fikk opplysningene sine på avveie, og dere svarer på sikkerhetskravet i den største kundeavtalen. Regningen etter løsepengeviruset er operativ. Lønnskjøringen stopper, lageret går tilbake til papir, og gjenoppbyggingen tar uker.

Jeg følger norske endepunkter fra en CrowdStrike Falcon-konsoll. I kundeoppstartene jeg kjørte i vår var veien inn sjelden avansert. Som regel lå passordet allerede ute i en offentlig passordlekkasje, på en konto uten totrinnsbekreftelse.

Hva et datainnbrudd er, og hvor løsepengevirus skiller seg

Et datainnbrudd betyr at noen har fått tilgang til data de ikke skulle hatt. Løsepengevirus er det angriperen gjør etterpå, altså låser filene deres eller truer med å publisere det de tok, helt til dere betaler.

Norske saker kombinerer som regel begge deler. Angriperne henter først ut dataene, krypterer etterpå, og truer så med publisering hvis pengene ikke kommer. NSM beskriver denne doble utpressingen i Risiko 2026, publisert 6. februar 2026, og kaller løsepengeangrep en av de mest utbredte angrepsmetodene mot norske virksomheter.

Spørsmålet styret bør stille er derfor ikke om filene ble kryptert, men hva som forsvant ut av huset og hvem det tilhørte.

Hva et dataangrep koster en norsk virksomhet

Politiet registrerte 349 straffesaker om innbrudd i datasystem i 2025, altså 104 flere enn året før. Kripos talte omkring 17 løsepengevirusvarianter brukt mot norske små og mellomstore bedrifter i løpet av 2025, og kjenner ikke til at store norske virksomheter ble rammet i samme periode (Cyberkriminalitet 2026). Mellomstor størrelse er målprofilen, ikke beskyttelsen.

Den regulatoriske regningen er offentlig og dokumentert. Datatilsynet ga Universitetet i Agder et overtredelsesgebyr på 150 000 kroner i september 2024 fordi sikkerhetstiltakene ikke holdt mål for å beskytte personopplysninger, blant annet på grunn av manglende logging (vedtaket). Gebyrene følger omsetningen, så en større virksomhet med samme hull betaler mer.

Kontraktsregningen er den ingen budsjetterer for. Store kunder og offentlige oppdragsgivere skriver sikkerhetskrav rett inn i avtalene, og et meldt datainnbrudd starter en samtale dere ikke kan utsette. Vi fører en løpende oversikt over bekreftede norske hendelser i Angrep i Norge, og navnene der er helt vanlige selskaper.

Meldeplikten til Datatilsynet på 72 timer

Er personopplysninger involvert, skal dere melde bruddet til Datatilsynet innen 72 timer etter at dere ble klar over det (personvernforordningen artikkel 33). Datatilsynet forklarer hvilke brudd som skal meldes, og lar dere melde trinnvis når dere ennå ikke har hele bildet.

Datatilsynet mottok 3 016 avviksmeldinger i 2025, fem prosent færre enn i 2024, og 39 prosent av dem gjaldt personopplysninger sendt til feil mottaker (årsrapporten for 2025, publisert 8. mai 2026). De fleste meldingene handler ikke om innbrudd. Innbruddene er de som i tillegg koster dere kunder.

Hva norske myndigheter sier om å betale

NSM fraråder å betale. Rådet er at betaling av løsepengekravet direkte finansierer alvorlig kriminalitet, og at betaling viser at virksomheten er betalingsvillig, noe angripere har utnyttet gjennom flere utpressingsrunder (NSM om digital utpressing).

Meld dessuten fra til politiet. Bare 24 prosent av norske virksomheter som opplevde datainnbrudd eller datatyveri anmeldte forholdet, ifølge Mørketallsundersøkelsen 2024, gjengitt av Kripos. I januar 2026 ba politiet virksomheter som ble rammet gjennom en kjent svakhet i SonicWall SonicOS om å melde fra raskt, slik at sakene kunne kobles sammen (politiet.no).

Tjenestenektangrep er et annet problem

Et tjenestenektangrep oversvømmer nettsiden eller innloggingstjenesten deres til den slutter å svare. Ingen data blir tatt. Kripos vurderer at slike angrep sjelden gir mer enn midlertidige avbrudd for virksomheter, men at gjentatte kampanjer gir reell driftsbelastning. NSM påpeker i Risiko 2026 at de krever nesten ingen teknisk kompetanse og kan leies billig fra en tredjepart.

Håndter det som et tilgjengelighetsspørsmål sammen med leverandøren som har nettsiden deres. Ikke la det spise responskapasiteten dere trenger til et ekte innbrudd.

Den ene beslutningen styret må ta

Bestem hvem som ser på endepunktene deres utenfor kontortid, og skriv svaret ned. Enten godtar dere at ingen ser på en alarm mellom 17 og 08, eller så betaler dere for noen som gjør det. Resten følger av den beslutningen: hvor lenge en inntrenger sitter inne før noen oppdager det, om dere klarer å svare Datatilsynet innen 72 timer, og om den største kunden beholder avtalen.

Neste steg

Les hva som skiller en alarm fra en etterforskning i EDR og antivirus, eller se hva sikkerhetsovervåkning (MDR) dekker og hvorfor vi kjører den på CrowdStrike Falcon. Betyr planen mer enn verktøyet for dere akkurat nå, dekker hendelseshåndtering og guiden vår om hva hendelseshåndtering er de første 72 timene. Eller avtal en halvtime med Kenny om hvem som ser på endepunktene deres i natt.

FAQ

Må vi varsle de berørte, eller holder det med Datatilsynet?

Begge deler, når bruddet trolig gir høy risiko for rettighetene og frihetene til dem det gjelder (personvernforordningen artikkel 34). Datatilsynet får meldingen uansett, med mindre dere er nesten sikre på at bruddet ikke gir risiko i det hele tatt. De berørte skal varsles når de selv må gjøre noe, for eksempel bytte et passord de har gjenbrukt andre steder.

Vi er 60 ansatte. Er vi for små til å være mål?

Nei. Kripos talte omkring 17 løsepengevirusvarianter brukt mot norske små og mellomstore bedrifter gjennom 2025, og kjenner ikke til store norske virksomheter som ble rammet i samme periode. Kriminelle grupper leier verktøyene og plukker etter svak sikkerhet, ikke etter antall ansatte.

Når starter 72-timersfristen?

Når noen i virksomheten blir klar over at det trolig har skjedd et brudd, ikke når undersøkelsen er ferdig. Derfor godtar Datatilsynet en første melding med hull i, og tilleggsopplysninger senere. Venter dere på full sikkerhet, blir en meldepliktig hendelse til en forsinket melding.

Vi gjenopprettet fra sikkerhetskopi. Skal det fortsatt meldes?

Som regel ja. Et brudd dekker også tap av tilgang til personopplysninger, ikke bare tyveri, så en kryptering som låste kundedata skal meldes selv om dere fikk dem tilbake samme dag. Dokumenter vurderingen uansett, for dere skal kunne vise hvordan dere tenkte.

Skrevet med AI-assistanse, gjennomgått og redigert av Kenny Le og FM CyberSecurity-redaksjonen.